Code de sécurité Insight

Secure Code Warrior에서 개발자들이 안전하게 코딩하도록 유도하는 게임화의 힘을 굳게 믿는다는 것은 비밀이 아닙니다.이것이 바로 우리가 하는 일이며, 지금까지의 결과는 놀라웠습니다.하지만 실제 비디오 게임을 사용해 잠재적 신입 직원을 평가하는 것은 어떨까요?너무 멀리 나아간 걸까요, 아니면 효과적인 방법이 될 수 있을까요?

그게 바로 스카우터블이 하고 있는 스타트업그리고 저는 그들의 접근 방식에 흥미를 느낀다고 말하고 싶습니다.Scoutible은 비디오 게임 (게임화된 평가가 아니라 실제 비디오 게임 경험) 을 사용하여 잠재적 채용자를 평가하고 특정 상황에서 그 사람이 어떻게 행동하는지 확인합니다.이 게임은 단 20분 동안의 게임 플레이 동안 “후보자의 다양한 특성을 측정하는 데 사용되는 수백만 개의 데이터 포인트”를 캡처하고, 이 데이터 포인트를 사용하여 지원자가 해당 직무에서 어떻게 수행할 것인지 평가합니다.

이곳에는 좋아할 것도 많고 배울 점도 많습니다.이 제품은 고객의 요구를 충족할 수 있는 유연성이 뛰어나며, 채용 담당자 대부분이 오랫동안 알고 있었던 문제를 해결했습니다.Myers-Briggs처럼 자체 보고한 평가는 신뢰할 수 없습니다.완전히 정직하지 않아도 시스템을 “게임”할 수도 있고 적어도 시도해 볼 수도 있습니다.게임에서는 목표가 있고 그 목표를 달성하기 위해 적응하고 문제를 해결해야 합니다.스카우터블의 주장처럼 작동한다면 아주 간단하고 독창적입니다.더 많은 소식을 듣고 싶어요.

게임 대 게임화

Scoutible의 접근 방식은 대상 고객과 사용 사례에 적합합니다.Secure Code Warrior의 여정 중 한 시점에서 우리는 완전한 게임 플랫폼, 즉 교육에 내장된 미니 게임의 가치를 고려했지만, 결국에는 그런 관점이 우리의 목적에 충분한 가치를 더하지 못했습니다.보안 교육을 받은 최종 사용자는 자신이 배우고 있어야 한다는 것을 알고 있습니다.

Secure Code Warrior 플랫폼에서는 소프트웨어 개발자의 보안 코딩 기술을 측정하고 게임 기반 요소를 사용하여 개발자의 참여를 유지합니다.즉, 다음과 같은 질문을 염두에 두어야 합니다.

• 가장 일반적인 소프트웨어 보안 약점을 이해하고 있습니까?
• 프레임워크별 보안 기능을 사용하여 일반적인 보안 버그를 수정할 수 있습니까?
• 소프트웨어 보안 기술에 대해 확신이 있습니까?
• 보안 코드 측면에서 강점과 기술 격차는 무엇입니까?

디자인에 따른 관리

제가 Scoutible의 제품에 강하게 공감할 수 있는 또 다른 이유가 있습니다.이는 채용 회사뿐만 아니라 지원자에게도 도움이 됩니다.여러분이 만나게 될 모든 유력한 지원자들이 면접을 잘 하는 것은 아닙니다.어떤 사람들은 성격이 맞지 않을 뿐이죠.다른 사람들은 면접이라는 훌륭한 기술을 전혀 배우지 못했을 수도 있고, 처음 입사해서 이번이 첫 면접일 수도 있습니다.

여기서 소프트웨어 개발자들과 비슷한 점을 볼 수 있습니다.안타깝게도 많은 대학 프로그램에서는 보안에 초점을 맞추지 않습니다.개발자 지망생들은 “현장에서 배울 수 있을 것”이라는 말을 듣습니다.그들은 코드를 작동시키는 방법을 알고 학교를 그만두지만, 우리가 20년 이상 맞서 싸워온 것과 똑같은 취약점을 자신도 모르게 영속시킵니다.

개발자가 직장을 구해서 보안에 대해 배우자고 하면 학교에 다닐 때보다 시간이 훨씬 짧아집니다.그들은 기능적이고 효과적인 소프트웨어를 만들기 위해 돈을 받고, 개발자 보안 교육 과정 중 상당수는... 뭐, 지루하죠.솔직히 말씀드리죠.

신입 개발자든 기존 개발자든 보안에 대해 신경 쓰지 않아도 보안에 신경을 쓰도록 할 수 있다면 어떨까요?어떻게 하면 교육을 흥미롭고, 흥미롭고, 재미있으면서도 효과적으로 만들 수 있을까요?

이것이 우리의 과제이며, 스카우트블과 마찬가지로 매우 현실적입니다.문제가 엄청나게 심각하다고 해서 해결책이 평범하고 지루할 필요는 없습니다.이미 시도해 봤어요.우리는 솔루션에 약간의 재미, 흥분, 경쟁, 참여를 불어넣는 것을 선호합니다.지금까지는 아주 잘 작동했습니다.

게임처럼 느껴지는 도구를 만들고 적절한 성격과 인지적 특성에 대한 테스트를 통합할 수 있다면 제가 연구했던 많은 문제를 해결할 수 있을 거라고 생각했습니다.

https://www.inc.com/kevin-j-ryan/scoutible-video-game-reinventing-the-hiring-process.html

Secure Code Warrior에서는 개발자와 조직이 오늘날의 끊임없이 변화하는 보안 문제를 해결하는 데 적합한 기술을 갖추도록 돕기 위해 끊임없이 혁신하고 있습니다.

조직에서 소프트웨어 개발 주기 초기에 개발자 중심 보안을 통해 소프트웨어를 보호할 수 있도록 올해 발표된 리소스 및 지침뿐만 아니라 플랫폼의 주요 기능 및 업데이트를 정리했습니다.

2022년 하이라이트

2022년은 보안 코드 학습에 있어 중요한 해였습니다.다음은 학습 플랫폼의 범위와 규모를 보여주기 위해 사용자로부터 가져온 몇 가지 지표입니다.
‍

‍

2022년은 건축의 큰 해였습니다. 주요 하이라이트 몇 가지를 살펴보겠습니다!

2022년 인기 릴리즈

곧 출시 예정: 코딩 랩

Coding Labs를 통해 개발자는 완전히 구동되는 브라우저 내 IDE에서 실습 학습 경험을 통해 보안 코딩 기술을 향상시킬 수 있습니다.익숙한 환경에서 교육하면 새로운 기술을 배우는 것에서 이를 실제 코드에 적용하고 취약점이 도입되기 전에 예방하는 단계로 이전하는 것이 그 어느 때보다 쉬워졌습니다.

