Insights from experts shaping secure development

似乎令人困惑的是，大多数开发为关键基础设施、汽车、医疗技术以及介于两者之间的一切提供支持的代码的开发人员，在没有事先验证其安全能力的情况下就这样做了。另一方面，由于存在种种安全门户，为什么具有安全技能的开发人员需要在不断放缓的开发流程中与其他所有人一起排队，他们一再证明自己知道如何安全地构建东西？

解决代码漏洞和技术债务的成本很高，并且继续抑制软件开发团队的生产力。了解如何为安全代码实施敏捷学习平台可以更有效地培训开发人员掌握安全编码技术，以便在 SDLC 中更快更早地修复漏洞，并从一开始就防止漏洞，从而大幅节省成本。本博客概述了如何考虑敏捷学习平台的财务影响和投资回报率。

我们宣布结束C轮融资，为下一阶段的使命筹集了5000万美元：帮助更多开创性组织利用其开发团队的力量来遏制常见漏洞。

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

了解如何将安全代码的敏捷学习平台嵌入到开发人员的工作流程和工具中，并开始建立安全代码学习的文化。

今年早些时候，PCI安全标准委员会公布了其支付卡行业数据安全标准（PCI DSS）的4.0版本。尽管组织要到2025年3月才能完全遵守4.0，但此次更新是他们迄今为止最具变革性的更新，将要求大多数企业评估（并可能升级）复杂的安全流程和技术堆栈的元素。除此之外，还为开发人员实施了基于角色的安全意识培训和定期的安全编码教育。

了解用于安全代码的敏捷学习平台如何通过在 SDLC 中左侧开始提高开发人员技能、降低风险并随着时间的推移降低技术债务。

通过帮助在严密的层次结构中定义我们的应用程序和软件，并以最低权限执行这些政策，我们可以确认我们的应用程序和软件在面前保护我们的应用程序和软件，也能生存和发展。

CISA的国家网络安全战略是我们全面提高软件标准并最终开创安全技能开发人员新时代的最佳机会。

2023 年 3 月 20 日，Spring Security Advisories 发布了一篇博客文章，引用了内部发现的漏洞 CVE-2023-20860。没有透露任何详细信息，只是这是与使用 “mvcMatchers” 有关的访问控制问题。Spring 开发人员已经修复了这个问题，建议进行版本更新。由于安全是我们在Secure Code Warrior的主要关注点，因此我们决定更深入地研究这个MvcRequestMatchers漏洞，找出核心问题所在。

CyberNews 与 Secure Code Warrior 首席执行官兼联合创始人彼得斯·丹希克斯进行问答。

软件开发生命周期中最大的差异之所以是开发人员没有时间从一开始就学习如何保护他们的代码。开发人员在返还和补救上浪费损坏了无数时间，导引致了数百万美元的机会本失踪。了解安全高速编解码如何帮助缩小这些差异并提高高生产力。

Secure Code Warrior 的新内容：体验管理课程和探索其他内容的新方法。

当下的数字宠儿——元宇宙——的出现为代码级漏洞和社会工程增加了广阔的新攻击面。而且我们根本没有为在这个靠烟雾和镜子蓬勃发展的新竞争环境中战斗做好准备。

解决不安全代码和随后的技术债务的成本是当今科技面临的最大障碍之一。了解实施可扩展的安全代码培训计划如何通过解决不良的编码模式和在软件开发周期的早期检测漏洞来帮助减少技术债务。

对什么构成安全编码行为的看法尚有待商榷。根据与Evans Data合作的最新研究，这种情绪以黑白形式展现出来。2022年开发者驱动的安全状况调查深入研究了1200名活跃开发者的关键见解和经验，阐明了他们在安全领域的态度和挑战。

