Insights from experts shaping secure development

An example scenario for a misconfiguration of Guice, which may lead to a NullPointerException being reported at runtime during testing.

우리는 2021년이 사이버 위협으로부터 우리 은하계를 안전하게 지키는 새로운 종류의 우주 경쟁을 주류로 끌어올리는 해가 될 것으로 예측하고 있습니다.

이 취약점은 사람의 문제나 관리상의 문제로, 이전 API가 보다 안전한 최신 버전으로 교체된 후에도 오랫동안 그대로 유지될 수 있습니다.

Sensei가 더 이상 사용되지 않는 패턴을 식별하고 향후 사용할 수정 사항을 알려줌으로써 마이그레이션을 어떻게 지원할 수 있는지 알아보십시오.

침투 테스트와 정적 분석 스캐닝 도구 (SAST라고도 함) 는 보안 위험을 완화하기 위한 전체 프로세스의 일부에 불과합니다. 물론 핫픽스를 위해 코드가 우리에게 돌아오기 전까지는 우리가 하는 일과는 별개로 작동합니다!

Learn how Sensei can identify a coding pattern, and automatically generate a private constructor to make it impossible to instantiate the class.

불편함이 새로운 업무 방식을 모르거나, 약간의 불신에서 비롯된 것이든, 아니면 원격 근무를 믿지 않는 데서 오는 것이든, 원격 근무에 저항하는 회사는 최고의 인재를 유치하고, 전 세계에 진출하고, 솔직히 말해서 시대에 발맞추어 나아가는 측면에서 뒤처지는 경향이 있다는 것을 알게 되었습니다.

Learn how to use code reviews on pull requests to help enforce coding styles. And shorten the feedback cycle when pair programming with a more experienced programmer.

A quick example of creating a recipe to migrate from System.out.println to using a Java Logger.

불충분한 로깅 및 모니터링 결함은 대부분 실패한 인증 시도, 액세스 거부 및 입력 검증 오류를 기록하는 것과 관련된 사이버 보안 계획의 실패로 인해 발생합니다.

Sensei 쿡북을 공유하고 팀원 모두가 코드 품질과 생산성을 향상하도록 돕는 방법을 알아보세요.

시큐어 코드 워리어 플랫폼의 새로운 기능인 미션을 발표하게 되어 매우 기쁩니다.완전히 새로워진 이 챌린지 카테고리는 개발자 중심의 보안 교육의 다음 단계로, 사용자가 보안 지식을 회상하는 것에서 벗어나 실제 시뮬레이션 환경에 적용할 수 있도록 합니다.

API에서 조금 더 널리 퍼져 있을 가능성이 높지만 공격자는 네트워크 어디서나 패치가 적용되지 않은 결함이나 보호되지 않은 파일 또는 디렉터리를 찾으려고 시도하는 경우가 많습니다.디버깅이 활성화되거나 보안 기능이 비활성화된 API를 발견하면 악의적인 작업이 조금 더 쉬워집니다.

Learn how Sensei can help onboard developers and adopt new libraries.

Learn all about the latest updates to Sensei.

Sensei를 사용하여 문제가 있는 코드 패턴을 매칭한 다음 주석 매칭 예제를 통해 합의된 구현으로 수정하는 방법을 알아보세요.

대량 할당 취약점은 많은 최신 프레임워크가 개발자에게 클라이언트의 입력을 코드 변수 및 내부 개체에 자동으로 바인딩하는 함수를 사용하도록 권장한 결과 발생했습니다.

사이버 보안에 대해 진지하게 생각하려는 호주 정부의 노력을 보면 사이버 보안이 국가 차원에서 주요 위험 영역으로 확인되었다는 것이 분명하지만, 그들의 전략이 충분히 도달하고 있습니까?

The Sensei plugin provides an easy way to find specific code patterns in your source code, and then apply rewrite rules to amend the matching code. All within the Intellij IDE, and in real-time.

시큐어 코드 워리어는 GitHub 코드 스캐닝에 컨텍스트 학습을 제공하는 GitHub Action을 구축했습니다.즉, 개발자는 Snyk Container Action과 같은 타사 작업을 사용하여 취약점을 찾은 다음 CWE에 특화된 초관련성 학습으로 결과를 확장할 수 있습니다.

