Les codeurs conquièrent la sécurité : Série "Partageons et apprenons" - Désérialisation non sécurisée
En fonction de l'application, le processus de sérialisation peut se produire en permanence. C'est le terme utilisé pour décrire chaque fois que des structures de données ou des états d'objets sont traduits dans un format qui peut être stocké ou éventuellement envoyé en tant que communication. La désérialisation est l'inverse de ce processus : elle prend les données désormais structurées et les retransforme en l'objet ou la chaîne de données qu'elles étaient avant d'être stockées.
La désérialisation non sécurisée peut se produire lorsqu'une application traite les données désérialisées comme des données de confiance. Si un utilisateur est en mesure de modifier les données nouvellement reconstruites, il peut effectuer toutes sortes d'activités malveillantes telles que des injections de code, des attaques par déni de service ou simplement modifier les données pour se donner un avantage au sein de l'application, par exemple en abaissant le prix d'un objet ou en élevant ses privilèges.
Dans cet épisode, vous apprendrez
- Comment les attaquants peuvent exploiter une désérialisation non sécurisée
- Pourquoi la désérialisation non sécurisée est dangereuse
- Techniques permettant de corriger cette vulnérabilité.
Comment les attaquants exploitent-ils la désérialisation non sécurisée ?
De nos jours, le format de données le plus populaire pour la sérialisation des données est JSON, bien que XML le suive de près. De nombreux langages de programmation proposent également leurs propres méthodes de sérialisation des données, qui contiennent souvent plus de fonctionnalités que JSON ou XML. Dans tous les cas, des problèmes peuvent survenir si les développeurs programment des applications qui traitent les données désérialisées comme des données fiables, au lieu de suivre le vieux mantra des autres blogs de cette série, à savoir : "Ne faites jamais confiance aux données de l'utilisateur !"
L'entrée utilisateur n'est jamais fiable car l'utilisateur peut insérer du code dans ces chaînes, qui pourrait être accidentellement exécuté par le serveur récepteur. Et comme les données brutes désérialisées peuvent parfois être consultées et exploitées, elles doivent être classées dans la même catégorie de non-confiance.
Par exemple, si une application de forum utilise la sérialisation d'objets PHP pour enregistrer un cookie contenant l'identification et le rôle d'un utilisateur, celui-ci peut être manipulé. Un utilisateur malveillant peut changer son rôle "utilisateur" en "administrateur". Il peut également utiliser l'ouverture fournie par la chaîne de données pour injecter du code, qui pourrait être mal interprété et exécuté par le serveur lorsqu'il traite les données "fiables".
Pourquoi la désérialisation non sécurisée est-elle dangereuse ?
Il est vrai que ce type d'attaque nécessite un minimum de compétences de la part d'un pirate, et parfois des essais et des erreurs pendant que l'attaquant apprend quels types de code ou d'exploits le serveur acceptera à partir de ses données manipulées et désérialisées. Cela dit, il s'agit d'une vulnérabilité couramment exploitée en raison de la puissance potentielle qu'elle confère aux pirates suffisamment habiles pour l'utiliser.
Selon la manière dont les données désérialisées sont censées être utilisées, un certain nombre d'attaques, dont beaucoup ont été abordées dans les blogs précédents, peuvent être employées. Une désérialisation non sécurisée peut être une passerelle vers l'injection de code croisé à distance, le scriptage intersite, le déni de service, le détournement de contrôle d'accès et, bien sûr, les attaques par injection SQL et XML. En fait, elle ouvre un point de lancement, déclare que toutes les données désérialisées sont fiables et laisse les attaquants essayer de les exploiter.
Élimination de la désérialisation non sécurisée
La chose la plus sûre que les organisations puissent faire pour empêcher une désérialisation non sécurisée est d'empêcher les applications d'accepter des données désérialisées. Il se peut toutefois que cela ne soit pas possible ou réaliste, mais ne vous inquiétez pas, car il existe d'autres techniques qui peuvent être employées pour se défendre contre ce type d'attaque.
