Code de sécurité Insight

Secure Code Warrior는 보안 및 개발자 커뮤니티에 코드를 안전하게 작성하고 안전하지 않은 코드를 통해 유입되는 취약점의 위험을 완화하는 방법을 교육하는 데 최선을 다하고 있습니다.이 목표의 일환으로 우리는 다음의 개발 스토리를 활용할 것입니다. 우버의 최근 보안 사고 개발자 중심의 보안과 좌익 전환의 중요성에 대해 논의할 수 있는 기회입니다.

우버 보안 사고

우버 (Uber) 는 성명서를 발표했습니다. 9월 16일에 발생한 사이버 보안 사고에 대해 계속 업데이트하고 있습니다.독자들은 이 이야기가 계속되고 있다는 점을 명심해야 합니다.지금까지 Uber의 발표와 보안 커뮤니티의 평판이 좋은 다른 게시물을 통해 알게 된 내용을 요약해 보겠습니다.

해커는 What'sapp 번호를 찾은 후 Uber 직원을 소셜 엔지니어링하는 것으로 시작했습니다.공격자는 이들에게 연락해 의심하지 않는 직원이 가짜 Uber 사이트에 로그인하도록 한 다음 사용자 이름과 비밀번호를 알아내는 방식으로 자격 증명을 피싱하기 시작했습니다.

Uber 계정은 다중 요소 인증 (MFA) 을 통해 보호됩니다. 즉, 사용자는 비밀번호를 제출하는 것 외에도 신원을 확인하는 두 번째 증거를 제시해야 합니다.대부분의 경우 이는 모바일 기기로 전송되는 프롬프트입니다.

공격자는 자격 증명을 획득한 후 다음을 시작했습니다. MFA 피로 공격 계속해서 정품 Uber 사이트에 로그인을 시도하고 직원이 기기에 수많은 푸시 알림을 보내도록 하는 방식으로 말이죠.다시 말하지만, 공격자는 WhatsApp을 통해 피해자에게 연락했습니다.이번에는 그들이 주장한 것으로 알려졌습니다. IT 지원 담당자로 위장함 그리고 성공적으로 그들이 받아들이도록 설득했습니다.

하드코딩된 자격 증명

Uber의 보안 침해는 성공적인 피싱 공격이었습니다.침입자는 안으로 들어가 PowerShell 스크립트가 포함된 네트워크 공유를 발견했습니다.이 스크립트 중 하나에는 관리자의 하드코딩된 자격 증명이 포함되어 있었고, 이로 인해 AWS, G-Suite, 코드 리포지토리와 같은 Uber 내부 서비스가 손상되었습니다.해커는 Uber의 HackerOne 계정에도 액세스할 수 있었습니다.하지만 Uber에 따르면 “공격자가 액세스할 수 있었던 모든 버그 보고서는 수정되었습니다.”

이 취약점이 코드에서 어떻게 보이는지 궁금하신가요?다음 프로그램을 사용해 보십시오. 파워쉘 챌린지 무료.

이러한 유형의 공격은 얼마나 흔한가요?

인적 요소는 항상 사이버 보안의 가장 취약한 부분으로 간주되어 왔기 때문에 공격 벡터로서의 소셜 엔지니어링은 방어하기 어렵습니다.Uber 해킹은 MFA 구현을 쉽게 우회할 수 있다는 것을 분명히 보여주었습니다.이를 방지하는 비결은 직원들 사이에서 피싱 공격의 작용에 대한 인식을 높이는 것입니다.

그러나 Uber의 내부 서비스가 노출된 원인은 PowerShell 스크립트에서 발견된 관리자의 사용자 이름과 비밀번호입니다.자격 증명을 하드코딩하는 것은 결코 좋은 일이 아닙니다. 모든 개발자, 기본적으로 코드에 액세스할 수 있는 모든 사람이 읽을 수 있기 때문입니다.

하지만 다시 말씀드리지만, 인식이 핵심입니다!보안을 중시하는 사고방식을 가진 개발자는 취약점을 발견할 가능성이 높지만 취약점을 발견할 확률은 낮습니다.

소셜 엔지니어링에 대한 일반 교육의 두 가지 접근 방식, 특히 사전 예방적 보안 코딩 교육을 통해 코드 기반의 취약점을 줄일 수 있으므로 보안 위협에 맞서 싸우는 데 매우 중요한 역할을 할 수 있습니다.

보안 코딩 모범 사례를 최신 상태로 유지하는 방법에 대해 자세히 알아보고 싶으신가요?확인해 보세요 시큐어 코드 코치.여기에서 무료로 보안 코딩 가이드라인과 트라이아웃 교육 연습을 배울 수 있습니다.

... 제3자가 저장소 액세스 권한을 가진 사용자 중 한 명의 올바른 사용자 이름과 암호를 사용하여 저장소에 액세스했습니다.다른 git 호스팅 서비스도 비슷한 공격을 받고 있기 때문에 이러한 자격 증명이 다른 서비스를 통해 유출되었을 수 있다고 생각합니다.

웹 기반 서비스의 사용자로서 개인 데이터 침해 가능성에 대한 이메일을 받는 것은 결코 좋은 경험이 아닙니다.이제 데이터가 사용자의 노고를 나타내는 코드 저장소이거나 소프트웨어의 영업 비밀이라고 상상해 보십시오. 적어도 392 (지금까지) 깃허브, 비트버킷 과 깃랩 사용자들은 이번 주에 심장이 멎을 정도로 놀라운 알림을 받았습니다. 게다가 공격자가 코드를 다운로드해서 저장소에서 삭제했습니다. 몸값을 요구함.영향을 받은 사용자 파일이 모두 사라지면 다음 메시지가 포함된 텍스트 파일 하나만 남습니다.

대부분의 다른 뉴스 가치가 있는 회사 침해와 달리 (심지어 이전 공격 GitHub에서) 이것은 플랫폼의 버그로 인한 것이 아닙니다.오히려 계정 정보가 일반 텍스트로 안전하지 않게 저장되어 타사 저장소 관리 서비스에서 유출되었을 가능성이 큽니다.개발자들은 중요한 암호를 잘못 저장하는 경우가 많았고, 가치가 높은 계정 여러 개에 동일한 자격 증명을 재사용하는 경우가 많았습니다.

사기꾼은 프로그래밍 세계에서 최고이자 똑똑하지 않은 것으로 보입니다. (글을 쓰는 시점에서) 코드를 복구하기 위해 몸값을 지불한 사용자는 한 명도 없었고, 보안을 염두에 둔 일부 영리한 사람들은 이미 영향을 받은 사용자가 다음과 같은 해결 방법을 찾았기 때문입니다. 삭제된 코드 복구.