누락된 수준 수준 액세스 제어 취약성으로 인해 사용자는 기능을 제한하거나 보호해야 하는 리소스에 액세스할 수 있습니다.

모든 조직은 사이버 보안 인식의 달을 활용하여 보안 인식을 새롭게 할 수 있습니다. 올해에는 코딩 커뮤니티를 위한 새로운 무료 앱도 출시할 예정입니다!

이 취약점은 너무 많은 요청이 동시에 들어오고 API에 이러한 요청을 처리하기에 충분한 컴퓨팅 리소스가 없을 때 발생합니다.그러면 API를 사용할 수 없게 되거나 새 요청에 응답하지 않을 수 있습니다.

보안 수정 사항을 다시 개발 프로세스로 전환하는 것은 쉬운 일이 아니지만 프레젠테이션 도구와 같이 겉보기에 단순해 보이는 장치조차도 놀라울 정도로 복잡하고 다른 모든 것과 네트워크로 연결되어 있는 오늘날의 세계에서는 필요합니다.

이 취약점의 실제 메커니즘은 다른 취약점과 유사하지만, 이 경우 과도한 데이터 노출은 법적으로 보호되거나 매우 민감한 데이터와 관련된 것으로 정의됩니다.

인증은 애플리케이션은 물론 잠재적으로 네트워크의 나머지 부분에 대한 게이트웨이 역할을 하는 경우가 많기 때문에 공격자의 공격 대상이 됩니다.인증 프로세스가 손상되거나 취약한 경우 공격자가 해당 취약점을 발견하고 악용할 가능성이 높습니다.

저희 전문가 중 한 명인 오스카 퀸타스 (Oscar Quintas) 에게 집중 조명하고 싶습니다.그는 제품 콘텐츠 팀의 일원으로 선임 보안 연구원으로 일하고 있습니다.그는 IaC (Infrastructure as Code) 에 관한 모든 것을 다루는 당사의 상주 마법사이기도 합니다.

일반적으로 사용자의 입력을 사용하여 데이터 소스에 액세스하는 모든 함수에 대해 개체 수준 권한 부여 검사를 포함해야 하며, 이렇게 하지 않으면 큰 위험이 따릅니다.

사이버 공격은 점점 더 빈번해지고 있으며 Linux 기반 인프라에 영향을 미치는 위협은 점점 더 흔해지고 있습니다. 최종 목표는 클라우드에 저장된 민감한 데이터의 전리품을 해킹할 수 있는 기회를 제공하는 것입니다.

조직을 염두에 두고 역할의 맥락에서 이러한 질문에 대해 생각해 보십시오.DevSec 테스트에 적용하면 어떤 결과가 나올까요?

개발자가 숙련도를 입증하는 데 필요한 정확한 모듈이 포함된 엄선된 과정은 강력한 영향을 미치며, 일상 업무의 보안 모범 사례와 관련하여 처음부터 시작할 수 있도록 합니다.

우리는 이미 근무 시간이 너무 많다는 것을 알고 있습니다. 그렇다면 개발자들이 강의실로 달려가거나 컨텍스트 전환을 통해 정적 이론 기반 교육에 액세스하기 위해 5단계를 거치면 어떤 인센티브가 필요할까요?

접촉자 추적 앱의 기본 개념은 타당합니다.이 기술이 제대로 작동하면 핫스팟을 신속하게 찾아내고 포괄적인 검사를 실시할 수 있습니다. 이 두 가지 모두 전염성 바이러스 확산을 막는 데 필수적인 요소입니다.

우리는 필요할 때 교육을 받는 데 방해가 되는 장벽을 줄이기 위해 무엇을 할 수 있는지, 그리고 마이크로 러닝을 워크플로우에 보다 원활하게 구현할 수 있는 방법에 대해 생각하기 시작했습니다.

6월 23일은 세계 여성 엔지니어링의 날을 기념하는 Geek 달력에 특별히 기록되는 날입니다.소프트웨어 개발에 대한 여성의 기여를 조명할 수 있는 기회입니다.