Si possible, les données peuvent être nettoyées et transformées en valeurs numériques. Cela n'empêchera peut-être pas totalement un exploit, mais empêchera les injections de code de se produire. Il est encore mieux d'exiger une forme de contrôle d'intégrité des données désérialisées, telle qu'une signature numérique, qui pourrait garantir que les chaînes de données n'ont pas été manipulées. Tous les processus de désérialisation doivent être isolés et exécutés dans un environnement à faibles privilèges.
Une fois ces protections mises en place, veillez à enregistrer toutes les tentatives de désérialisation qui ont échoué, ainsi que l'activité du réseau provenant des conteneurs ou des serveurs qui désérialisent les données. Si un utilisateur déclenche plus de deux erreurs de désérialisation dans les journaux, c'est une bonne indication qu'il s'agit d'un initié malveillant ou que ses informations d'identification ont été piratées ou volées. Vous pouvez même envisager des mesures telles que le verrouillage automatique des utilisateurs qui déclenchent constamment des erreurs de désérialisation.
Quels que soient les outils que vous utilisez pour lutter contre la désérialisation non sécurisée, n'oubliez pas qu'il s'agit de données qui ont pu être touchées ou manipulées par un utilisateur. Ne vous y fiez jamais.
Plus d'informations sur l'utilisation de composants dont les vulnérabilités sont connues
Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de la désérialisation non sécurisée. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la vitrine gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
La désérialisation non sécurisée peut se produire lorsqu'une application traite les données désérialisées comme des données de confiance. Si un utilisateur est en mesure de modifier les données nouvellement reconstruites, il peut effectuer toutes sortes d'activités malveillantes telles que des injections de code, des attaques par déni de service ou l'élévation de ses privilèges.
Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationJaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
En fonction de l'application, le processus de sérialisation peut se produire en permanence. C'est le terme utilisé pour décrire chaque fois que des structures de données ou des états d'objets sont traduits dans un format qui peut être stocké ou éventuellement envoyé en tant que communication. La désérialisation est l'inverse de ce processus : elle prend les données désormais structurées et les retransforme en l'objet ou la chaîne de données qu'elles étaient avant d'être stockées.
La désérialisation non sécurisée peut se produire lorsqu'une application traite les données désérialisées comme des données de confiance. Si un utilisateur est en mesure de modifier les données nouvellement reconstruites, il peut effectuer toutes sortes d'activités malveillantes telles que des injections de code, des attaques par déni de service ou simplement modifier les données pour se donner un avantage au sein de l'application, par exemple en abaissant le prix d'un objet ou en élevant ses privilèges.
Dans cet épisode, vous apprendrez
- Comment les attaquants peuvent exploiter une désérialisation non sécurisée
- Pourquoi la désérialisation non sécurisée est dangereuse
- Techniques permettant de corriger cette vulnérabilité.
Comment les attaquants exploitent-ils la désérialisation non sécurisée ?
De nos jours, le format de données le plus populaire pour la sérialisation des données est JSON, bien que XML le suive de près. De nombreux langages de programmation proposent également leurs propres méthodes de sérialisation des données, qui contiennent souvent plus de fonctionnalités que JSON ou XML. Dans tous les cas, des problèmes peuvent survenir si les développeurs programment des applications qui traitent les données désérialisées comme des données fiables, au lieu de suivre le vieux mantra des autres blogs de cette série, à savoir : "Ne faites jamais confiance aux données de l'utilisateur !"
L'entrée utilisateur n'est jamais fiable car l'utilisateur peut insérer du code dans ces chaînes, qui pourrait être accidentellement exécuté par le serveur récepteur. Et comme les données brutes désérialisées peuvent parfois être consultées et exploitées, elles doivent être classées dans la même catégorie de non-confiance.
Par exemple, si une application de forum utilise la sérialisation d'objets PHP pour enregistrer un cookie contenant l'identification et le rôle d'un utilisateur, celui-ci peut être manipulé. Un utilisateur malveillant peut changer son rôle "utilisateur" en "administrateur". Il peut également utiliser l'ouverture fournie par la chaîne de données pour injecter du code, qui pourrait être mal interprété et exécuté par le serveur lorsqu'il traite les données "fiables".