하지만 이는 보안 업계에서 오랫동안 우리가 알고 있었던 문제를 부각시키고 있습니다. 대부분의 개발자는 단순히 보안에 대해 충분히 인식하지 못하고 있으며 해킹에 능숙하지 않은 개발자라도 중요한 데이터가 언제든지 위험에 처할 수 있다는 것입니다.

비밀번호 관리가 여전히 부실한 이유는 무엇일까요?

물론 인간에게는 결함이 있으며 우리는 자신의 삶을 더 편하게 만들고 싶어하는 경향이 있습니다.같은 사용자 이름과 암호를 반복해서 재사용하는 것이 훨씬 번거롭지 않고, 첫 강아지의 이름을 기억하는 것이 “Z7B3#! q0HWxxv29!”를 입력하는 것보다 훨씬 쉽습니다.그냥 이메일에 접속하기 위해서요하지만 수많은 대규모 사이버 공격이 지속적으로 발생하고 있기 때문에 지금쯤이면 개발자들이 더 잘 알고 있을 것입니다.

깃허브 자신의 조언 2단계 인증이 적용되고 보안 암호 관리자가 사용되었다면 이러한 랜섬 공격이 발생하지 않았을 것이라고 평가한 것은 간단했습니다.물론 맞는 말이긴 하지만, 계속 말씀드리자면, 교육이 더 나아가야 한다는 것은 분명합니다.모든 개발자는 특정 행위로 인해 계정이 공격에 취약해질 수 있는 이유를 근본적인 수준에서 이해해야 합니다.

교육: 마법의 약?

보안에 정통한 코더는 간단한 것을 이해합니다. 보안 구성 오류 치명적인 결과를 초래할 수 있으며, 이번 GitHub 공격의 경우 잘못 구성된 파일이 공격자가 악의적인 스키머를 성공적으로 주입하여 성의 키를 추적하는 데 중요한 역할을 한 것으로 보입니다.

민감한 데이터 노출 극복해야 할 중요한 취약점이기도 하며, 여전히 OWASP Top 10에서 3위를 차지하고 있습니다.암호를 일반 텍스트로 저장하는 것은 많은 사람들이 암호를 일반 텍스트로 저장하는 것의 위험성과 무차별 암호 공격을 통해 시스템이 얼마나 쉽게 침해될 수 있는지를 이해하지 못한다는 명백한 증거입니다.

암호화 (특히 암호화 스토리지) 에 대한 이해는 철저한 보안을 사용하여 코드 기반의 암호를 관리하는 데 필수적인 요소입니다.저장된 암호를 성공적으로 솔팅 및 해싱하여 고유성을 강화하면 이러한 랜섬 사건과 같은 상황이 발생하기가 훨씬 더 어려워집니다.

개발자를 위한 적절한 교육과 사이버 위협 위험을 심각하게 받아들이는 데 더 중점을 두고 보안에 대한 우리의 집단적 태도를 바꿔야 한다는 점을 이해하는 것이 중요합니다.우리는 보안에 대해 배우는 것이 긍정적이고 보람 있는 경험으로 만들어야 합니다. 이것이 모든 개발자가 자신의 작업을 스스로 평가할 수 있도록 표준을 전반적으로 높이는 데 기본이 될 것이라고 생각합니다.

여기에서 읽은 취약점을 해결해 보고 싶으신가요?에서 관련 챌린지를 플레이할 수 있습니다. 시큐어 코드 워리어 바로 지금:

• 잘못된 보안 구성
• 안전하지 않은 암호화 스토리지
• 민감한 데이터 노출

Une version de cet article a été publiée dans DevOps.com. Elle a été mise à jour et publiée ici.

Le terrain de jeu entre les héros et les méchants de la cybersécurité est notoirement injuste. Les données sensibles sont le nouvel or, et les attaquants s'adaptent rapidement pour contourner les défenses, en exploitant les bogues de sécurité, petits et grands, pour en tirer un profit potentiel.

Le volume de code produit est trop important pour que les experts en sécurité - de plus en plus rares - puissent y faire face, et le coût croissant des violations de données est la preuve que quelque chose doit changer. Heureusement, pour notre sécurité numérique et la santé mentale de tous les RSSI, le mouvement DevSecOps contribue à intégrer les développeurs à la sécurité dès le début du processus de développement logiciel. Ils sont reconnus comme la première ligne de défense contre les cyberattaquants, avec le pouvoir d'éliminer les vulnérabilités courantes au bout de leurs doigts.

Cependant, leurs capacités défensives ne sont que le reflet de la formation qu'ils reçoivent, et c'est un autre défi que les équipes de sécurité doivent relever. Pour de nombreux développeurs qui reçoivent une formation au codage sécurisé dans le cadre de leur travail, le principal défi consiste à rester éveillés pendant des activités abrutissantes qui ne sont pas efficaces et qui ne les incitent pas à garder la sécurité à l'avant-plan de leurs préoccupations. Les vidéos sans âme courses ne nous y conduisent pas, les événements annuels à cocher sont une perte de temps, et personne ne gagne contre les acteurs potentiels de menaces malveillantes qui attendent de sauter sur une petite fenêtre d'opportunité.

À ce stade de notre industrie, nous avons compris qu'une formation contextuelle et pratique, dispensée dans des langages de programmation et des cadres pertinents, avec des défis qui imitent ceux qu'un développeur pourrait rencontrer dans le monde réel, est une approche bien plus attrayante.

Il s'agit de la première phase de la quête d'un développeur pour aider les gourous de l'AppSec à éliminer les vulnérabilités courantes, mais c'est au cours de la deuxième phase que les scénarios doivent devenir réels pour une force défensive suralimentée et consciente de la sécurité.

L'apprentissage par échafaudage est essentiel dans l'éducation des adultes

Lorsqu'il s'agit d'activités extrascolaires ( courses ) ou de formation en cours d'emploi, on oublie souvent que les adultes apportent avec eux un certain niveau d'expérience et de connaissances. Une bonne formation complète cette base et est structurée de manière à permettre une compréhension plus profonde et une autonomie plus rapide dans le processus d'apprentissage.

L'éducation encadrée est une méthode d'apprentissage puissante et positive qui cherche à activer et à renforcer l'expérience antérieure, tout en continuant à développer de nouvelles compétences - en morceaux gérables - qui permettent à l'élève de s'attaquer à des tâches de plus en plus difficiles avec plus de confiance. En règle générale, il s'agit d'une méthodologie qui s'accompagne d'une bonne dose de démonstrations, d'aides visuelles et d'explorations menées par l'élève.

Si nous rattachons cette approche à la formation à la sécurité des développeurs, il n'est pas surprenant que la méthode dynamique d'apprentissage par la pratique ait longtemps été préférée à l'apprentissage statique basé sur la théorie. Ils sont libres d'être les maîtres de leur domaine et doivent veiller à ce que leur temps soit bien utilisé.