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

本周，我们正式庆祝安全代码勇士问世八周年。一方面，这是阿波罗11号任务时长的350倍，相当于45,000场足球比赛，或者玩超级马里奥奥德赛到最后5696次。另一方面，它只是巨型乌龟寿命的三分之一（如果你想知道的话，是250年）。在一个高增长的初创公司的世界中，它代表着一段充满曲折、教训和成就的旅程，其中许多在我们第一次签署商业计划时是不可想象的。

在 Secure Code Warrior，我们不断创新，帮助开发人员和组织掌握正确的技能，以应对当今不断变化的安全挑战。我们汇编了平台的主要功能和更新，以及今年发布的资源和指南，以帮助您的组织在软件开发周期开始时通过开发人员驱动的安全性来保护您的软件。

在投资techstack或其他培训计划时，每个人都希望获得丰厚的投资回报，但是在安全方面，除了计算简单的投资回报率之外，还需要进行长期的投资。了解对开发人员驱动的安全性进行投资不仅可以节省代价高昂的漏洞、生产力损失和累积的技术债务的开支，还可以制定积极且具有成本效益的策略，在当今的威胁格局中保持领先地位。

针对诸如SolarWinds活动之类的重大安全漏洞，该活动使用软件更新流程感染了广受欢迎的Orion管理软件的18,000多名用户，包括许多顶级公司和政府机构，人们越来越多地推动更有效的开发人员主导的安全工作。各种规模的组织都开始质疑他们的 “软件供应链”，并要求开发软件的开发人员具有经过验证的安全技能和意识。

每个人都知道强大的技术堆栈的重要性。在发现和修复代码漏洞时，Secure Code Warrior集成的目标是缩短平均修复时间和使用可信、强大的解决方案。将微学习时刻整合到开发人员的工作流程中是更好地学习和加快补救的关键。

如今，几乎每个团队都采纳了某种形式形式的合规规则，无论是确认保守公司遵循守护行业框架架构还是政府法规的初始认证流程的一部分，都是有用的，也是作为年度或审核的一部分。这是非常重要的例子，因为如果一个组织无法满足基本的合规要求，那么它的员工就无法切实行职责。

如果不对漏洞的工作原理、它们为何危险、导致漏洞的模式以及哪些设计或编码模式在他们的世界中有意义的环境中修复漏洞有基本的了解，开发人员就不会对漏洞减少产生积极影响。脚手架式方法可以让知识层层全面了解安全编码、保护代码库以及成为具有安全意识的开发人员意味着什么。

《2022年Gartner软件工程超酷供应商》重点介绍了开发人员安全技能的重要性。阅读更多内容并获取完整报告。

开发推动数字业务发展的软件、应用程序和程序的开发人员已成为许多组织的命脉。如果没有竞争性的应用程序和程序，或者没有24小时访问其网站和其他基础设施，大多数现代企业都不能（盈利）运作。

最近，一组安全研究人员宣布他们在 Python 的 tar 文件提取功能中发现了一个已有十五年历史的错误。该漏洞于 2007 年首次被披露，追踪后被追踪为 CVE-2007-4559。在 Python 官方文档中添加了一条注释，但错误本身没有修补。

Secure Code Warrior 的新功能：亲身体验编码实验室的开发人员培训，将您的安全代码培训计划与 LMS 集成等等。

在我们讨论优步最近发生的安全事件时，详细了解与硬编码凭证和社会工程相关的风险，以及为何组织向左移动并确保其开发人员了解最新的安全编码最佳实践如此重要。

软件开发不再是一个孤岛，当我们考虑软件驱动风险的各个方面——包括云端、家电和车辆中的嵌入式系统、我们的关键基础架构，更不用说连接所有风险的API——攻击面是无国界和失控的。

开源软件安全动员计划代表了开发人员驱动的安全性迈出的积极一步。但是，我们都必须进行盘点并诚实地评估我们的组织是否足够成熟，以及我们的开发团队是否具有适当水平的安全意识和技能，以实施最新、最出色的防御策略。