Pourquoi la désérialisation non sécurisée est-elle dangereuse ?
Il est vrai que ce type d'attaque nécessite un minimum de compétences de la part d'un pirate, et parfois des essais et des erreurs pendant que l'attaquant apprend quels types de code ou d'exploits le serveur acceptera à partir de ses données manipulées et désérialisées. Cela dit, il s'agit d'une vulnérabilité couramment exploitée en raison de la puissance potentielle qu'elle confère aux pirates suffisamment habiles pour l'utiliser.
Selon la manière dont les données désérialisées sont censées être utilisées, un certain nombre d'attaques, dont beaucoup ont été abordées dans les blogs précédents, peuvent être employées. Une désérialisation non sécurisée peut être une passerelle vers l'injection de code croisé à distance, le scriptage intersite, le déni de service, le détournement de contrôle d'accès et, bien sûr, les attaques par injection SQL et XML. En fait, elle ouvre un point de lancement, déclare que toutes les données désérialisées sont fiables et laisse les attaquants essayer de les exploiter.
Élimination de la désérialisation non sécurisée
La chose la plus sûre que les organisations puissent faire pour empêcher une désérialisation non sécurisée est d'empêcher les applications d'accepter des données désérialisées. Il se peut toutefois que cela ne soit pas possible ou réaliste, mais ne vous inquiétez pas, car il existe d'autres techniques qui peuvent être employées pour se défendre contre ce type d'attaque.
Si possible, les données peuvent être nettoyées et transformées en valeurs numériques. Cela n'empêchera peut-être pas totalement un exploit, mais empêchera les injections de code de se produire. Il est encore mieux d'exiger une forme de contrôle d'intégrité des données désérialisées, telle qu'une signature numérique, qui pourrait garantir que les chaînes de données n'ont pas été manipulées. Tous les processus de désérialisation doivent être isolés et exécutés dans un environnement à faibles privilèges.
Une fois ces protections mises en place, veillez à enregistrer toutes les tentatives de désérialisation qui ont échoué, ainsi que l'activité du réseau provenant des conteneurs ou des serveurs qui désérialisent les données. Si un utilisateur déclenche plus de deux erreurs de désérialisation dans les journaux, c'est une bonne indication qu'il s'agit d'un initié malveillant ou que ses informations d'identification ont été piratées ou volées. Vous pouvez même envisager des mesures telles que le verrouillage automatique des utilisateurs qui déclenchent constamment des erreurs de désérialisation.
Quels que soient les outils que vous utilisez pour lutter contre la désérialisation non sécurisée, n'oubliez pas qu'il s'agit de données qui ont pu être touchées ou manipulées par un utilisateur. Ne vous y fiez jamais.
Plus d'informations sur l'utilisation de composants dont les vulnérabilités sont connues
Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de la désérialisation non sécurisée. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la vitrine gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
En fonction de l'application, le processus de sérialisation peut se produire en permanence. C'est le terme utilisé pour décrire chaque fois que des structures de données ou des états d'objets sont traduits dans un format qui peut être stocké ou éventuellement envoyé en tant que communication. La désérialisation est l'inverse de ce processus : elle prend les données désormais structurées et les retransforme en l'objet ou la chaîne de données qu'elles étaient avant d'être stockées.
La désérialisation non sécurisée peut se produire lorsqu'une application traite les données désérialisées comme des données de confiance. Si un utilisateur est en mesure de modifier les données nouvellement reconstruites, il peut effectuer toutes sortes d'activités malveillantes telles que des injections de code, des attaques par déni de service ou simplement modifier les données pour se donner un avantage au sein de l'application, par exemple en abaissant le prix d'un objet ou en élevant ses privilèges.
Dans cet épisode, vous apprendrez
- Comment les attaquants peuvent exploiter une désérialisation non sécurisée
- Pourquoi la désérialisation non sécurisée est dangereuse
- Techniques permettant de corriger cette vulnérabilité.