Dans ce sens, apprendre à coder en toute sécurité dans un environnement contextuel hyper pertinent est essentiel, mais le "niveau supérieur" de cette étape est de voir un exploit de code vulnérable en action. Avec le contexte des vues frontales et dorsales côte à côte, il existe un lien tangible entre les actions entreprises au cours du processus de codage et ce qu'un attaquant peut potentiellement faire en prenant des raccourcis, en procédant à des configurations erronées ou à des accidents qui n'ont pas été détectés et corrigés.

Passez du rappel à l'application pour une approche véritablement préventive de la sécurité

Faire l'expérience directe de l'impact des vulnérabilités de sécurité est une pièce essentielle du puzzle de l'éducation, et c'est une chose assez rare, même avec les options de formation à la sécurité les plus modernes pour les développeurs. Le travail de base consacré à l'amélioration des compétences en matière de repérage et de correction des vulnérabilités, et le rappel de cette expérience pour éliminer les mêmes bogues dans le code en cours d'écriture sont extrêmement importants, mais ce n'est pas tout. Voir comment un code vulnérable est exploité par un acteur malveillant ajoute une puissante couche de contexte, qui souligne vraiment l'importance de sécuriser le code et d'appliquer les connaissances en matière de sécurité durement acquises pour fermer chaque fenêtre d'opportunité.

Il est généralement admis que les développeurs n'aiment pas la sécurité et qu'ils ont encore moins d'affection pour la formation à la sécurité. Leurs expériences avec les spécialistes de l'AppSec peuvent être très glaciales, et le travail de reprise causé par l'équipe de sécurité qui renvoie le code vulnérable aux développeurs pour qu'ils y remédient est le fléau de leur existence. Pour une équipe d'ingénieurs déjà très dispersée, la sécurité est le problème de quelqu'un d'autre, ce n'est pas sa priorité et c'est une entrave à sa créativité naturelle et à son objectif premier qui est de créer des fonctionnalités. Cependant, il y a tout simplement trop de code, trop de brèches et trop de risques pour les données mondiales pour que cette mentalité perdure.

Un processus DevSecOps fonctionnel permet aux développeurs de travailler en harmonie avec les équipes de sécurité dès le début du SDLC, et l'opportunité d'un apprentissage appliqué où ils peuvent interagir avec un exploit simulé et voir l'impact d'un code mal sécurisé contribue grandement à mettre les développeurs sur la même longueur d'onde que les personnes chargées de l'AppSec (qui ne sont pas si mauvaises que cela, après tout).

L'apprentissage interactif prépare les développeurs au combat des chefs

À l'heure où nous écrivons ces lignes, deux violations majeures ont été signalées en l'espace de sept jours : Razer a annoncé que plus de 100 000 données sensibles avaient été exposées, tandis que la chaîne de fournitures de bureau Staples a également signalé une fuite de données similaire. Plus d'un milliard d'enregistrements sensibles ont été exposés jusqu'à présent en 2020, et cette tendance inquiétante ne montre aucun signe de ralentissement. En d'autres termes, les acteurs malveillants ont le dessus, et les développeurs sensibilisés à la sécurité sont cruellement nécessaires pour servir de première ligne de défense.

Les défis interactifs qui se concentrent sur la simulation de telles brèches permettent aux développeurs de passer d'un rappel passif à l'application de compétences qui ont un impact sur le véritable combat des chefs : stopper les attaquants dans leur élan.

‍

이 기사의 한 버전은 원래 에 게재되었습니다. 헬프넷 보안.여기에서 업데이트 및 신디케이트되었습니다.

‍

코드에 어느 정도 익숙해야 하는 실무 사이버 보안 역할을 맡고 있다면 SQL 주입에 대해 몇 번이고 생각해야 했을 가능성이 큽니다.이는 흔한 취약점으로, 최초 발견 후 몇 주 내에 간단한 해결책을 찾을 수 있음에도 불구하고 계속해서 당사 소프트웨어를 괴롭히며 배포 전에 탐지하지 못하면 잠재적 공격자가 될 수 있는 기회를 제공합니다.

2020년 12월 13일은 SQL Injection의 22번째 생일이 되는 날이었습니다. 이 취약점은 충분히 마실 수 있을 만큼 오래되었음에도 불구하고 우리는 이를 영원히 부수는 대신 더 나은 결과를 얻을 수 있도록 하고 있습니다.올해 8월에 Freepik Company는 다음과 같은 사실을 공개했습니다. SQL 인젝션 실수의 희생양이 되었습니다 이로 인해 830만 명의 사용자 계정이 손상되었습니다.이들 중 다수는 타사 로그인 (예: Google, Facebook) 을 사용했지만, 암호화되지 않은 비밀번호가 사용자 이름과 함께 노출된 사람은 수백만 명에 달했습니다.안타깝게도 이러한 사건으로 인한 여파는 그들과 다른 많은 사람들에게 큰 골칫거리이며 사용자와의 신뢰를 회복하는 것은 장기적인 과정입니다.

기존 문제로 간주되는 문제로 이 이정표를 “축하”하는 동안 잠시 분석해 보겠습니다.이런 문제가 계속 나타나는 이유는 무엇일까요? OWASP Top 10 상위 10위 안에 들지 못해서 아직도 위험한 이유는 무엇일까요? 그리고 비교적 간단한 수정으로는 소프트웨어 개발의 일반 벤치마크 표준에 포함되지 못하는 이유는 무엇일까요?

SQL 인젝션이 2021년에도 여전히 관련이 있는 이유는 무엇입니까?

최근의 세간의 이목을 끄는 보안 침해 사례를 간단히 살펴보면 FireEye에 대한 파괴적인 사이버 공격는 놀라운 수준의 정교함을 보여줍니다. FireEye Heist에 맞게 맞춤화된 것으로 보이는 다양한 고급 기술을 활용한 고도로 조정된 국가 차원의 공격이었습니다. FireEye의 CEO Kevin Manda는 성명에서 다음과 같이 말했습니다.

”공격자들은 특히 표적과 목적에 맞게 세계 최고 수준의 능력을 조정했습니다. 공격 파이어아이.이들은 운영 보안에 대한 고도의 교육을 받았으며 규율과 집중력을 가지고 실행에 옮겼습니다... 과거에는 당사나 파트너가 볼 수 없었던 새로운 기술을 조합하여 사용했습니다.”

이는 모든 CISO에게는 악몽과도 같은 일입니다. FireEye에 이런 일이 발생할 수 있다면 많은 기업이 실제로 얼마나 취약한지 알 수 있습니다.