Coding Labs는 현재 고객이 미리 보기로 사용할 수 있습니다. SCW 담당자에게 문의하여 다음 사항을 문의하십시오. 자세히 알아보기 아직 액세스하지 않았다면 액세스하는 방법에 대해 알아보십시오.

SCORM LMS 통합

SCORM은 e-코스의 국제 표준입니다.강좌가 SCORM 형식으로 게시된 경우 거의 모든 LMS (학습 관리 시스템) 에서 이를 인식할 수 있습니다.

SCORM LMS 통합을 통해 관리자는 보안 코드 교육 프로그램을 다른 교육 플랫폼과 함께 한 곳에서 쉽게 관리할 수 있으므로 시간을 절약하고 교육 프로그램을 개선하기 위한 보다 효과적인 방법에 집중하는 등 중요한 일에 집중할 수 있습니다.

Okta 워크플로를 위한 보안 코드 워리어 커넥터

이러한 통합을 통해 플로우에 내장할 수 있는 보안 숙련도 검사 기능을 통해 안전하지 않은 코드가 코드베이스에 유입되는 것을 방지할 수 있습니다.

GitHub 리포지토리와 같은 코드 기반으로 작업할 때 기본 코딩을 위한 한정자로 필수 강의 및 평가를 설정할 수 있습니다.이를 통해 리더는 각 개발자가 관련 코드 베이스에서 작업할 준비가 되었는지 확인할 수 있어 조직 전체의 보안 태세를 강화할 수 있습니다.

Okta+SCW에 대해 자세히 알아보기 

를 참조하십시오 데모 이리

이 웨비나에서 자세히 알아보고 Coding Labs의 라이브 데모를 확인하십시오. 개발자 생산성 및 지원.

새로워진 소식을 확인해 보세요 블로그

다음 중 하나에서 Okta 데모와 기타 통합 기능을 확인해 보십시오. 제품 토크.

뉴스에 등장하는 취약점

Secure Code Warrior는 주요 취약점에 대한 신속한 대응을 제공하여 상황과 조치를 파악할 수 있도록 합니다.또한 가능한 경우 메커니즘을 직접 체험할 수 있는 시뮬레이션도 만들 예정이며, 이를 통해 향후 위협으로부터 애플리케이션을 더 잘 보호할 수 있습니다.

2022년은 취약점과 공격이 미쳤던 다사다난한 해였습니다.수백만 개의 애플리케이션을 위험에 빠뜨리는 log4j 취약점부터 해결하는 데 거의 15년이 걸린 파이썬 타르 탐색 경로까지.Secure Code Warrior는 이러한 유형의 취약성에 대비할 수 있는 지침과 무료 테스트 임무를 제공합니다.

• Log4J 취약점
• 트로이 소스
• 스프링 취약점
• NGINX 및 마이크로소프트 윈도우 SMB 원격 프로시저 호출 서비스 취약점
• 하드코딩된 자격 증명
• 파이썬 경로 탐색 버그

추가 릴리즈 및 업데이트

Secure Code Warrior에서는 개발자가 어느 수준에 있든 관계없이 개발자의 현재 위치에 맞게 확장 가능하고 참여도가 높은 교육을 지향합니다.6월에는 분기별 ProductTalk 웨비나 시리즈를 시작했습니다. 이 웨비나에서는 고객에게 선보이고 있는 흥미로운 내용을 모두 다루고 있습니다.

2022년에는 SCW에서 사용할 수 있는 언어와 콘텐츠가 많이 추가되었고, 관리자 경험이 크게 개선되었으며, 보다 상세한 보고 기능도 도입되었습니다.

유연하고 다양한 교육

Secure Code Warrior에는 가장 인기 있는 언어의 63개 이상의 다양한 언어 (및 계속 증가 중) 로 된 교육 콘텐츠가 포함되어 있습니다 (자바와 C++) 와 GO와 타이프스크립트와 같은 떠오르는 스타.2022년에는 레퍼토리에 더 많은 콘텐츠와 언어를 추가했습니다.

• 새로운 OWASP 코스 템플릿 개발자의 기본 지식과 보안 인식을 기반으로 구축하는 데 도움이 됩니다.
• 새 언어 - SAP:ABAP다음과 같은 틈새 언어 수액: 밥 개발자가 선호하는 형식 (코드 스니펫 및 샘플) 으로 제공되는 교육 콘텐츠로 SCW 처리

간소화된 구성 및 관리

보안 코딩 프로그램을 쉽게 배포하고 유지 관리하는 것이 얼마나 중요한지 잘 알고 있습니다.2022년에는 관리자의 작업을 더 쉽게 만들고 골치 아프지 않고 직관적인 환경을 만들기 위해 의도적으로 많은 개선 사항을 적용했습니다.

• 코스 테이블 형식 보기 - 이제 훨씬 더 쉽게 다양한 개발 팀을 위한 과정을 빠르게 만들 수 있습니다.
• 코스 편집 및 버전 관리 - 관리자는 새 코스를 만들지 않고도 기존 코스를 수정하고 기본 코스 버전을 만들 수 있습니다.
• 벌크 액션 - 모든 언어에 변경 사항을 적용하는 대신 한 곳에서 더 적은 클릭으로 더 많은 작업을 수행하고 코스를 변경하세요.
• 계속 버튼 - 홈 화면에서 “계속” 버튼을 눌러 새 홈페이지로 이동하면 사용자가 이전에 시작한 모듈을 빠르게 재개할 수 있도록 활동 카드 목록이 표시됩니다.

보고 및 분석

회사 관리자와 팀 관리자의 경우 조직 전반의 활동을 모니터링하는 것은 개발자의 참여를 이해하고 교육 프로그램의 성공을 측정하는 데 매우 중요합니다.팀 또는 개인 수준에서 완료한 교육 과정 수 및 교육 과정에 소요한 시간과 같은 주요 지표를 활용하면 더욱 풍부한 교육 프로그램을 구축하기 위한 훨씬 더 전략적인 결정을 내릴 수 있습니다.

• 교육 지표 - 개발자가 플랫폼에서 보낸 시간이 아니라 개발자가 교육을 얼마나 잘 진행하고 있는지를 보여주는 메트릭을 사용하여 애플리케이션 보안 프로그램의 진행 상황과 성공에 대해 보고합니다.