Comment les attaquants exploitent-ils la désérialisation non sécurisée ?
De nos jours, le format de données le plus populaire pour la sérialisation des données est JSON, bien que XML le suive de près. De nombreux langages de programmation proposent également leurs propres méthodes de sérialisation des données, qui contiennent souvent plus de fonctionnalités que JSON ou XML. Dans tous les cas, des problèmes peuvent survenir si les développeurs programment des applications qui traitent les données désérialisées comme des données fiables, au lieu de suivre le vieux mantra des autres blogs de cette série, à savoir : "Ne faites jamais confiance aux données de l'utilisateur !"
L'entrée utilisateur n'est jamais fiable car l'utilisateur peut insérer du code dans ces chaînes, qui pourrait être accidentellement exécuté par le serveur récepteur. Et comme les données brutes désérialisées peuvent parfois être consultées et exploitées, elles doivent être classées dans la même catégorie de non-confiance.
Par exemple, si une application de forum utilise la sérialisation d'objets PHP pour enregistrer un cookie contenant l'identification et le rôle d'un utilisateur, celui-ci peut être manipulé. Un utilisateur malveillant peut changer son rôle "utilisateur" en "administrateur". Il peut également utiliser l'ouverture fournie par la chaîne de données pour injecter du code, qui pourrait être mal interprété et exécuté par le serveur lorsqu'il traite les données "fiables".
Pourquoi la désérialisation non sécurisée est-elle dangereuse ?
Il est vrai que ce type d'attaque nécessite un minimum de compétences de la part d'un pirate, et parfois des essais et des erreurs pendant que l'attaquant apprend quels types de code ou d'exploits le serveur acceptera à partir de ses données manipulées et désérialisées. Cela dit, il s'agit d'une vulnérabilité couramment exploitée en raison de la puissance potentielle qu'elle confère aux pirates suffisamment habiles pour l'utiliser.
Selon la manière dont les données désérialisées sont censées être utilisées, un certain nombre d'attaques, dont beaucoup ont été abordées dans les blogs précédents, peuvent être employées. Une désérialisation non sécurisée peut être une passerelle vers l'injection de code croisé à distance, le scriptage intersite, le déni de service, le détournement de contrôle d'accès et, bien sûr, les attaques par injection SQL et XML. En fait, elle ouvre un point de lancement, déclare que toutes les données désérialisées sont fiables et laisse les attaquants essayer de les exploiter.
Élimination de la désérialisation non sécurisée
La chose la plus sûre que les organisations puissent faire pour empêcher une désérialisation non sécurisée est d'empêcher les applications d'accepter des données désérialisées. Il se peut toutefois que cela ne soit pas possible ou réaliste, mais ne vous inquiétez pas, car il existe d'autres techniques qui peuvent être employées pour se défendre contre ce type d'attaque.
Si possible, les données peuvent être nettoyées et transformées en valeurs numériques. Cela n'empêchera peut-être pas totalement un exploit, mais empêchera les injections de code de se produire. Il est encore mieux d'exiger une forme de contrôle d'intégrité des données désérialisées, telle qu'une signature numérique, qui pourrait garantir que les chaînes de données n'ont pas été manipulées. Tous les processus de désérialisation doivent être isolés et exécutés dans un environnement à faibles privilèges.
Une fois ces protections mises en place, veillez à enregistrer toutes les tentatives de désérialisation qui ont échoué, ainsi que l'activité du réseau provenant des conteneurs ou des serveurs qui désérialisent les données. Si un utilisateur déclenche plus de deux erreurs de désérialisation dans les journaux, c'est une bonne indication qu'il s'agit d'un initié malveillant ou que ses informations d'identification ont été piratées ou volées. Vous pouvez même envisager des mesures telles que le verrouillage automatique des utilisateurs qui déclenchent constamment des erreurs de désérialisation.
Quels que soient les outils que vous utilisez pour lutter contre la désérialisation non sécurisée, n'oubliez pas qu'il s'agit de données qui ont pu être touchées ou manipulées par un utilisateur. Ne vous y fiez jamais.