... 단, 짝수예요 보다 나쁜 일반 조직을 위한 뉴스.FireEye는 세계에서 가장 유명한 사이버 보안 회사 중 하나입니다. FireEye에 대한 성공적인 공격에는 지도자 수준의 사기꾼들이 자신이 가진 모든 것을 동원하여 조직적인 대규모 처형을 감행했습니다.대다수 기업의 경우 단순한 버그를 악용하여 마스터마인드가 전혀 필요 없이 신속하게 악용함으로써 수익성 높은 데이터 유출이 발생할 수 있습니다.SQL 인젝션은 후자의 일반적인 예인데, 다크 웹에서 돈을 빨리 벌고자 하는 스크립트 전문가들이 여전히 활용하고 있습니다.

2020년 5월, 한 남자가 신용 카드 밀매 및 해킹 혐의로 기소되었습니다, 수십만 개의 활성 신용 카드 번호가 저장된 디지털 미디어를 발견했을 때.그는 SQL 인젝션 기법을 사용하여 이 모든 데이터를 수집했는데, 이 과정에서 많은 기업과 수백만 명의 고객이 피해를 입었습니다.

산업으로서 우리는 입니다 항상 개선되고 있지만 SQL 인젝션은 여전히 심각한 위협이며 레거시 시스템이나 패치가 적용되지 않은 시스템보다 훨씬 더 많은 영향을 미칩니다.

개발자가 이를 유지하는 이유 (그리고 개발자의 잘못이 아닌 이유)

우리는 SQL 인젝션은 수정하기 쉽고 코드를 작성하여 전혀 도입하지 않아야 한다고 계속 말하고 있습니다.대부분의 경우와 마찬가지로 올바른 방법을 배운 후에야 쉽게 할 수 있습니다.

여기에서 소프트웨어 개발 프로세스의 바퀴가 흔들리기 시작합니다.개발자들도 같은 실수를 저지르면서 코드베이스에 침투하는 SQL 주입과 같은 취약점이 반복되고 있습니다.하지만 이는 놀라운 일이 아닙니다.대부분의 엔지니어는 보안 코딩에 대해 많은 것을 배우지 못한 채 학위를 마칩니다.대부분의 실무 교육은 부적절합니다. 특히 보안이 업무상 업무 우선 순위로 간주되지 않는 환경에서는 더욱 그렇습니다.

우리는 개발자들이 보안에 신경을 써야 할 이유도 없고, 보안을 더 잘 인식할 수 있는 강력한 플랫폼을 제공하지도 않습니다.잘못된 코딩 패턴은 SQL 인젝션과 같은 버그를 계속 살리고 있습니다. 따라서 개발자의 보안 인식에 더 중점을 두고 더 높은 수준의 안전하고 품질 좋은 코드를 작성할 시간을 주어야 합니다.보안 코딩 패턴은 작성하는 데 시간이 더 오래 걸릴 수 있지만, 여기에 소요되는 시간은 프로세스 후반부에 매우 중요한 효율성을 제공합니다.

SQL 인젝션 장례식이 있을까요?

장례식에 대한 비유는 약간 병적입니다. 하지만 SQL 주입이 영원히 중단된다면 우리의 민감한 데이터는 더 안전할 것입니다.하지만 그렇게 되기 전에 생일을 몇 번 더 축하할 것이라고 확신합니다. 예방적 보안과 보안 코딩에 중점을 두는 문화가 제대로 발전하지 못했기 때문입니다.

Rust와 같이 더 새롭고 보안이 강력한 언어는 더 안전한 기능을 활용하여 오랫동안 다루어온 일부 버그를 근절하는 데 도움이 되지만, 계속해서 사용되고 잠재적으로 취약할 수 있는 레거시 소프트웨어, 오래된 시스템 및 라이브러리는 엄청나게 많습니다.

“쉬운” 익스플로잇이 영원히 종료되는 것을 보려면 개발 프로세스의 보안에 대한 공동 책임 (안녕하세요, DevSecOps) 이 매우 중요할 것입니다.개발자들은 처음부터 여정에 참여해야 하며, 더 안전하고 더 나은 코드를 만드는 데 자신이 맡은 역할을 책임질 수 있도록 지원해야 합니다.

개발자는 코드의 SQL 인젝션 버그 수정에 어떻게 접근해야 할까요?

우리는 모았습니다 종합 가이드 SQL 인젝션을 식별하고 수정하는 방법을 배우려는 개발자를 위한 것입니다.원하는 프로그래밍 언어 (COBOL도 가능) 로 게임화된 챌린지를 완료하세요.이를 통해 모든 개발자가 더 안전하고 고품질의 코드를 만드는 데 도움이 되는 몇 가지 훌륭한 기초 학습을 얻을 수 있습니다.

이달 초 벨기에 버그 바운티 헌터, 인티 드 슈켈레르 수백 개의 회사에 영향을 미치는 창의적인 해킹을 공개했습니다.이러한 속임수에는 결함을 악용하는 것이 포함됩니다. 비즈니스 로직 인기 있는 헬프데스크 및 이슈 트래커에서 인트라넷, 소셜 미디어 계정 또는 대부분 Yammer 및 Slack 팀에 액세스할 수 있습니다.자세한 내용은 에서 확인할 수 있습니다. Inti의 자체 블로그 게시물.저는 이 방법을 생각해내는 데 필요한 창의성에 깊은 인상을 받았고, 관련된 과정에 대한 호기심이 생겼습니다. 그래서 인티에게 몇 가지 질문을 던져 보기로 했습니다. 그 질문에 대한 답을 여러분과 공유해 보려고 합니다.

안녕하세요 인티, 독자들에게 자신을 간단히 소개해 주시겠습니까?

저는 인티예요. 인티그리티와 해커론의 버그 바운티 헌터예요.저는 알스트 (벨기에) 에 살며 물건을 부수면서 하루를 보냅니다.

지난 주에 블로그 포스트를 읽고 그 이후로 'Ticket Trick'이라고 불렀던 것에 대해 읽었는데, 이 익스플로잇을 찾아낸 당신의 창의성에 깊은 인상을 받았습니다.이 트릭을 시험해 볼 아이디어를 어떻게 생각해 냈나요?

저는 버그 바운티 프로그램에 참여하고 있습니다. 즉, 특정 웹사이트는 고유한 취약점을 발견한 책임 있는 보안 연구원에게 자금을 제공합니다.경쟁이 치열하기 때문에 다른 사람들이 아직 찾지 못한 것들을 계속 찾아야 합니다.Slack은 민감한 정보를 담고 있는 경우가 많고 유효한 회사 이메일만 있으면 되는 경우가 많기 때문에 흥미로운 공격 벡터라고 생각했습니다.그래서 맥주를 한 잔 들고 소파에 누워 가능한 모든 공격 경로에 대해 생각하기 시작했습니다.갑자기 이런 엉뚱한 생각이 떠올랐어요. 효과가 있었다는 게 밝혀졌어요.저는 보통 제 머릿속에 떠오르는 모든 것을 시도합니다.비록 몇 번 밖에 효과가 없긴 하지만, 보람은 있어요. ;-)

보통 반대편에서 코드를 보호하려고 노력하는 사람으로서 저는 종종 펜테스팅 세션이 어떤 모습인지 궁금합니다.어디서 일해요?소파에서 여가 시간에도 하는 일인가요?아니면 사무실에 앉아 계신가요?