• 평가 CSV 다운로드 - 하나의 버전이 아닌 모든 버전의 평가가 포함된 CSV 다운로드를 통해 개발자의 강점과 약점을 빠르게 이해하여 전략과 성숙도를 평가하세요.

테크 스택 통합

Secure Code Warrior의 통합 접근 방식을 통해 SCW 프로그램을 선호하는 제품 및 개발자의 워크플로우에 직접 구축하여 사용자 경험을 개선하고 적시 수정은 물론 더 까다로운 학습 결과를 얻을 수 있습니다.

• GitHub용 보안 코드 워리어 - 상황에 맞는 애플리케이션 보안 교육 자료를 SARIF 파일에 추가하거나 이슈 및 풀 리퀘스트에 직접 추가하여 GitHub 워크플로우 내에서 상황에 맞는 교육을 가능하게 합니다. 이를 통해 개발자는 가장 필요할 때 지식에 액세스할 수 있으므로 품질 코드를 더 빠르게 출시할 수 있습니다.

SCW+깃허브에 대해 더 알아보기

• GitLab용 보안 코드 워리어 - 관련성이 높은 보안 코드 워리어 교육 링크를 GitLab 내 취약성 보고서의 취약성 세부 정보 섹션에 삽입하세요.이를 통해 학습과 지식 적용 사이의 시간 격차를 줄여 향후 사용을 보장할 수 있습니다.

데모 보기

자세히 알아보기 SCW+깃랩  

• 시놉시스 시커 통합 - 시큐어 코드 워리어 리소스, 비디오 및 교육 링크를 Seeker 내의 취약점 발견 사항에 연결합니다.Synopsys Seeker의 마이크로 러닝은 Seeker 내에서 쉽게 액세스할 수 있는 교육 지침을 통해 취약점을 식별하고 해결하는 데 도움이 됩니다.

시놉시스+SCW에 대해 더 알아보기

데블림픽 2022

시큐어 코드 워리어는 2022년 10월 19일에 두 번째 연례 데블림픽 시큐어 코딩 대회를 개최했습니다.데블림픽 2022가 작년보다 더 큰 규모를 자랑스럽게 생각합니다!올해 이벤트에는 챔피언 또는 얼티밋 워리어 아레나에서 약 800명의 플레이어가 참가하여 2910명이 등록했으며, 경험 수준에 상관없이 모든 개발자들이 보안 코딩 기술을 향상할 수 있도록 지원하여 큰 성공을 거둔 것으로 입증되었습니다.

24시간 동안 진행되는 토너먼트에서 전 세계 개발자들은 프로그래밍 언어를 선택하여 공격적이고 방어적인 코딩 문제를 놓고 경쟁했습니다.개발자들은 선택한 언어를 사용하는 애호가부터 전문가에 이르기까지 다양한 기술을 바탕으로 동료들과 경쟁할 기회를 가졌습니다.

동시에 보안 전문가들도 초청되었습니다. 시큐어 코드 포럼 디스코드 채널을 통해 라이브 플레이와 피드백을 공유하고, 농담과 밈을 교환하고, Secure Code Warrior에 대해 자세히 알아보세요.

성공에 도움이 되는 리소스

시큐어 코드 워리어는 아래 이름을 딴 네 회사 중 하나입니다. 가트너® 쿨 벤더™ 소프트웨어 엔지니어링에서: 개발자 생산성 향상 보고서.Secure Code Warrior는 조직이 개발자 생산성을 높이고 보안 위험을 완화하는 데 도움이 되는 혁신적인 솔루션을 제공하는 것 외에도 개발자 중심 보안의 중요성에 대한 많은 리소스와 연구를 발표했습니다.

개발자 팀의 참여와 의견을 얻기 위해 고군분투하는 AppSec 관리자이든, 팀의 보안 태세를 개선하기 위해 노력하는 엔지니어링 관리자이든, 조직의 개발자 중심 보안을 옹호하는 데 필요한 가이드와 도구를 제공합니다.

• 시큐어 코드 코치 - 개발자가 커뮤니티 구성원과 함께 배우고 참여하여 보안 코딩에 대해 자세히 알아볼 수 있는 리소스 허브‍
• 백서: 개발자 기반 보안의 현황‍
• 백서: 소프트웨어 보안 개선을 위한 과제‍
• 보안 코드 교육 청사진‍
• 개발 팀 보안 성숙도 단계‍
• 개발자 보안 성숙도 매트릭스
• 개발자 팀의 보안 성숙도의 중요성‍
• 개발자 중심 보안을 위한 핸드북 

시큐어 코드 워리어를 사용해 보고 싶지만 아직 계정이 없으신가요? 지금 무료 평가판 계정에 가입하여 시작하세요.

자세한 내용은 영업팀에 문의하세요.

시큐어 코드 워리어 팔로우하기 트위터 최신 릴리스 및 개선 사항에 대한 업데이트를 받을 수 있습니다.

지금은 여기까지입니다. 2023년에 만나요!

‍

‍

Une version de cet article a été publiée dans VMblog. Elle a été mise à jour et publiée ici.

‍

Il semble que peu importe le nombre de mois de sensibilisation à la cybersécurité, le nombre de professionnels de la sécurité d'élite parachutés ou la quantité d'argent perdue dans un trou noir, le problème des grandes violations de données ne fait que s'aggraver d'année en année. Elles sont si fréquentes qu'elles font à peine la une des journaux, à moins qu'elles ne soient catastrophiques. En 2020, plus de 36 milliards d'enregistrements ont été exposés lors de cyberattaques malveillantes, et nous attendons de voir combien seront récoltés en 2021.

Les acteurs de la menace sont constamment à l'affût d'opportunités, et même si toutes les attaques ne sont pas des catastrophes, elles se produisent en moyenne toutes les 39 secondes. Nous sommes loin de gagner la bataille, et les méchants ont un énorme avantage sur les défenseurs de nos données.

Il semble toutefois qu'il y ait du changement dans l'air, l'administration Biden ayant fait de la cybersécurité une des premières priorités de son mandat, avec un financement supplémentaire de 10 milliards de dollars. Il s'agit incontestablement d'un pas dans la bonne direction, mais cela permettra-t-il réellement de lutter contre la cybercriminalité, dont la fréquence et la sophistication ne cessent de croître ?

Les cybermenaces ne pourront être résolues qu'à l'échelle d'un village (mondial)

Une défense efficace contre des cyberattaques de plus en plus puissantes ne peut être l'affaire d'une poignée de pays seulement et, malheureusement, une stratégie cohérente fait défaut depuis longtemps. Toutefois, face à l'augmentation des menaces émanant d'États-nations, de nombreux gouvernements se réveillent et prennent conscience de la situation. 