Plus d'informations sur l'utilisation de composants dont les vulnérabilités sont connues
Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de la désérialisation non sécurisée. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la vitrine gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstrationJaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
En fonction de l'application, le processus de sérialisation peut se produire en permanence. C'est le terme utilisé pour décrire chaque fois que des structures de données ou des états d'objets sont traduits dans un format qui peut être stocké ou éventuellement envoyé en tant que communication. La désérialisation est l'inverse de ce processus : elle prend les données désormais structurées et les retransforme en l'objet ou la chaîne de données qu'elles étaient avant d'être stockées.
La désérialisation non sécurisée peut se produire lorsqu'une application traite les données désérialisées comme des données de confiance. Si un utilisateur est en mesure de modifier les données nouvellement reconstruites, il peut effectuer toutes sortes d'activités malveillantes telles que des injections de code, des attaques par déni de service ou simplement modifier les données pour se donner un avantage au sein de l'application, par exemple en abaissant le prix d'un objet ou en élevant ses privilèges.
Dans cet épisode, vous apprendrez
- Comment les attaquants peuvent exploiter une désérialisation non sécurisée
- Pourquoi la désérialisation non sécurisée est dangereuse
- Techniques permettant de corriger cette vulnérabilité.
Comment les attaquants exploitent-ils la désérialisation non sécurisée ?
De nos jours, le format de données le plus populaire pour la sérialisation des données est JSON, bien que XML le suive de près. De nombreux langages de programmation proposent également leurs propres méthodes de sérialisation des données, qui contiennent souvent plus de fonctionnalités que JSON ou XML. Dans tous les cas, des problèmes peuvent survenir si les développeurs programment des applications qui traitent les données désérialisées comme des données fiables, au lieu de suivre le vieux mantra des autres blogs de cette série, à savoir : "Ne faites jamais confiance aux données de l'utilisateur !"
L'entrée utilisateur n'est jamais fiable car l'utilisateur peut insérer du code dans ces chaînes, qui pourrait être accidentellement exécuté par le serveur récepteur. Et comme les données brutes désérialisées peuvent parfois être consultées et exploitées, elles doivent être classées dans la même catégorie de non-confiance.
Par exemple, si une application de forum utilise la sérialisation d'objets PHP pour enregistrer un cookie contenant l'identification et le rôle d'un utilisateur, celui-ci peut être manipulé. Un utilisateur malveillant peut changer son rôle "utilisateur" en "administrateur". Il peut également utiliser l'ouverture fournie par la chaîne de données pour injecter du code, qui pourrait être mal interprété et exécuté par le serveur lorsqu'il traite les données "fiables".
Pourquoi la désérialisation non sécurisée est-elle dangereuse ?
Il est vrai que ce type d'attaque nécessite un minimum de compétences de la part d'un pirate, et parfois des essais et des erreurs pendant que l'attaquant apprend quels types de code ou d'exploits le serveur acceptera à partir de ses données manipulées et désérialisées. Cela dit, il s'agit d'une vulnérabilité couramment exploitée en raison de la puissance potentielle qu'elle confère aux pirates suffisamment habiles pour l'utiliser.
Selon la manière dont les données désérialisées sont censées être utilisées, un certain nombre d'attaques, dont beaucoup ont été abordées dans les blogs précédents, peuvent être employées. Une désérialisation non sécurisée peut être une passerelle vers l'injection de code croisé à distance, le scriptage intersite, le déni de service, le détournement de contrôle d'accès et, bien sûr, les attaques par injection SQL et XML. En fait, elle ouvre un point de lancement, déclare que toutes les données désérialisées sont fiables et laisse les attaquants essayer de les exploiter.
Élimination de la désérialisation non sécurisée
La chose la plus sûre que les organisations puissent faire pour empêcher une désérialisation non sécurisée est d'empêcher les applications d'accepter des données désérialisées. Il se peut toutefois que cela ne soit pas possible ou réaliste, mais ne vous inquiétez pas, car il existe d'autres techniques qui peuvent être employées pour se défendre contre ce type d'attaque.