낮에는 스튜디오 브뤼셀 (Studio Brussel) 이라는 라디오 방송국에서 디지털 크리에이티브 코더로 일해요.프로그래밍과 소셜 미디어가 약간 필요하지만 보안은 필요하지 않습니다.저는 취미와 직업적 직업을 섞지 않으려고 노력해요.그렇게 하면 창의력을 잃을까봐 두렵습니다.저는 그렇게 자주 해킹하지 않아요. 일주일에 최대 몇 시간씩이요.테이블 위, 소파 위, 침대 위 등 그 순간 편한 대로 할 수 있어요.

어떻게 시작하나요?치트 시트 있어요?입력 유효성 검사 또는 출력 이스케이핑이 충분한지 테스트할 입력이 있습니까?

저는 정말 혼란스러워서 체크리스트도 없고 그냥 직감만 사용합니다.저는 대부분 리콘 (recon) 이라는 것으로 시작합니다. 흥미로운 대상 정보, 하위 도메인, IP 주소 등 제가 찾을 수 있는 모든 것을 나열하는 거죠.저는 해킹을 시작하기 전에 더 큰 그림을 보고 비즈니스 로직을 이해하려고 노력합니다.교과서 수준의 표준 취약점만 찾아본다면 더 교묘하고 복잡한 결함을 많이 놓치게 될 것입니다.입력과 관련해서는 하나의 페이로드에서 가능한 많은 취약점을 다루려고 노력합니다.저는 흥미로운 것을 발견할 때마다 한동안 그걸 가지고 놀면서 말도 안 되는 말을 많이 던집니다. 단지 시스템이 어떻게 반응하는지 보기 위해서죠.가장 좋은 버그는 종종 웹 애플리케이션의 외딴 부분에서 발견될 수 있기 때문에 가능한 한 깊이 파헤치려고 노력합니다.

좋은 펜테스터는 무엇이라고 생각하시나요?공유해 주실 수 있는 요령이 있으신가요?

저는 펜테스터가 아니기 때문에 일반적으로 펜테스터에 대해 말할 수는 없지만 동기 부여와 끈기가 가장 중요한 자산이라고 생각합니다.대부분의 사람들은 구글에서 보안 취약점을 찾는 것을 고려조차 하지 않을 것입니다. 왜냐하면 그들은 세계 최고의 엔지니어를 보유하고 있으면서도 매년 수백만 달러의 버그 바운티를 지불하고 있기 때문입니다.저는 타겟팅 작업을 2년 넘게 해왔는데 이제 정말 흥미로운 버그를 찾아내기 시작했습니다.시간이 좀 걸려요.일반 펜테스팅의 문제점은 테스터가 심각한 취약점을 발견했는지 여부에 관계없이 일정 금액의 보상을 받는다는 것입니다.페이스북에는 여전히 많은 버그가 남아 있다고 생각합니다. 충분히 깊이 파고들 의향이 있는 사람이 필요할 뿐입니다.

티켓 트릭의 규모를 알았을 때 가장 먼저 어떤 생각이 들었나요?

여러 가지 감정이 들었어요.놀라움을 금치 못했고 그걸로 모을 수 있는 버그 현상금이 떠올랐지만, 한편으로는 이게 가능하다는 사실에 놀랐습니다.이런 것을 발견할 때마다 악의적인 당사자들이 매우 관심을 가질 만한 귀중한 정보를 갑자기 많이 소유하게 됩니다.정보 공개 과정은 매우 까다롭습니다. 피해를 입은 기업에 가능한 한 많은 정보를 알려야 하지만, 한편으로는 정보가 유출되거나 남용되지 않도록 해야 합니다.

바운티를 더 모으기 전에 정보를 공개하기로 결정한 이유는 무엇입니까?

바운티를 모으는 것보다 옳은 일을 하는 것이 더 중요합니다.제 몫은 충분히 했다고 생각해요. 이제 커뮤니티에 보답하고 싶어요.게다가 몇 달 동안 회사에 이 문제에 대해 알려왔기 때문에 점점 더 많은 사람들이 이 문제에 대해 알게 되었습니다.나쁜 의도를 가진 누군가에 의해 유출되거나 악용되는 것을 원하지 않았어요.

피해를 입은 기업들의 대응에 대해 어떻게 생각하시나요?

대부분의 응답은 만족스러웠습니다.어떤 회사들은 별로 신경 쓰지 않았는데 결국에는 손해입니다.보안 연구원으로서 거절당하는 것도 게임의 일부분이죠.적어도 소송은 받지 않았어요. 10년 전만 해도 아마 그랬을 거예요.

마지막으로 레딧에서 버그 바운티로 8,000 달러를 청구했다는 글을 읽었습니다. 이 돈을 쓸 멋진 계획이 있습니까?

이 버그로 총 2만 달러 이상을 벌었습니다.그 중 절반 이상이 세금으로 쓰입니다.나머지는 여행, 외식, 외식 등 일상적인 일에 씁니다. 전혀 이상하지 않아요. :-)

시간을 내주셔서 감사합니다. 앞으로 사냥에 행운을 빕니다!

버그는 아직 존재합니다.바로 고칠 수 있는 문제가 아닙니다.지난 몇 개월 동안 버그 바운티 프로그램의 일환으로 수십 개의 회사와 해당 공급업체에 연락해 설정을 수정했습니다.

https://medium.freecodecamp.org/how-i-hacked-hundreds-of-companies-through-their-helpdesk-b7680ddc2d4c

이 기사의 한 버전이 에 게재되었습니다. 다크 리딩.여기에서 업데이트 및 신디케이트되었습니다.

‍

사이버 보안 업계에서 크리스마스를 망칠 만한 무언가가 있었다면, 이는 엄청난 데이터 유출로 이어져 오고 있습니다. 최대 규모의 사이버 스파이 이벤트 기록상 미국 정부에 영향을 미쳤습니다.

SolarWinds 공격은 광범위하며 위협 행위자가 처음에 소프트웨어를 침해했습니다. 빠르면 2019년 중반부터.이 수개월에 걸친 강도 사건은 유명 사이버 보안 회사에 침투하는 데 사용된 후 2020년 12월에 발견되었습니다. 파이어아이그리고 거기서부터 악몽이 풀렸다.보안 침해의 전체 범위는 아직 조사 중이지만 주요 침투 영역으로는 국립 보건원 외에도 미국 국무부, 국토안보부, 상무부, 재무부 등이 있습니다.