L'attaque de SolarWinds, qui a touché le gouvernement américain, a été un avertissement clair de ce qui est possible, et un indicateur de la dévastation potentielle en cas de violation d'une infrastructure critique. Récemment, le FBI a lancé un avertissement concernant l'attaque d'un système d'approvisionnement en eau en Floride, l'acteur de la menace étant capable de contaminer l'approvisionnement en eau à distance. L'attaque a été stoppée avant qu'elle ne cause de graves dommages, mais un attaquant plus avancé aurait pu causer des destructions massives mettant des vies en danger.

Lentement, mais sûrement, les gouvernements du monde entier investissent davantage dans la cyberdéfense. Le Royaume-Uni a réalisé des investissements records dans le secteur de la cybersécurité et a créé un nouveau groupe de travail. L'Australie a renforcé sa stratégie de cybersécurité (en particulier pour les infrastructures), et des pays comme Israël et le Danemark sont considérés comme les meilleurs de leur catégorie pour leurs programmes de cyberdéfense. Le Japon est classé cinquième en matière de cyberdéfense, un vote de confiance bienvenu après une déclaration faite en 2018 par Yoshitaka Sakurada, alors ministre de la cybersécurité, selon laquelle il n'avait jamais utilisé d'ordinateur. Une annonce récente du gouvernement de Singapour a promis un investissement de 50 millions de dollars dans la recherche sur l'IA et la cybersécurité dans les futures infrastructures de communication, une démarche avant-gardiste visant à solidifier la sécurité et l'intégrité numériques.

Une réponse mondiale forte et coordonnée en matière de cybersécurité est vitale à mesure que nous progressons rapidement dans les technologies du futur, et chaque organisme gouvernemental devrait en faire une priorité.

Plus d'argent ne signifie pas moins de problèmes

Si l'on prend l'exemple des États-Unis, du Royaume-Uni et de l'Australie, qui ont tous augmenté leurs investissements en matière de cybersécurité et d'expertise au cours des deux dernières années, on peut avoir l'impression que la sécurité est enfin une priorité et que les "bons" obtiennent ce dont ils ont besoin pour gagner la bataille. 

C'est certainement utile, mais ce n'est qu'une partie du tableau d'ensemble. Ce financement peut permettre d'acheter de super équipes d'experts (comme cela s'est produit avec l'injection de fonds de M. Biden), des programmes complets de primes aux bogues, ainsi qu'une réponse aux incidents et une atténuation de premier ordre en cas de brèches désastreuses, et c'est cette approche de la cyberdéfense qui garantit que nous ferons toujours des progrès minimes, quelle que soit la quantité d'argent consacrée aux groupes de travail et à la réponse aux menaces.

Chaque gouvernement doit aller au-delà des mesures de sécurité réactives et consacrer de sérieux efforts (et des fonds) à une stratégie plus préventive. Si l'accent reste mis sur la réaction aux cyberattaques réussies au lieu d'œuvrer à leur prévention, aucune somme d'argent ne permettra de réduire les risques croissants. Dans le cadre d'une véritable approche proactive de la sécurité, le budget serait alloué au renforcement de l'infrastructure et au déploiement d'une formation et d'un perfectionnement efficaces en matière de sécurité, dans le but de réduire autant que possible la surface d'attaque dès le départ.

Le déficit de compétences en matière de cybersécurité ne sera peut-être jamais comblé, mais il existe un potentiel gaspillé

Les spécialistes de la sécurité hautement qualifiés sont très demandés dans le monde entier, et il est peu probable que l'on assiste un jour à une pénurie de cyber-gourous. Cependant, c'est une raison de plus pour que les gouvernements et les organisations commencent à faire preuve de créativité et d'ingéniosité dans l'utilisation des ressources à leur disposition.

Une approche véritablement préventive de la cyberdéfense commence par la sensibilisation de chaque personne impliquée dans le processus de développement et d'infrastructure des logiciels à la sécurité, en fonction de son rôle. Les développeurs, en particulier, ont besoin d'une formation continue en matière de sécurité et d'outils adaptés à leur travail, afin que le codage sécurisé fasse partie intégrante de leur processus. Cela permet de s'assurer que les vulnérabilités courantes peuvent être corrigées avant qu'elles ne voient le jour. Il s'agit là d'une étape importante - et non des moindres - qui permet de réduire la pression et les retouches tout au long du cycle de développement du logiciel. 

Nous devons renforcer l'approche humaine des meilleures pratiques en matière de cybersécurité, et nous obtiendrons ainsi de meilleurs résultats qu'en nous appuyant fortement sur l'automatisation, les outils et la réaction à des problèmes qui ont déjà été intégrés et découverts - une stratégie qui ne fonctionne manifestement pas si l'on en juge par le nombre d'atteintes à la sécurité qui se produisent aujourd'hui.

수파르나 고스와미 (Suparna Goswami) 의 통찰력 있는 기사에 여러 전문가들과 함께 기고하게 되어 기뻤습니다. 오늘날의 데이터 침해.그녀가 지적했듯이 소프트웨어 개발 수명 주기 (SDLC) 초기에 보안 문제를 해결하는 것이 데이터 침해를 방지하는 데 필수적이라는 의견이 널리 퍼져 있지만 말처럼 쉽지는 않습니다.지속적 통합/지속적 전달 (CI/CD) 워크플로우에서 가장 큰 애플리케이션 보안 문제를 보여주는 최근 설문 조사 결과뿐만 아니라 CISO로부터 얻은 환상적인 통찰력도 있습니다.”자동화된 통합 보안 테스트 도구의 부재“.

제 생각에는 개발자가 코드 작성을 시작할 때 DevSecOps가 시작되어야 합니다.DevSecOps가 효과적으로 작동하려면 개발자가 처음부터 코드를 안전하게 작성할 수 있는 교육, 기술 및 도구를 갖추는 것부터 시작해야 합니다.개발자들에게 보안 코드를 실시간으로 작성하거나 애초에 버그가 많이 발생하지 않도록 교육한다면 보안 관리자와 테스트 도구는 매우 까다롭고 복잡한 취약점을 적시에 찾아 해결하는 데 집중할 수 있습니다.

코드에서 취약점을 찾아내는 많은 솔루션이 있지만 보안은 개발자들이 애초에 이러한 실수를 저지르지 않도록 하는 보안 지침을 따르도록 가르치는 데 더 중점을 두어야 합니다.