Si possible, les données peuvent être nettoyées et transformées en valeurs numériques. Cela n'empêchera peut-être pas totalement un exploit, mais empêchera les injections de code de se produire. Il est encore mieux d'exiger une forme de contrôle d'intégrité des données désérialisées, telle qu'une signature numérique, qui pourrait garantir que les chaînes de données n'ont pas été manipulées. Tous les processus de désérialisation doivent être isolés et exécutés dans un environnement à faibles privilèges.
Une fois ces protections mises en place, veillez à enregistrer toutes les tentatives de désérialisation qui ont échoué, ainsi que l'activité du réseau provenant des conteneurs ou des serveurs qui désérialisent les données. Si un utilisateur déclenche plus de deux erreurs de désérialisation dans les journaux, c'est une bonne indication qu'il s'agit d'un initié malveillant ou que ses informations d'identification ont été piratées ou volées. Vous pouvez même envisager des mesures telles que le verrouillage automatique des utilisateurs qui déclenchent constamment des erreurs de désérialisation.
Quels que soient les outils que vous utilisez pour lutter contre la désérialisation non sécurisée, n'oubliez pas qu'il s'agit de données qui ont pu être touchées ou manipulées par un utilisateur. Ne vous y fiez jamais.
Plus d'informations sur l'utilisation de composants dont les vulnérabilités sont connues
Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de la désérialisation non sécurisée. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la vitrine gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Table des matières
Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Évaluation comparative des compétences en matière de sécurité : Rationalisation de la conception sécurisée dans l'entreprise
Le mouvement "Secure-by-Design" (conception sécurisée) est l'avenir du développement de logiciels sécurisés. Découvrez les éléments clés que les entreprises doivent garder à l'esprit lorsqu'elles envisagent une initiative de conception sécurisée.
DigitalOcean réduit sa dette de sécurité avec Secure Code Warrior
L'utilisation par DigitalOcean de la formation Secure Code Warrior a considérablement réduit la dette de sécurité, permettant aux équipes de se concentrer davantage sur l'innovation et la productivité. L'amélioration de la sécurité a renforcé la qualité des produits et l'avantage concurrentiel de l'entreprise. À l'avenir, le score de confiance SCW les aidera à améliorer leurs pratiques de sécurité et à continuer à stimuler l'innovation.
Ressources pour vous aider à démarrer
La note de confiance révèle la valeur des initiatives d'amélioration de la sécurité par la conception
Nos recherches ont montré que la formation au code sécurisé fonctionne. Le Trust Score, qui utilise un algorithme s'appuyant sur plus de 20 millions de points de données d'apprentissage issus du travail de plus de 250 000 apprenants dans plus de 600 organisations, révèle son efficacité à réduire les vulnérabilités et la manière de rendre l'initiative encore plus efficace.
Sécurité réactive contre sécurité préventive : La prévention est un meilleur remède
L'idée d'apporter une sécurité préventive aux codes et systèmes existants en même temps qu'aux applications plus récentes peut sembler décourageante, mais une approche "Secure-by-Design", mise en œuvre en améliorant les compétences des développeurs, permet d'appliquer les meilleures pratiques de sécurité à ces systèmes. C'est la meilleure chance qu'ont de nombreuses organisations d'améliorer leur sécurité.
Les avantages de l'évaluation des compétences des développeurs en matière de sécurité
L'importance croissante accordée au code sécurisé et aux principes de conception sécurisée exige que les développeurs soient formés à la cybersécurité dès le début du cycle de développement durable, et que des outils tels que le Trust Score de Secure Code Warriorles aident à mesurer et à améliorer leurs progrès.
Assurer le succès des initiatives de conception sécurisée de l'entreprise
Notre dernier document de recherche, Benchmarking Security Skills : Streamlining Secure-by-Design in the Enterprise est le résultat d'une analyse approfondie d'initiatives réelles de conception sécurisée au niveau de l'entreprise, et de l'élaboration d'approches de meilleures pratiques basées sur des conclusions fondées sur des données.