이 사건에는 여진이 계속될 것입니다. 하지만 그 정교함은 정말 매력적입니다.기술적인 측면에서는 사용자 지정 악성 도구, 백도어, 은폐된 코드가 포함된 다층적인 침투로, 우리가 흔히 흔히 볼 수 있는 명백한 오류를 악용하는 스크립트 개발자의 기술을 훨씬 뛰어넘습니다.

최악의 코드 세탁

CrowdStrike는 익스플로잇을 리버스 엔지니어링하는 데 천재적인 노력을 더 많이 해왔습니다. 조사 결과를 자세히 설명하기 모두가 볼 수 있도록.이제 SolarWinds가 인프라 침해의 피해자였다는 사실이 밝혀졌습니다. 이로 인해 시스템 업데이트에 악성 코드가 주입되어 위협 행위자에게 전례 없는 액세스를 허용한 최소 4개의 개별 맬웨어 도구가 생겼습니다.

이 방법은 은밀했기 때문에 Jason Bourne의 소설에서 튀어나온 것처럼 보이는 전략적 정확성이 가능했습니다.이를 통해 SolarWinds 네트워크 외부에서 피해자를 찾아다니며 계획을 세우고 피해자가 원하는 시기에 포괄적인 공급망 공격을 감행할 시간을 벌었습니다.그리고 이 모든 것은 완전히 무해해 보이는 코드로 수행되었습니다.

사이버 공격은 단순하지만 비용이 많이 드는 오류의 결과인 경우가 많습니다.일단 발견되면 실수는 명백합니다. 네트워크가 제대로 구성되지 않고 암호가 저장되어 있다고 생각해보세요. 일반 텍스트또는 알려진 익스플로잇에 취약한 패치되지 않은 소프트웨어.이 경우에는 개발자와 보안 엔지니어뿐만 아니라 코드가 전혀 눈에 띄지 않았습니다.비용이 많이 들고 복잡한 수많은 보안 기술로도 이를 탐지하지 못했습니다.

보안 모니터링 및 침투 테스트 도구는 사실상 무용지물이 되었습니다.

보안 전문가는 말 배설물처럼 드물기 때문에 기업의 보안 요구 사항에 맞게 맞춤화된 기술 스택을 통해 막대한 양의 회사 데이터, 소프트웨어 및 인프라를 보호하려는 노력을 지원합니다.여기에는 일반적으로 네트워크 방화벽, 자동 침투 테스트, 모니터링 및 검사 도구와 같은 구성 요소가 포함되며, 후자는 소프트웨어 개발 프로세스에 많은 시간을 소모합니다.이러한 툴은 빠르게 늘어나며 관리 및 실행이 어려워질 수 있습니다. 많은 기업에서 이러한 도구를 사용하고 있습니다. 300개 이상의 다양한 제품 및 서비스.

SolarWinds는 코드의 보안 버그, 무단 네트워크 액세스 시도, 인프라의 어느 부분에서든 잠재적 손상을 찾아내고 탐지 회피의 징후를 찾아내 강조할 수 있는 다양한 도구를 갖추고 있을 것입니다.이러한 위협 행위자들이 최첨단 보안 스택으로도 발견되지 않은 악성 코드를 주입할 수 있었던 것은 전례가 없는 일입니다.

인프라 강화, 특히 액세스 제어는 일반적인 사이버 보안 모범 사례의 기본 구성 요소이지만 공격자가 작은 기회를 조용히 악용할 수 있다면 독립 실행형 소프트웨어의 취약점과 마찬가지로 네트워크가 손상될 수 있습니다.

이러한 침해는 일반적으로 네트워크 인프라와 소프트웨어를 보호하기 위해 도구에만 크게 의존하는 모든 회사가 엄청난 위험을 감수하고 있음을 상기시켜줍니다.코드를 보호하는 것만으로는 충분하지 않습니다. 코드를 저장하고, 실행하고, 컴파일하는 모든 것이 똑같이 강화되어야 합니다.이상적인 상태는 도구와 인력의 균형을 유지하고 잠재적 공격 표면을 심층적으로 평가하고 줄이는 강력한 전략을 실행하는 것입니다.

팀 간 보안 인식으로 위협 모델링 개선

SolarWinds 침해는 이미 보안 운영, 특히 정부 차원에서 중대한 영향을 미치기 시작했습니다.전문가들은 이렇게 선전하고 있습니다. 사이버 보안 관행을 영원히 바꿀 수 있습니다.

점점 더 디지털화되는 인프라는 우리의 삶을 강화합니다. 꼼꼼하게 관리하지 않으면 공격에 취약할 수 있지만 우리의 일반적인 전략에는 결함이 있습니다.보안 전문 지식에 있어서는 인력이 턱없이 부족하지만 그 격차를 좁히기 위해 많은 노력을 기울이고 있지는 않습니다.사람이 주도하는 보안 인식은 사이버 보안에서 충분히 활용되지 않는 요소이며, 대응보다는 예방을 우선시하는 것도 마찬가지입니다.

인프라 보안은 여러 가지 변동 요소가 있는 복잡한 작업이지만, 소프트웨어 개발 시 적용되는 방식과 마찬가지로 개발자는 적절한 교육을 받고 보안을 인식한다면 구조적 위험을 줄이는 데 큰 도움이 될 수 있습니다.

이러한 유형의 공격에도 불구하고 위협 모델링이 공급망 공격을 설명하는 경우는 거의 없습니다. 빠르면 2012년에 강조되었습니다. 이는 현재의 기술로는 예방하기 어려운 주요 리스크로, 많은 기업들이 이에 대한 대비를 제대로 하지 못하고 있습니다.소프트웨어 개발자는 예방에 절대적으로 중요한 역할을 할 수 있습니다. 개발자의 숙련도를 높이고 코드 무결성을 내부에서부터 평가할 수 있도록 하는 것부터 시작해야 합니다.업데이트 메커니즘을 안전하게 구축했나요?소프트웨어가 불필요한 연결로 실행되고 있어 악의적인 보안 침해가 더 쉬워지고 있나요?

보안이 소프트웨어 품질과 동의어일 때 보안 지식을 갖춘 엔지니어가 제공할 수 있는 엄청난 가치를 쉽게 알 수 있습니다.

개발자들은 기술을 갈고닦고 경쟁에서 앞서나가기 위해 끊임없는 도전에 직면합니다.기술이 빠른 속도로 발전하고 새로운 도구와 프레임워크가 정기적으로 등장함에 따라 지속적인 학습의 필요성이 그 어느 때보다 중요해졌습니다.정보를 손쉽게 이용할 수 있는 이 디지털 시대에 개발자는 온디맨드 학습 콘텐츠의 힘을 활용하여 경력을 발전시키고 경쟁이 치열한 소프트웨어 개발 분야에서 관련성을 유지할 수 있습니다.