개발자들은 안전한 코드를 작성하고 코드를 작성할 때 발생하는 대부분의 오류를 수정할 수 있도록 도움을 받아야 합니다. 그리고 저는 이 기술을 통해 이 문제를 해결할 수 있다고 자부합니다.맞춤법 및 문법 수정 도구가 작성자에게 도움이 되는 것처럼 이제 개발자들은 관련 언어 및 보안 정책의 지시에 따라 실시간으로 안전하게 글을 쓸 수 있도록 도움을 받을 수 있습니다.제 생각에는 이것이 DevSecOps의 더 쉽고 밝은 미래라고 생각합니다.

이것이 바로 저희 시큐어 코드 워리어입니다. 선생 제안 - AppSec이 제어하는 개발 팀을 위한 실시간 보안 코치 역할을 하여 보안 지침이 항상 개발자 곁에 있도록 합니다.이를 통해 더 일관되고 안전하며 빠르게 코딩할 수 있습니다.얼리 어답터 프로그램을 통해 문제를 해결하는 데 걸리는 시간이 버그당 평균 3시간에서 단 10분으로 단축되는 것을 확인할 수 있습니다.

효율성과 가장 중요한 정확성을 갖춘 DevSecOps 타임라인에 맞게 작동할 수 있는 보안 도구를 사용해야 합니다.이제 더 높은 수준의 소프트웨어 보안을 목표로 삼아야 할 때입니다.

코드에서 취약점을 찾아내는 많은 솔루션이 있지만 보안은 개발자들이 애초에 이러한 실수를 저지르지 않도록 하는 보안 지침을 따르도록 가르치는 데 더 중점을 두어야 합니다.

이 블로그 게시물에서는 다음과 같은 내용을 다룰 것입니다.

• 검색 및 매칭 주석 시연
• 콧수염 템플릿을 사용한 아멘 주석

Sensei는 문제가 있는 코드 패턴을 일치시킨 다음 합의된 구현에 맞게 수정할 수 있는 기능을 제공합니다.이 예제에서는 매개 변수가 없는 @Disabled 를 문제가 되는 코드 패턴으로 사용하고 있습니다.

비활성화된 테스트 주석

특정 이유 없이 테스트를 비활성화하면 테스트를 비활성화한 이유를 잊어버리기 때문에 장기적으로 문제가 될 수 있습니다.

@Disabled
void 이 테스트 메서드에는 비활성화된 이유가 없습니다. () {
Assertions.fail (“이 테스트는 비활성화되었으므로 실행해서는 안 됩니다.”)
}

시간이 지나면서 코드 기반이 바뀌고 비활성화된 테스트가 코드의 목적에 맞게 업데이트되지 않아 결국 중복되고 관련성이 없어져 다시 활성화되지 않을 수 있다는 위험이 있습니다.

코드 리뷰 과정에서 주석 매개변수로 설명을 추가하는 것이 좋다는 점을 자주 지적할 것입니다.

@Disabled (“이유 추가를 시연하기 위해 비활성화됨”)
void 이 테스트 메서드가 비활성화되었습니다. Reason () {
Assertions.fail (“이 테스트는 비활성화되었으므로 실행해서는 안 됩니다.”)
}

선생님 레시피

설명 없이 @Disabled 가 추가될 때 이를 감지하는 레시피와 비활성화한 이유를 설명하는 실제 이유를 추가하도록 상기시켜주는 Quick Fix를 작성할 수 있습니다.

내가 무엇을 할 것인지 생각할 때 나는 다음과 같이 해야 한다.

• 매개변수 없이 Disabled 주석을 일치시키십시오.
• Disabled 주석을 “TODO: 여기에 설명 추가”라는 마커 텍스트가 있는 매개 변수를 갖도록 변경합니다.

경고 레시피 만들기

Alt+Enter를 사용하여 새 레시피를 만듭니다.

그런 다음 일반 정보에 기본 설명 텍스트를 추가합니다.

규칙을 경고로 만들면 일치하는 코드가 강조 표시되지만 눈에 띄는 오류로 표시되지는 않습니다.

주석 찾기

레시피 편집기에서 주석과 일치하도록 검색을 변경합니다.

그러면 미리보기에서 모든 주석이 강조 표시됩니다.

이제 주석 유형을 기준으로 필터링하고 싶습니다.

Disabled를 사용할 수도 있지만 JUnit 5의 주석과만 일치하도록 패키지로 클래스를 완전히 검증합니다.소스 코드가 미리보기에 표시되기 때문에 오타를 방지하기 위해 실제 코드에서 소스 코드를 쉽게 복사하여 붙여넣을 수 있습니다.

그런 다음 매개변수가 없는 주석만 매칭하고 싶은데 GUI를 사용하여 매칭할 수 있습니다.

즉, 검색:

검색:
주석:
유형: “org.junit.Jupiter.API.Disabled”
미포함:
매개변수:
- {}

재작성 빠른 수정 작업 생성

QuickFix의 경우 재작성 작업을 사용하겠습니다.

나는 사용한다 변수 보기 Mustache 변수를 보여주고 내용을 미리 볼 수 있는 기능입니다.

그런 다음 장소 표시 댓글을 만드는 데 필요한 추가 코드를 추가합니다.

즉, 퀵픽스:

사용 가능한 수정 사항:
- 이름: “할 일 설명 매개 변수 추가”
조치:
- 다시 작성:
받는 사람: “{{{.}}} (\" TODO: 여기에 설명을 추가하세요\”)”
대상: “본인”

센세이 인 액션

레시피 제작 과정을 보여주는 짧은 비디오를 만들었습니다.

Résumé

재작성 Quick Fix를 빌드할 때 다시 작성하려는 코드 요소를 검색할 수 있으면 작업이 더 쉬워집니다. 그러면 해당 요소가 작업을 수행할 수 있는 자체 엔티티이기 때문입니다.

이 예제에서는 재작성 작업을 사용하여 주석을 수정했습니다.재작성은 모든 코드 요소에 적용할 수 있는 범용 작업이며 탐색하기에 좋은 기본 작업입니다.

이 기사의 한 버전이 나왔습니다. 사이버 디펜스 매거진.여기에서 신디케이션을 위해 업데이트되었습니다.

사이버 공격은 요즘 생활 방식이 되었습니다.사람들은 은행에서 항공에 이르기까지 모든 것, 또는 스마트폰과 신호등과 같은 다양한 장치에 영향을 미치는 새로운 취약점이나 보안 침해에 대한 뉴스를 듣기를 거의 기대합니다.심지어 우리 집도 더 이상 완전히 안전하지 않습니다.도시와 마을 전체 공격을 받고 있습니다 거의 매일 범죄자들이 피해를 입었고 공격자들은 손상된 중요 서비스를 복구하기 위해 수백만 달러의 몸값을 요구합니다.