이 취약성은 비즈니스 로직 규칙을 제대로 구현하지 못할 때 발생할 수 있으며, 악의적인 사용자가 악용할 시스템이 될 수 있습니다. 다양한 종류의 공격에 취약해질 수 있습니다.

Rust는 일반적으로 사용되는 언어의 알려진 기능 요소를 통합하여 복잡성을 없애는 다른 철학에 따라 작업하면서 성능과 안전성을 도입합니다.

여기서 초점을 맞출 취약성 유발 행위는 신뢰할 수 없는 출처의 코드를 사용하는 것인데, 이는 겉보기에 무해해 보이지만 큰 문제를 일으키고 있습니다.

의료는 차세대 '위대한' 사이버 보안 전쟁터가 될 수 있습니다. 범죄자들은 의료 문제를 진단하고 치료를 제공하며 생명을 유지하는 바로 그 기계를 공격합니다.

보안 구성 오류, 특히 부적절한 권한 구성은 개발자가 새 사용자를 만들거나 작업을 수행하기 위해 응용 프로그램을 도구로 사용할 권한을 부여할 때마다 자주 발생합니다.

때때로 애플리케이션은 전체 워크로드의 일부로 다른 프로그램과 데이터를 공유하기도 합니다.전송 계층이 보호되지 않으면 외부 스누핑과 내부 무단 보기 모두에 취약해집니다.

요즘에는 암호, 개인 정보 및 재무 기록과 같은 중요한 데이터를 유휴 상태에서 해시하는 것이 모든 사이버 보안 방어의 초석입니다.

레거시 COBOL은 오래된 컴퓨터 언어이지만 오늘날에도 여전히 유효합니다.시큐어 코드 워리어로부터 COBOL 보안 애플리케이션 개발에 대해 자세히 알아보십시오.

오늘날 대부분의 컴퓨터 보안의 핵심은 암호입니다.2단계 인증이나 생체 인식과 같은 다른 보안 방법을 사용하더라도 대부분의 조직은 암호 기반 보안 보호의 손아귀로 한 손해를 사용합니다.

보안이 조직 전체와 SDLC 전체에서 공동 책임으로 간주되는 단계에 도달해야 합니다.이는 완전한 기능을 갖춘 고도로 지원적인 DevSecOps 환경을 이용한다면 확실히 가능합니다.

인프라 수준의 액세스 제어를 완벽하게 갖추지 못하면 기업 전체가 공격자에게 노출될 수 있으며, 공격자는 해당 취약점을 무단 스누핑이나 전체 공격의 게이트웨이로 사용할 수 있습니다.

공격자는 항상 쉽게 악용될 수 있는 취약점을 먼저 찾으려고 시도하며 스크립트를 사용하여 일반적인 약점을 찾아낼 수도 있습니다.도둑이 거리의 모든 차를 뒤져 문이 열렸는지 확인하는 것과 다르지 않습니다. 창문을 부수는 것보다 훨씬 쉽습니다.

이 글은 조직 내 PCI-DSS 규정 준수에 관한 미니 시리즈 중 2부입니다.이 마지막 장에서는 CTO와 CISO가 어떻게 사이버 위험을 줄이고 프로세스를 원활하고 성공적으로 만들 수 있는지, 그리고 개발자들에게 약간의 재미를 줄 수 있는 방법을 자세히 설명합니다.

이 글은 조직 내 성공적인 PCI-DSS 규정 준수에 관한 2부작 시리즈 중 1부입니다.이 장에서는 AppSec 전문가가 개발 관리자와 긴밀하게 협력하여 개발자의 역량을 강화하고 SSDLC를 강화하며 일반 법률의 구체적인 결과를 도출하는 방법을 자세히 설명합니다.

우리 업계에서는 많은 보안 전문가들이 올해의 주요 문제를 예측하기 시작했지만, 2019년에 50억 개 이상의 민감한 데이터 기록이 도난당했기 때문에 가까운 미래에 사이버 보안에서 일어나지 않을 일을 예측하는 것이 더 정확할 것이라고 생각했습니다.

개발 프로세스 초기에 보안을 도입하는 “좌익이동”을 중심으로 한 이니셔티브의 대부분은 제대로 성과를 거두지 못합니다.