온디맨드 콘텐츠 학습은 개발자에게 몇 가지 주요 이점을 제공합니다.온디맨드 리소스는 타의 추종을 불허하는 유연성과 편의성을 제공하므로 개발자는 자신의 속도에 맞춰 학습하고 바쁜 일정과 개인 취향에 맞게 교육을 받을 수 있습니다.또한 애자일 플랫폼은 개인의 목표와 기술 수준에 맞게 조정된 맞춤형 학습 경로를 제공하므로 학습 효율성을 극대화하고 개발자가 경력 발전에 필요한 기술을 습득할 수 있습니다.궁극적으로 온디맨드 학습은 지속적인 기술 개발 문화를 조성하여 개발자가 기술 변화 속에서도 민첩성과 탄력성을 유지하고 소프트웨어 개발 분야에서 장기적인 성공을 보장할 수 있도록 합니다.

‍

Secure Code Warrior에서는 개발자에게 가장 포괄적이고 강력한 콘텐츠를 제공하기 위해 최선을 다하고 있습니다.우리의 목표는 우수한 학습 및 개발 리소스를 제공할 뿐만 아니라 개발자의 현재 요구 사항과 관련된 정보를 적시에 제공하는 것입니다.이러한 약속은 SCW 플랫폼 내 콘텐츠 라이브러리인 Explore 탭에 구현되어 있습니다. Explore 탭은 흩어져 있는 리소스 문제를 해결하도록 설계되었습니다.Explore는 모든 교육 콘텐츠를 하나의 중앙 위치로 통합하여 사용자가 사용 가능한 콘텐츠 유형을 쉽게 포괄적으로 볼 수 있도록 합니다.학습자가 새로운 프로그래밍 언어를 익히고자 하든, 복잡한 개념을 탐구하든, Explore는 학습자를 위한 모든 것을 제공합니다.세심하게 선별된 콘텐츠 카탈로그는 다양한 관심사와 기술 수준을 충족하므로 누구나 만족할 수 있는 콘텐츠를 찾을 수 있습니다.Explore를 통해 학습자는 풍부한 대화형 자습서, 실습 및 실제 시나리오를 발견할 수 있습니다. 이 모든 내용은 학습 경험을 향상시키고 개발자가 뛰어난 성과를 낼 수 있도록 설계되었습니다.

‍

‍

오늘날의 기술 생태계는 끊임없는 혁신과 혁신이 특징이므로 다음이 필요합니다. 애자일 학습 플랫폼 점점 더 중요해지고 있습니다.전통적인 학습 및 기술 개발 방법으로는 더 이상 기술의 급속한 발전과 업계의 역동적인 요구에 보조를 맞추기에 충분하지 않습니다.이에 따라 조직에서는 개발자가 빠르게 변화하는 환경에서 적응하고 성공하는 데 필요한 도구와 리소스를 개발자에게 제공하기 위해 애자일 학습 플랫폼으로 눈을 돌리고 있습니다. 기반 보안은 필수입니다.

애자일 학습 플랫폼이 필수적인 주된 이유 중 하나는 적시에 적절한 학습 콘텐츠를 제공할 수 있기 때문입니다.애자일 학습 플랫폼은 마이크로러닝 모듈 및 Just-In-Time 리소스와 같은 동적 콘텐츠 전달 메커니즘을 활용하여 개발자에게 필요한 지식을 정확히 필요할 때 제공합니다.또 다른 하나는 유연성과 사용자 지정 기능을 제공하여 개발자가 개인의 요구와 선호도에 맞게 학습 경험을 조정할 수 있도록 하는 기능입니다.대화형 자습서, 실습 또는 비디오 콘텐츠 중 무엇을 선호하든 개발자는 자신의 학습 스타일과 일정에 가장 적합한 형식을 선택할 수 있습니다.

종합적으로 애자일 학습 플랫폼은 개발자들이 오늘날의 빠르게 변화하고 끊임없이 변화하는 기술 환경에서 성공할 수 있도록 지원하는 데 중요한 역할을 합니다.이러한 플랫폼은 적절하고 관련성이 높은 맞춤형 학습 경험을 적시에 제공함으로써 개발자가 새로운 기술을 습득하고 업계 동향에 앞서 나가며 조직 내에서 혁신을 주도할 수 있도록 합니다.Secure Code Warrior에서는 플랫폼을 지속적으로 개선하면서 개발자를 최우선으로 생각합니다.보안 소프트웨어를 만드는 데 있어 개발자가 수행하는 중추적인 역할을 이해하고 있기 때문에 우리의 개선 사항이 현재의 문제를 해결할 뿐만 아니라 개발자가 자신 있게 복원력 있는 코드를 구축할 수 있도록 지원합니다.이러한 헌신을 강화하기 위해 최근에 구현한 개발자 중심의 플랫폼 개선 사항을 몇 가지 소개합니다.

Microsoft Teams와 같은 최신 커뮤니케이션 채널을 통해 개발자와 더 효과적으로 소통할 수 있다고 생각합니다.Microsoft Teams와의 통합은 SCW 플랫폼 내에서 차세대 사용자 커뮤니케이션을 위한 첫 단계입니다.새로운 학습 활동에 초대하고 코스 학습 활동에 대한 사용자 지정 알림을 보내세요.Teams를 Nudges의 전달 채널로 사용할 수도 있습니다. 이 채널에서는 Teams 알림을 통해 코스 참가자가 강좌를 완료하도록 유도할 수 있습니다.

‍

개발자 중심의 제품 혁신에 Explore 탭이 추가되었습니다.사용자가 기술 향상을 원하든 새로운 영역으로 뛰어들든 관계없이 Explore는 자습형 교육 및 지식 확장을 위한 포괄적인 허브를 제공하여 원활하고 풍부한 개발자 경험을 보장합니다.Explore는 64개 언어로 제공되는 7,000개 이상의 활동을 통해 사용자가 자신의 취향에 맞는 학습 활동을 손쉽게 찾고, 플레이하고, 재생할 수 있도록 합니다. Explore에 대해 자세히 알아보려면 여기를 클릭하십시오. 그리고 온디맨드 콘텐츠의 중요성.

‍

마지막으로 보고서는 개발자 교육을 효과적이고 흥미롭게 유지하는 데 매우 중요합니다.진행 상황을 추적하고 보안 표준 준수를 보장할 뿐만 아니라 개발자가 개선할 수 있는 부분도 식별합니다.이러한 인사이트를 통해 보안 방어를 강화하고 관련성 있고 목표가 분명한 학습을 지속할 수 있는 맞춤형 교육이 가능합니다.또한 보고서는 교육의 효과를 입증하고 보안 이니셔티브에 대한 지속적인 지원을 보장함으로써 교육에 대한 투자의 타당성을 입증하는 데도 도움이 됩니다.전반적으로 보고서는 규정 준수와 개발자 참여를 향상시켜 모든 사람이 학습 과정을 순조롭게 진행하고 참여할 수 있도록 하는 데 필수적인 도구입니다.곧 공개될 SCW 보고와 관련된 흥미로운 소식을 기대해 주세요!