하지만 그래도 안전하다고 느낄 수 있는 한 곳은 진료실이나 병원이었습니다.의료 서비스 제공자에게 연락할 때 가장 취약한 상황에 처하는 사람들이 있습니다.인간의 품위는 지역 의사들이 평화롭게 고귀한 일을 할 수 있도록 하는 것을 거의 요구합니다.안타깝게도 그런 일은 일어나지 않습니다.오늘날의 사이버 도둑들 사이에서는 명예나 절망감이 거의 없는 것 같습니다.실제로 의료 분야는 차세대 “위대한” 사이버 보안 전쟁터가 될 수 있습니다. 범죄자들은 의료 문제를 진단하고 치료를 제공하며 생명을 유지하는 바로 그 기계를 공격합니다.전 세계적으로 지속적인 보건 위기가 눈앞에 펼쳐지고 있는 지금, 이 문제는 여러 시점에서 해결해야 할 중요한 과제입니다.

위협은 그 어느 때보다 개인화되고 있습니다.

의료 산업에 대한 공격은 새로운 것이 아닙니다.사이버 범죄자들은 이미 환자 정보, 개인 데이터, 금융 기록이 지하 세계와 다크 웹에서 갖는 가치를 알고 있습니다.이러한 정보는 환자로부터 직접 돈을 훔치는 데 사용되거나 피싱 및 기타 사기와 같은 2차 공격의 출발점으로 사용될 수 있습니다.그렇다면 최근에 가장 파괴적인 공격 중 상당수가 의료 서비스를 겨냥한 것은 놀라운 일이 아닙니다. 애국가 의료 기관에서 8천만 건의 환자 기록이 도난당했습니다. 프리메라 1,100만 개의 개인 파일을 잃었습니다. 케어퍼스트총 110만 개의 손상된 레코드가 발견되었으며, 목록은 계속 늘어났습니다.

현재로서는 의료 기기에 대한 직접적인 공격은 거의 없는 것으로 보입니다.하지만, 최소 한 개의 보고서 병원이 침입 사실을 보고하지 않거나 사이버 보안 교육을 받지 않은 직원이 공격이 바로 앞에서 일어나고 있다는 사실을 인식하지 못하는 등 문제가 훨씬 더 널리 퍼질 수 있음을 시사합니다.멀웨어를 사용하여 다음과 같은 무서운 방법으로 의료 기기를 손상시킬 수 있는 능력 가짜 종양 추가 CAT 스캔 및 MRI 결과에 대한 것이 보안 연구원에 의해 결정적으로 입증되었습니다.공격자들이 이미 현실 세계에서 의료 기기와 동일하거나 유사한 일을 하고 있을 수 있다고 생각해도 과언이 아닙니다.

또한 의료 분야는 인터넷에 연결되어 엄청난 양의 정보를 생성하는 소형 센서인 사물 인터넷 (IoT) 내의 장치에 대한 의존도가 높아짐에 따라 사이버 공격에 매우 취약합니다.대부분의 경우 이러한 센서에서 생성되는 정보, 센서가 통신하는 데 사용하는 채널, 심지어 센서 자체를 보호하는 것은 미숙한 과제에 지나지 않습니다.IoT가 지배하는 네트워크 내에 숨어 있는 공격자가 악용할 수 있는 잠재적 취약성의 수는 거의 무한할 것입니다.

의료 분야의 IoT는 심각한 위험을 초래합니다.

환자 치료에 중요한 서비스는 “20년 전만 해도 상상조차 하지 못했던” IoT 기반 취약점과 기타 기존 취약점 모두의 온상입니다.전자 의료 기록, 원격 진료, 모바일 의료 모두 IoT가 제공할 수 있는 정보의 홍수를 기다리고 있는 것처럼 보였습니다.의료 부문에서 IoT에 대한 노력이 어마어마한 것은 놀라운 일이 아닙니다.마켓리서치닷컴은 예측합니다. 내년이면, 의료 부문의 IoT 시장은 1,170억 달러에 달할 것이며, 그 이후에도 매년 15% 의 비율로 계속 확장될 것입니다.

이러한 환경에서 숙련된 공격자는 의료 기기를 악용하는 데 사용될 수 있는 많은 취약점을 발견할 수 있습니다.의료 기기에 내장된 IoT 센서는 일반적으로 두 가지 방법 중 하나로 통신하고 데이터를 생성합니다.일부는 데이터를 수집한 후 결과를 모두 인터넷에 직접 전송하여 분석합니다.다른 이들은 다음과 같은 형태의 분산 네트워킹을 사용합니다. 포그 컴퓨팅 센서 자체가 일종의 미니 네트워크를 형성하여 중앙 저장소 또는 플랫폼과 공유할 데이터를 총체적으로 결정합니다.그러면 해당 데이터를 추가로 처리하거나 의료 종사자가 직접 액세스할 수 있습니다.

의료 분야의 사이버 보안 문제를 더욱 복잡하게 만드는 것은 업계가 데이터 처리 표준, 방법 또는 보호를 수용하거나 이에 동의한 적이 없다는 사실입니다.지금까지 의료 산업은 의료 기기에 대한 자체 독점 기술을 제공하는 제조업체에 의해 운영되어 왔습니다.오늘날 여기에는 내장형 IoT 센서, 장치에서 사용하는 통신 채널, 데이터 수집 후 데이터를 분석하기 위한 플랫폼이 포함됩니다.따라서 대부분의 병원 네트워크는 해커들의 꿈이나 적어도 해커가 다음과 같은 모든 것을 악용할 수 있는 훌륭한 시험장이라고 할 수 있습니다. 보안 구성 오류 에 전송 계층 보호가 충분하지 않음.다음과 같은 방법으로 무엇이든 시도할 수 있습니다. 사이트 간 요청 위조 클래식에 XML 인젝션 공격.

우리에게 필요한 카운터 펀치가 바로 앞에 있습니다.