GDPR의 도래와 독일 연방 정부의 서버뿐만 아니라 많은 유명 인사의 민감한 데이터를 노출시킨 다단계 공격에 따른 전략이 수정됨에 따라 DACH 지역의 리더들은 사이버 보안에 대한 인식과 조치를 최우선으로 여긴다는 것이 분명해졌습니다.

세계는 워터폴, 애자일, 그리고 이제는 DevOps로 바뀌기 시작했습니다. 다음 솔루션은 무엇일까요?그리고 개발자로서 이러한 접근 방식의 변화에 발맞추는 데 있어 어떤 역할을 하고 계신가요?

작년 말, MITRE의 멋진 커뮤니티는 2019년에 전 세계에 영향을 미친 CWE 상위 25대 가장 위험한 소프트웨어 오류 목록을 발표했습니다.그리고 대부분은 놀랄 일도 아니었습니다.

초고속 성장 중인 스타트업을 나타내는 모든 사실과 수치로 이 기사를 시작할 수도 있었을 것입니다. 이러한 사실과 수치는 의심할 여지 없이 인상적이며 우리의 지속적인 회사 궤적은 강력합니다.하지만 제가 보기에 이 수치들은 제가 2019년에 가장 자랑스럽게 생각하는 것을 반영하지 못합니다.

DevOps 구현에 진정으로 성공한 회사는 거의 없습니다.하지만 비즈니스 전반에 걸친 적절한 지원, 육성 및 이해는 프로세스를 혁신할 수 있습니다.

국립 표준 기술 연구소 (NIST) 는 소프트웨어 취약성과 사이버 위험을 줄이기 위한 몇 가지 실행 계획을 자세히 설명하는 업데이트된 백서를 발표했습니다.

이러한 개발자 중심 이벤트는 일정에서 제가 가장 좋아하는 행사 중 하나입니다. 소프트웨어 엔지니어와 전문가가 업무의 보안을 옹호할 수 있도록 끊임없이 교육하고 역량을 강화하는 커뮤니티를 겸손하게 상기시켜줍니다.

규제 이니셔티브는 의심할 여지 없이 시간이 지남에 따라 개선되고 성장하겠지만, 조직이 이미 패닉 버튼을 누르고 지금 바로 교육에 뛰어든다면 미래를 위한 준비가 제대로 되어 있지 않을 수도 있습니다.

각계각층의 모든 유형의 개발자가 있으며, 우리가 하는 모든 일에는 항상 커뮤니티 의식이 있었습니다.

보안 코딩은 고등 교육 단계에서 소프트웨어 엔지니어링의 필수 구성 요소가 되어야 합니다. 하지만 일부 대학은 처음부터 개발 프로세스의 첫 단계에서부터 최고의 서비스를 제공하고 보안의 우선 순위를 정하는 데 앞장서고 있습니다.

고객 성공 담당 부사장인 Fatemah Beydoun은 최근 “미래를 위한 멘토링: 여성 사이버 보안 인재를 양성하는 데 있어 우리 모두가 더 잘할 수 있는 방법”이라는 강연을 매우 호의적인 청중에게 발표했습니다.그녀는 사이버 보안 산업 내에서 긍정적인 변화를 주도하는 데 없어서는 안 될 역할을 해왔습니다.

애플리케이션에서 역직렬화되는 데이터를 신뢰할 수 있는 것으로 취급할 때마다 안전하지 않은 역직렬화가 발생할 수 있습니다.사용자가 새로 재구성된 데이터를 수정할 수 있는 경우 코드 삽입, 서비스 거부 공격 또는 권한 상승과 같은 모든 종류의 악의적 활동을 수행할 수 있습니다.

많은 곳에서 새로운 이니셔티브를 최대한 활용하기 위해 여전히 강의실, 마른 교과서, 정신을 마비시키는 비디오 교육에 의존하고 있다는 사실은 정말 놀랍습니다. 특히 훨씬 더 훌륭하고 매력적이며 가치 있는 학습 방법이 있다면 더욱 그렇습니다. 바로 상황에 맞는 교육입니다.