‍

최근에 출시된 기능에 대해 더 자세히 알아보려면 최신 버전을 확인하세요. 제품 토크 웨비나 또는 오늘 저희에게 연락하세요!

‍

역동적인 소프트웨어 개발 영역에서 민첩성은 단순한 유행어가 아니라 필수입니다.끊임없이 변화하는 환경을 인식한 개발자들은 지속적인 학습이라는 사고방식을 채택하여 평균 치료 시간 (MTTR) 을 더욱 최적화해야 합니다.애자일 러닝에는 보안 코딩과 관련된 새로운 기술, 방법론 및 문제 해결 기술에 빠르게 적응할 수 있는 능력이 포함됩니다.이 블로그에서는 애자일 러닝을 도입하는 것이 어떻게 MTTR을 줄이고 전반적인 개발 효율성을 높이는 데 중추적인 요소가 될 수 있는지 살펴보겠습니다.

MTTR (평균 수정 시간) 단축과 관련하여 개발자가 직면한 문제

평균 악용 시간 2023년의 취약성 현재 44일이 지났지만 취약점의 75% 가 게시 후 19일 이내에 악용되었습니다.이는 패치 관리, 위협 인텔리전스 및 개발자 교육에 대한 사전 예방적 자세를 취하라는 경종을 울리는 역할을 할 것입니다.

개발자들은 복잡한 도구와 시스템, 의사소통의 격차, 즉각적인 해결이 필요한 문제를 해결하기 위한 기술 부족으로 인해 문제를 식별하고 해결하는 데 많은 어려움을 겪습니다.아래에서 개발자가 취약점을 해결할 때 직면하는 몇 가지 문제를 확인할 수 있습니다.

시스템의 복잡성 및 자동화 부족:

• 최신 애플리케이션은 마이크로서비스, API 및 다양한 타사 통합으로 구성되는 경우가 많습니다.이러한 복잡한 시스템에서 문제의 근본 원인을 파악하는 것은 어렵고 시간이 많이 걸릴 수 있습니다.문제 감지, 분석 및 해결을 위한 수동 프로세스에는 많은 시간이 소요될 수 있습니다.자동화가 이루어지지 않으면 개발자가 사고에 대응하는 속도가 저하될 수 있습니다.

제한된 가시성 및 커뮤니케이션:

• 개발자는 시스템 동작 및 성능에 대한 실시간 통찰력을 얻는 데 많은 어려움을 겪습니다.이로 인해 문제를 신속하게 식별하고 해결하는 데 방해가 될 수 있습니다.
• 효율적인 커뮤니케이션은 문제 해결에 매우 중요합니다.커뮤니케이션 채널이 사일로화되고 개발, 운영 및 다른 팀 간의 협업이 부족하면 문제 해결이 지연될 수 있습니다.

문제를 신속하게 해결하는 데 필요한 기술 부족:

• 보안 코딩 방식을 제대로 이해하지 못하면 개발자는 효과적인 패치를 적용하는 데 어려움을 겪고, 의도치 않게 새로운 결함을 도입하고, 중요한 보안 제어를 간과할 수 있습니다.이러한 이해 부족은 보안 전문가와의 협업을 방해하고 불완전하거나 비효율적인 수정으로 이어져 코드베이스의 보안 위협 위험을 증가시킬 수 있습니다.

애자일 러닝의 이점

애자일 학습자는 새로운 기술을 습득하는 데 능숙합니다.기술이 발전하고 시스템이 더욱 복잡해짐에 따라 개발자는 앞서 나가야 합니다.지속적인 학습 플랫폼에 투자하면 팀은 최신 문제 해결 및 디버깅 기술을 활용할 수 있습니다.

1.적응형 문제 해결

애자일 학습자는 문제 해결이 반복적인 프로세스인 환경에서 잘 성장합니다.실험과 실패를 통한 학습을 장려하는 문화를 조성함으로써 개발 팀은 복잡한 문제를 신속하게 해결하는 능력을 향상시킬 수 있습니다.

2.부서 간 협업

애자일 러닝은 부서 간 협업과 밀접한 관련이 있습니다.개발자, 보안 팀, 기타 팀은 지식을 공유할 뿐만 아니라 서로의 경험을 통해 공동으로 배워야 합니다.이러한 협업적 사고방식은 다양한 기술과 관점을 활용하여 문제 해결을 가속화합니다.

3.학습을 개발자 워크플로에 통합:

개발 주기 내에 짧고 집중적인 학습 스프린트를 구현하세요.이러한 스프린트는 새로운 기술, 도구 또는 문제 해결 방법론을 탐구하는 데 전념할 수 있습니다.지속적인 학습에 시간을 할당함으로써 팀은 새로운 문제를 해결하는 데 필요한 기술을 사전에 구축할 수 있습니다.

4.보안 챔피언 늘리다:

경험이 풍부한 개발자를 중심으로 팀 내 보안 문화를 조성하세요.이들은 경험이 적은 팀원에게 지식을 공유하고 귀중한 통찰력을 제공할 수 있도록 지도할 수 있습니다.이러한 멘토십은 학습 시간을 단축할 뿐만 아니라 더 많은 보안 전문가를 양성합니다.

이러한 핵심 원칙을 염두에 두고 Secure Code Warrior 고객은 평균 문제 해결 시간을 단축하여 상당한 이익을 얻었습니다.이는 일 단위로 측정할 수 있는데, 한 클라이언트의 경우 수정 기간을 150일 단축한 경우를 예로 들 수 있습니다.또는 문제 해결 시간을 측정할 수도 있습니다.예를 들어, Sage가 시큐어 코드 워리어를 사용하여 한 팀의 문제 해결 시간을 82% 단축한 방법을 알아보세요.

Conclusion

MTTR 최적화와 관련하여 보안 코드에 대한 애자일 러닝은 지속적 취약성 해결을 위한 지속적인 개선을 위한 촉매제로 떠오르고 있습니다.개발팀은 적응성을 중시하고 지속적인 학습을 장려하며 부서 간 협업을 촉진하는 문화를 정착시킴으로써 끊임없이 진화하는 소프트웨어 환경에서 제기되는 문제를 해결할 뿐만 아니라 이를 능가할 수 있습니다.소프트웨어 시스템의 복잡성을 헤쳐나갈 때 애자일 러닝을 나침반이 되어 개발자들이 더 빠른 문제 해결과 지속적인 성공을 향해 나아갈 수 있도록 안내해 드리겠습니다.

‍