이로 인한 잠재적 재앙에도 불구하고 취약성이 있습니다 악용되고 있는 상황에서 낙관적인 태도를 유지할 것이 있습니다. 이러한 보안 버그는 범죄 지도자들이 열어주는 새롭고 강력한 백도어가 아니라는 것입니다.너무 흔해서 몇 번이고 계속 보게 되면 답답합니다.이들이 고개를 끄덕이는 이유 중 하나는 수정 사항이 있음에도 불구하고 아직 패치가 적용되지 않은 레거시 시스템을 사용하기 때문이기도 하지만, 다른 하나는 다시 인적 요소와 관련이 있습니다.개발자들은 빠른 속도로 코드를 작성하고 있으며 보안 모범 사례가 아니라 매끄럽고 기능이 뛰어난 최종 제품에 집중하고 있습니다.

AppSec 전문가가 따라갈 수 없을 만큼 많은 소프트웨어가 개발되고 있으며 이러한 취약성이 재발하는 상황에서 이들이 지속적으로 시간을 절약하리라고는 기대할 수 없습니다.애초에 이러한 취약점을 도입하지 않는 것이 더 저렴하고 효율적이며 훨씬 더 안전하다는 것은 분명합니다. 즉, 보안 팀과 개발자는 강력한 엔드-투-엔드 보안 문화를 조성하기 위해 더 많은 노력을 기울여야 합니다.

훌륭한 보안 문화는 정확히 어떤 모습일까요?몇 가지 핵심 요소는 다음과 같습니다.

• 개발자는 일반적인 버그를 없애는 데 필요한 도구와 교육을 갖추고 있으며, 이를 해결하는 것이 왜 그렇게 중요한지 이해할 수 있습니다.
• 교육은 포괄적이고 쉽게 이해할 수 있으며 개발자의 강점을 발휘합니다.
• 교육 결과는 지표 및 보고 기능을 통해 적절하게 측정됩니다 (단순히 체크박스를 선택하고 연습을 계속하는 것이 아님).
• AppSec과 개발자들은 같은 언어를 사용하기 시작합니다. 결국 긍정적인 보안 문화 속에서 그들은 비슷한 목표를 달성하기 위해 노력하고 있습니다.

재해의 가능성은 여전히 엄청나며 환자의 의료 기록을 도난당하는 것 이상입니다.스캔에 가짜 종양을 주입하면 암에 걸렸는지 확인하기 위해 애타게 기다리는 사람이 큰 피해를 입을 수 있습니다.그리고 약물을 바꾸거나 치료 계획을 변경하면 실제로 사망에 이를 수도 있습니다.하지만 이익을 위해 기꺼이 그 선을 넘으려는 사이버 범죄자 한 명만 있으면 됩니다. 그런 일이 일어날 것이라고 장담할 수 있습니다.아마도 다음 랜섬웨어 사기는 병원 데이터를 암호화하는 것이 아니라 수천 명의 환자에 대한 진단을 망칠 수도 있습니다.아니면 공격자가 돈을 받지 않는 한 의약품을 바꾸겠다고 위협하여 말 그대로 몸값을 노리고 생명을 앗아갈 수도 있습니다.

이제 더 이상 “평소와 같은 비즈니스” 접근 방식을 따를 수 없다는 것이 분명합니다. 의료 분야의 사이버 보안.모든 문제를 해결하기 위해 의료 기관의 전문가 한두 명에게 의존할 수는 없습니다.그 대신 의료 앱 및 기기를 개발하는 보안 지식을 갖춘 개발자가 필요합니다. 이를 통해 잠재적 문제를 인식하고 시설에 배포하기 전에 문제를 해결할 수 있습니다.심지어 의료 종사자들도 기본적인 사이버 보안 교육을 이용할 수 있습니다.

건강보다 더 중요한 것은 없다는 것이 사실입니다.의료 산업에서 미래에 대비하여 우수한 사이버 보안 적합성을 유지하려면 오늘날 전반적인 보안 인식을 제고하는 것이 관건입니다.심각한 치료가 없다면 이 문제는 더욱 악화될 수밖에 없습니다.

이 기사의 한 버전이 에 게재되었습니다. 다크 리딩.여기에서 업데이트 및 신디케이트되었습니다.사이버 보안 예측은 우리 업계의 일종의 전통입니다. 다가올 해를 바라보며 그래미 시상식에서 레이디 가가보다 더 많은 변화를 가져올 수 있는 분야에서 앞으로 어떤 일이 벌어질지 지켜볼 수 있기 때문입니다.때로는 우리의 말이 맞을 때도 있고, 때로는 한 세대에 한 번뿐인 팬데믹이 발생하여 전혀 예상하지 못했던 방식으로 우리를 위협하기도 합니다.

하지만 여기에 초점을 맞추지는 말자.지금이 2021년경인데, 2020년에 대한 적응을 몇 가지 해볼 예정이긴 하지만, 앞으로 할 일이 아주 많습니다. 사이버 보안의 미래그리고 가장 흥미로운 일들은 이곳 지상에서 일어나고 있지도 않습니다.

맞습니다. 2021년은 사이버 위협으로부터 우리 은하계를 안전하게 지키는 새로운 종류의 우주 경쟁을 주류로 끌어올리는 해가 될 것으로 예상하고 있습니다.

NASA는 이미 지구 밖에서 일하는 사이버 보안 요원을 고용하고 있습니다 (그리고 생각보다 이상합니다)

NASA가 가장 강력한 사이버 공격을 견딜 수 있도록 NASA의 소프트웨어 및 운영을 강화하는 데 중점을 둔 엔지니어와 많은 보안 전문가를 고용하고 있다는 것은 놀라운 일이 아닙니다.

... 뭐 수도 있습니다 놀람은 사실이다 그들은 선임 위성 엔지니어를 고용합니다 28세의 케네스 F. 해리스 2세는 궤도에 있는 위성을 보호하고 방어하기 위해서죠.케네스는 자동화된 프로세스와는 거리가 먼 실제 슈퍼맨으로, 지구 어디에서든 발생할 수 있는 잠재적 사이버 위협의 위험을 완화하는 데 도움을 줄 뿐만 아니라 NASA의 인공위성을 물리적으로 공격하려는 수많은 시도 사이에서 (은유적으로) 서 있습니다.

국가의 위성이 손상되면 어떤 문제가 발생할까요?고의적인 충돌이나 악의적인 공격자가 소프트웨어 취약점을 악용하면 GPS 네트워크, 기상 경보 및 예보, 우리가 매일 당연하게 여기는 통신 시스템을 잠재적으로 방해할 수 있습니다.

이 위협은 말 그대로 현실에서 벗어날 수도 있지만, 우주 자산 보호에 초점을 맞춘 보안 담당자들은 앞으로 큰 수요를 경험하게 될 틈새 영역이 될 것이라고 확신합니다.