努力向左移动需要开发团队内部集体持续提高安全知识和技能

API 安全性很严峻，但只要有足够的培训、规划和对最佳实践的关注，即使是最阴险的漏洞也可以得到缓解。

更简单、更强大的课程创建流程、抢先体验切换和 SAP ABAP 培训内容。

为 ABAP 开发人员提供实用而有效的安全编码培训。

Psychic Signature 漏洞存在于 ECDSA 签名的加密中，它可以保护系统执行身份验证等关键任务。黑客可以利用此漏洞绕过任何签名检查。我们将在这篇文章中解释它是什么以及如何缓解它。

最近，NGINX 披露了一个未修补的漏洞。大约在同一时间，微软披露了另一个严重漏洞——Windows RPC RCE漏洞。在这篇文章中，你可以了解谁面临这两个问题的风险，以及我们如何降低风险。

顾名思义，零日攻击使开发人员没有时间发现和修补可能被利用的现有漏洞，因为威胁行为者首先进入。损害已经造成，然后是疯狂地争先恐后地修复软件和企业声誉损失。攻击者始终处于优势，尽可能缩小这一优势至关重要。

我们连续第二年与 Evans Data Corp. 合作，对全球开发者社区进行了全面调查，调查内容涉及安全编码实践的技能、认知和行为，以及它们在软件开发生命周期 (SDLC) 中的感知影响和相关性。结果在很多方面都令人惊讶。

最近，作为 Java 社区中最受欢迎的库之一 Spring 库披露了两个与远程代码执行 (RCE) 相关的漏洞。我们对 “Spring4Shell” 和 “Spring Cloud Function” 的已知细节进行了细分，以帮助您了解自己是否处于危险之中以及如果存在风险该怎么做。

在打击网络犯罪分子时，我们需要尽可能与他们保持一致，以预防的心态抢占他们的游乐场。我认为来年他们可能会开始掀起波澜：

许多在网络安全方法中设定目标的公司已经实施了官方的安全倡导者计划，将关键的安全责任（从团队之间的联络和一般啦啦队到监督最佳实践）赋予对此类角色表现出才能和热情的个人。

我们的生日里程碑很好地提醒我们反思我们的劳动成果，庆祝团队，充满信心地迎接新的一年。现在，自成立七年以来，我想知道：我们做到了吗？这是一家真正的公司吗？当然，我们已经成熟了，但我当然希望我们永远不会失去从一开始就存在的好奇心、激情和极客意识。

作为一个行业，我们永远不应该指望开发人员成为安全专家，但是组织可以采用新的开发人员支持标准，这样他们就可以生产出更高质量的软件。

2021 年 12 月，Java 库 Log4j 中披露了一个严重的安全漏洞 Log4Shell。在本文中，我们将 Log4Shell 漏洞分解为最简单的形式，便于你掌握基础知识，并向你介绍一个任务——一个游乐场，你可以利用对该漏洞的了解尝试利用模拟网站进行攻击。

我们没有得到切合实际的建议，也没有最快的解决方案来对抗现代网络安全这一不间断的攻击。当然，每种漏洞都有自己的不同，并且有许多攻击手段可以在易受攻击的软件中利用。可行的通用建议将受到限制，但最佳实践方法似乎每时每刻都存在更多缺陷。

安全团队之外可能不会广泛理解将重点放在预防性而不是被动的方法上，尤其是在没有发生重大而严重的安全事件的情况下。

Implement unit test coding guidelines uniformly and consistently

将API安全性置于偶然的机会是日后引入问题的必经之路，最坏的情况是可能会带来毁灭性的后果，充其量只能说是令人沮丧的返工和低性能。

以方便的方型将 Joda-Time 移植到 java.time

很明显，网络安全很重要，但它在供应链背景下到底意味着什么？

开发人员处于有利可图的进入AppSec的有利地位。

有效学习安全编码并保留这些知识可能会使它看起来天生就很困难，但是有了正确的工具和文化，就不一定如此。但是，说服利益相关者和上级投资于正确的培训并不总是那么容易。以下是一些方便的提示，可帮助您获得他们的忠诚。