소프트웨어 보안 산업은 따뜻하고 흐릿한 감정, 기발한 관찰, 삶에 대한 평론으로 잘 알려져 있지는 않지만, 아마도 나이가 들면서 우리 모두가 세상에 미칠 수 있는 영향에 대해 곰곰이 생각해 보게 될 것입니다.

민감한 데이터 노출은 승인된 열람만을 위한 정보가 암호화되지 않았거나 보호되지 않거나 보호가 취약한 상태에서 승인되지 않은 사람에게 노출될 때마다 발생합니다.

10대 보안 연구원인 Bill Demirkapi는 학교에서 사용하는 소프트웨어의 주요 취약점을 폭로하면서 기억을 되살렸습니다.호기심 많은 아이였을 때 소프트웨어의 후드를 들어서 그 밑을 들여다보고 어떻게 작동하는지 살펴봤던 기억이 납니다... 그리고 제가 그걸 깨뜨릴 수 있을지 말이죠.

VxWorks는 일반 소비자에게 잘 알려진 이름은 아니지만, 이 소프트웨어 제품은 여러분과 저와 같은 많은 사람들에게 매일 혜택을 줍니다.그리고 지금은 수억 대의 VxWorks 기반 디바이스가 손상될 가능성에 직면해 있습니다.

간단히 XXE 인젝션이라고도 하는 XML 외부 엔티티 인젝션 (External Entity Injection) 공격은 비교적 새로운 공격이지만, 현재 해킹 커뮤니티에서 매우 인기가 있으며 성공을 거두면서 그 수가 더욱 증가하고 있습니다.

공격자가 기존 애플리케이션에 CR 또는 LF 코드를 삽입할 수 있는 경우 때때로 동작을 변경할 수 있습니다.대부분의 공격에 비해 그 영향을 예측하기는 쉽지 않지만 대상 조직에 미치는 위험도 낮을 수는 없습니다.

창의적이고 영감을 주는 CISO와 CIO는 디지털 세상을 혁신하고 변화시킬 수 있는 힘을 가지고 있지만 조직의 보안 문화를 변화시키는 데도 중요한 역할을 할 수 있습니다.

여러 면에서 원격 파일 포함 취약점은 로컬 파일에 대응하는 취약점보다 훨씬 위험하고 악용하기도 쉽습니다.따라서 가능한 한 빨리 발견하여 해결해야 합니다.

올해 PCI 보안 표준 위원회는 PCI 소프트웨어 보안 프레임워크의 일부로 완전히 새로운 소프트웨어 보안 지침을 발표했습니다.이번 업데이트는 소프트웨어 보안 모범 사례를 최신 소프트웨어 개발과 연계하는 것을 목표로 합니다.

다른 많은 취약점과는 달리, 로컬 파일 포함 및 경로 탐색 프로세스를 악용하려면 충분히 숙련된 공격자와 상당한 시간, 그리고 아마도 약간의 운이 필요합니다.

애플리케이션 서버와 이 서버에서 사용하는 백엔드 시스템을 완전히 보호하더라도 전송 계층 보호가 충분하지 않으면 통신이 여전히 스누핑에 취약할 수 있습니다.

XML 인젝션 공격은 해커가 XML 데이터베이스를 호스팅하는 시스템을 손상시키기 위해 고안한 아주 작은 익스플로잇입니다.여기에는 의약품부터 영화에 이르기까지 모든 것에 대한 정보를 자세하게 저장하는 기존 데이터베이스를 생각할 때 떠오르는 것들이 포함됩니다.

영국 화웨이 사이버 보안 평가 센터의 최근 보고서에 따르면 화웨이의 소프트웨어 엔지니어링 프로세스 내에서 주요 보안 문제가 확인되었습니다.하지만 이 문제는 고칠 수 있습니다.

Leaders in AppSec 패널은 조직의 AppSec 예산을 최대한 활용하는 방법과 같은 중요한 문제뿐만 아니라 청중으로부터 제기되는 몇 가지 복잡한 질문을 다루면서 보안 전문가가 조직 내에서 실행 가능한 프로그램을 구축하는 데 도움이 될 진정한 아침 마법을 제시했습니다.