专业开发人员希望拥抱DevSecOps并编写安全代码，但是他们的组织要想发展这种努力，就需要支持这种seachange。

10月初，Apache发布了2.4.49版本来修复路径遍历和远程代码执行漏洞，然后发布了2.4.50版本以解决修复未完成的事实。我们制定了一项使命，以证明现实生活中的风险。现在就试试吧。

米查·马丁内斯是Nelnet的网络安全分析师和电影摄影师。当负责为开发人员创建有关安全编码的培训计划时，他采用了创造性的方式来吸引团队。他运行安全代码培训计划的方式给我们留下了深刻的印象，于是我们与他坐下来了解更多。

注入攻击是臭名昭著的漏洞之王（按类别划分），由于访问控制中断而失去了头把交椅，成为最坏的情况，开发人员需要注意。

除了安全配置和访问控制外，开发人员是最接近和亲密接触代码的人。他们的安全技能必须得到培养，要达到NIST概述的高标准，动手实践课程结构可能只是解决这个问题的有效方法，尤其是对于大型开发团队而言。

就像基于 Web 的软件、API 和移动设备一样，如果攻击者在野外发现嵌入式系统中的易受攻击的代码，就会被利用。

作为应用程序安全专业人员，您的工作是确保组织应用程序的网络安全。但是，你没有责任编写应用程序运行的代码。开发团队中的工程师是。那么，如何确保他们在开发这些系统时考虑到安全性呢？

本文将概述如何保护嵌入式系统。我们将从基本定义开始，然后转到嵌入式安全方面的挑战、一些典型的解决方案以及缺失的难题是什么。

在这篇文章中，我们将比较MISRA C 2012标准与C2，并指导您完成切换到新标准的旅程。我们将解释为什么 MISRA 的合规性是构建安全的嵌入式系统所必需的。

在这篇文章中，您将概述嵌入式设备和嵌入式系统的开发。

我们与 Contrast Security 的 Larry Maccherone 坐下来讨论了情境学习如何成功地培训开发人员掌握安全编码。请继续阅读，了解组织如何在不干扰开发人员日常职责和工作流程的情况下向开发人员提供关键安全培训。

最近，我们非常高兴看到我们的董事长兼首席执行官彼得·丹希克斯在福布斯科技委员会的第一篇文章上线。该帖子详细介绍了如何提高开发人员的技能以创建更安全的代码是防止网络攻击和数据泄露的关键。

API 安全性是大多数安全专家心目中不远的问题，也是我们需要掌握应对的知识。

拜登政府最近发布的网络安全行政命令无疑引起了安全行业的关注，尤其是那些希望吸引开发人员认识到在日常工作中应用安全编码最佳实践的重要性的人。

我们最近与Selligent Marketing Cloud的软件工程师Dimitri Vanderhaeghe进行了交谈。Selligent Marketing Cloud是一个高度集成、由人工智能驱动的全渠道营销自动化平台，使雄心勃勃的B2C营销人员能够最大限度地利用与当今互联消费者的每一刻互动。对于一家快节奏的B2C技术公司来说，扩大规模并满足其不断增长的市场需求至关重要。能够满足这些需求的一部分是强调网络安全，最关键的是开发人员主导的安全技能计划。

这对于一个发人深省的统计数据来说怎么样？60% 的中小型企业在网络攻击成功后的六个月内倒闭。大公司流失数百万（或数十亿！）而品牌声誉却在流失。随着组织越来越多地采用安全编码实践，“向左移动” 的情况正在发生。随着DevSecOps的兴起，安全代码从一开始就成为人们关注的焦点。

Discover more about the most loved features of Sensei.