불충분한 로깅 및 모니터링은 애플리케이션의 방어 구조 내에 존재할 수 있는 가장 위험한 상태 중 하나입니다.이러한 취약점이나 상태가 존재하면 이를 대상으로 한 거의 모든 고급 공격이 결국 성공할 것입니다.

검증되지 않은 리디렉션 및 전달을 할 수 있는 기능을 갖춘 웹 사이트 또는 애플리케이션을 모두에게 매우 위험할 수 있습니다.

공식 발표입니다. 저희는 Bugcrowd와 힘을 합쳐 개발자들에게 보안 코딩에 대해 교육하고, 권한을 부여하고, 계몽하기 위해 노력하고 있습니다.

코드 인젝션 공격은 많은 웹 사이트와 애플리케이션에서 발생하는 가장 흔하고 가장 위험한 공격 중 하나입니다.이러한 공격은 정교함과 위험 측면에서 모두 뛰어나지만 사용자 입력을 받아들이는 거의 모든 사이트나 앱이 취약할 수 있습니다.

GitHub 리포지토리에 대한 최근의 공격은 보안 업계에서 잘 알려진 문제를 부각시키고 있습니다. 대부분의 개발자는 단순히 보안을 충분히 인식하지 못하고 귀중한 데이터가 언제든지 위험에 처할 수 있다는 것입니다.

고객이 내부용이든 외부용이든 비즈니스 애플리케이션을 구축할 때 모든 사용자가 모든 기능을 수행하도록 허용하지는 않을 수 있습니다.그렇게 하면 액세스 제어 해제에 취약해질 수 있습니다.

모든 업종의 모든 유형의 조직에 영향을 미치는 사이버 공격이 증가함에 따라 비용이 많이 들고 당혹스러우며 수익에 영향을 미치는 데이터 침해 위협은 매우 현실적입니다.문제는 작아지는 것이 아니라 종양처럼 커지고 있다는 것입니다.

웹 앱이 너무 많은 정보를 노출하면 공격자가 더 쉽게 침입할 수 있습니다. 이 게시물에서는 정보 노출의 정의, 위험한 이유, 방지 방법에 대해 알아보겠습니다.

모든 애플리케이션은 대부분 사용자가 작성하지 않은 구성 요소를 사용하므로 사용하는 구성 요소 내의 취약성이 문제가 될 수 있습니다.취약성이 알려진 구성 요소를 사용하는 것이 무엇을 의미하는지, 얼마나 위험한지, 해결 방법에 대해 알아보겠습니다.

저는 양쪽 입장을 견지해 왔기 때문에 보안 모범 사례를 유지하는 데 있어 개발팀과 AppSec 전문가 간에 발생할 수 있는 긴장감을 너무나 잘 알고 있습니다.하지만 더 나은 접근 방식이 있습니다.

웹 사이트를 운영하거나 직원들이 컴퓨터 리소스에 원격으로 액세스할 수 있도록 하는 조직, 즉 거의 모든 사람이 직면하는 가장 일반적인 문제 중 하나를 다루겠습니다.네, 아마도 우리가 인증에 대해 이야기할 것이라고 짐작하셨을 것입니다.

응용 프로그램에 대한 자동화 관리 관리가 불가능한 경우 공격자는 일치하는 암호를 찾을 수 있습니다. 이를 이해하는 방법은 다음과 같습니다.

코딩 문제가 문제의 일부일 수 있지만 비즈니스 로직 오류는 대부분 앱을 처음 만들 때 설계 결함이나 잘못된 논리적 가정으로 인해 발생합니다.

사이버 보안 분야에서 우리는 종종 사냥꾼과 같습니다.우리의 눈은 지평선에 단단히 고정되어 다음 취약점을 찾아냅니다.하지만 이러한 미래 지향적인 초점은 전반적인 보안 인식을 약화시키는 놀라운 결과를 초래할 수 있습니다.

웹 사이트와 애플리케이션에서는 사용자가 이메일을 사용하여 애플리케이션을 통해 피드백 및 기타 다양한 정보를 보낼 수 있도록 하는 것이 일반적입니다.그리고 대부분의 사람들은 잠재적인 보안 위험 측면에서는 이에 대해 생각조차 하지 않습니다.