根据IBM的一项研究，与最初发现和修复漏洞相比，在发布后修复漏洞的成本要高出三十倍。考虑到这一点，前瞻性首席信息官实施安全编码实践也就不足为奇了。这意味着培训和装备开发人员从一开始就编写更安全的代码，使他们成为组织的 “第一道防线”。

质量安全代码培训对您的组织有哪些潜在影响——这可能是一项值得的投资吗？

在我们高度互联的世界中，几乎每个组织都有共同的致命弱点。一个漏洞，他们的代码中只有一个可利用的漏洞，就可能引发客户数据盗窃、声誉损害和重大财务损失。围绕安全编码进行组织协调从未像现在这样迫在眉睫，但实现这一点说起来容易做起来难。

美国联邦政府的最新行政命令涉及功能性网络安全的许多方面，但首次特别概述了开发者的影响，以及他们需要经过验证的安全技能和意识。

目前，只有15％的开发人员同意安全代码实践应该是每个人的责任。在安全威胁日益增加的世界中，这根本不够好。必须做点什么。创建健康的 AppSec 文化的关键之一是了解关键影响力（以及影响者！）在游戏中。

我们需要强化以人为本的网络安全最佳实践方法，这将比严重依赖自动化、工具和对已经嵌入和发现的问题的反应来取得更好的结果。

不安全的代码使公司损失了数百万美元——那么是什么阻碍了采用安全编码做法呢？在一个几乎所有事情都依赖软件的世界中，确保代码安全至关重要。品牌声誉和财务可行性取决于此。话虽如此，人们对安全编码存在许多担忧，还有许多阻碍其全面有效采用的障碍。比以往任何时候都更需要一种新的工作方式。

在过去的几年中，在快速上市的祭坛上牺牲了许多东西，例如网络安全、数兆兆字节的敏感客户数据和无价的品牌声誉。

如果说网络安全行业有什么要毁掉圣诞节的话，那是一次毁灭性的数据泄露事件，有望成为有记录以来影响美国政府的最大网络间谍事件。

在为开发人员提供安全代码培训方面，教育成果还有很多不足之处。许多公司花费巨资，但实际回报却微乎其微。这也就不足为奇了。

随着数据泄露及其成本的持续增加，我们世界上生成的代码量太大，安全专家无法单独处理。公司需要具有安全编码技能的开发人员——开发人员知道他们需要这些技能来发展自己的职业生涯。但是当前的安全代码培训让他们失望了。那么，在安全代码培训方面，开发人员想要什么呢？

无聊，无聊，无聊！这是每当提到安全代码培训时，你都会从开发人员那里听到的主要回应之一。在 Secure Code Warrior，我们相信一定有更好的方法。

AppSec工具没有像我们预期的那样被利用，有几个原因，与其说是工具及其功能，不如说是它们如何与整个安全程序集成。

在学习安全编码时，开发人员的主要动机是什么，以及如何利用他们来设计和实施成功的应用程序安全计划？

随着网络威胁数量的持续增长，组织每天都在安全性、实用性和速度之间做出权衡——在此过程中面临风险。

在网络威胁持续成倍增长的世界中，你的程序员是否在加紧努力？安全编码的人为要素——最重要的开发人员——准备好在保护我们的互联世界中发挥自己的作用了吗？为了回答这个问题，让我们来看看Secure Code Warrior与Evans Data Corp. 最近进行的一项关于开发人员对安全编码、安全代码实践和安全运营态度的研究中的一些见解。

在过去的20多年中，同样的10个软件漏洞造成的安全漏洞比其他任何漏洞都多。但是，许多企业仍然选择违规后、事后补救措施；混淆这一切的人力和业务后果。但是现在，一项新的研究指出了一个由人类主导的新方向。

现在是 SQL 注入的第 22 个生日，尽管这个漏洞已经过时了，可以喝了，但我们还是让它变得更好，而不是永久压制它。

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

好吧，建立在不信任的脆弱基础上的关系最好期望值不高。遗憾的是，这可能是组织内开发人员与AppSec团队之间工作关系的状态。