정부는 이미 우주군을 모으고 있습니다... 그리고 보안 전문가가 필요할 거예요

2019년 12월, 미국 정부는 이번에는 우주에 새로운 군사 작전을 도입했습니다.미국의 스페이스 포스 마크 에스퍼 미국 국방부 장관에 따르면, 우주를 “전 세계 공유지”로서 보존하는 데 중점을 둔 기술 중심 부서입니다. “이는 안보뿐만 아니라 상업, 생활 방식, 지구에 대한 이해, 날씨 등에도 중요합니다.따라서 우리가 이제 그렇게 대하고 스스로를 방어하고 공간을 보존할 준비를 하는 것이 매우 중요합니다.” 라고 그는 말했습니다.

2020년 10월에는 미 공군의 사이버 전문가가 130명에 달할 것으로 보고되었습니다. 우주군 계급으로 재배치우주군 기술 및 혁신 책임자인 킴벌리 크라이더 (Kimberly Crider) 소장은 우주를 “사이버 분쟁의 다음 전선”으로 지목했습니다.

미국은 우주군 구성의 선두 주자 중 하나였을지 모르지만, 진지한 부서라기보다는 다소 과장되고 만화책 줄거리처럼 보일 수 있는 이 시기에 우주 사이버 전쟁은 이미 위험 영역이며 대부분의 국가가 결국 자체 프로그램을 마련하게 될 것이라는 것은 말할 필요도 없습니다.

Tesla는 이미 자동차를 우주에 배치했으며 컴퓨터는 도로를 주행합니다.

2018년, 일론 머스크는 자율주행 테슬라 차량을 우주로 보냈습니다.2020년 10월까지 '스타맨'이라는 별명을 가진 우주복을 입은 마네킹이 조종하는 자동차는 13억 마일을 기록했습니다그리고 지금은 화성을 지나갔습니다.

이런 상황이 사이버 보안 문제는 아니지만, 지구상의 도로가 느리지만 컴퓨터로 움직이는 자동차들로 가득 차 있는 가운데, 무한한 은하 간 NASCAR 레이스를 벌이는 자동차가 있다는 사실이 신기합니다.소프트웨어로 구동되는 모든 것에는 적어도 일부 사이버 위험 요소가 수반되며, 자동차 소프트웨어는 이전에도 보안 침해를 당한 적이 있는데, 그 결과 다음과 같은 결과가 나타납니다. 재앙의 가능성.Tesla는 이미 보안 연구자들에 의해 여러 번 테스트되었으며 원 익스플로잇 그 결과 차량이 시속 35마일에서 85마일로 자율적으로 가속됩니다.이런, 그렇군요.그래도 Tesla의 포괄적인 보안 프로그램은 테스트 및 규정 준수 측면에서 업계의 높은 기준을 세웠습니다.

자율 주행 차량은 개인 여행의 미래이지만 Tesla와 같은 회사보다 더 많은 업체가 시장에 진입함에 따라 모든 이목이 구축의 소프트웨어 보안 측면에 쏠릴 것이며 2021년부터 이 시장이 폭발적으로 성장할 것으로 보입니다.

많은 발전이 있었는데도 우리는 여전히 인적 요소를 잊고 있습니다

신기술의 고유한 위험에도 불구하고 우리는 확실히 매우 흥미로운 시기에 있습니다.대부분의 산업이 최첨단 소프트웨어를 사용하여 혁신을 이루고 있으며, 그 다음에는 어떤 것들이 있을지 정말 기대됩니다.

그러나 사이버 보안 산업 전체가 약간 어려움을 겪고 있는 것 같습니다.어느 곳을 돌아다니든 더 안전한 소프트웨어를 만들고자 하는 조직에 가장 많이 하는 조언은 도구, 자동 스캐너 및 기타 솔루션을 계속 구매하라는 것입니다. 결국 보안 문제 해결은 로봇에게 맡기고 있습니다.이틀에 한 번씩 발생하는 대규모 데이터 침해로 인해 이러한 접근 방식에는 심각한 업그레이드가 필요하며 우리가 사용할 수 있는 모든 옵션을 활용하고 있지 않다는 사실이 증명됩니다.Gartner's 애플리케이션 보안을 위한 하이프 사이클 2020 보고서에는 다양한 최신 보안 솔루션이 자세히 설명되어 있습니다. 사실 기술 솔루션을 생각하기는 어렵습니다. 하지 않았습니다 보안 애플리케이션 개발을 위한 실행 가능한 옵션으로 요약되어 있습니다.포괄적으로 보이지만 좋은 조언인 것 같습니다.하지만 안타깝게도 보안 애플리케이션 개발의 인적 요소에 대한 언급은 하나도 없습니다. 교육을 받고 보안을 잘 아는 개발자가 일반적인 문제를 줄이는 데 있어 매우 유익한 역할을 할 수 있다는 점에 대해서는 한 마디도 없습니다. 소프트웨어 취약성.이는 반복되는 소프트웨어 버그에 대한 단연 가장 경제적인 솔루션이며, 툴과 보안 전문가가 보다 복잡한 문제를 해결할 수 있도록 해줍니다.

예측보다는 질문으로 끝내야 할 수도 있습니다.2021년은 업계 분석가들이 보안 소프트웨어 개발을 강화하기 위한 경쟁에서 인간을 최우선으로 생각하는 해가 될까요?

‍

Secure Code Warrior는 전 세계가 소프트웨어를 구축하는 방식을 한 번에 한 줄씩 안전하게 만드는 것을 사명으로 삼고 있습니다.우리와 함께 중요한 이정표를 기념하세요.

10,000개 이상의 보안 코드 학습 활동 — 그리고 계속 증가하고 있습니다!

‍

‍

‍이러한 10,000개 이상의 보안 코드 학습 활동은 단순한 숫자를 넘어 일상적인 워크플로우에 보안을 도입하는 수천 개의 글로벌 팀 전체에 미치는 실질적인 영향을 반영합니다.우리는 수많은 기업이 코드 품질을 개선하고, 출시 시간을 단축하고, 취약점을 줄이는 데 도움을 준 것을 자랑스럽게 생각합니다.그리고 우리는 이제 막 시작했을 뿐입니다.개발자들이 취약점을 줄이고 AI 지원 개발을 자신 있게 탐색할 수 있도록 학습 경로를 지속적으로 확장하고 있습니다.축하합니다. 이 중요한 이정표를 달성하는 데 도움을 주신 모든 분들께 감사드립니다!

다음 10,000명까지입니다.여정에 참여해주셔서 감사합니다.

TL; DR - 리와인드 더 테이프: 10년에 걸친 개발자 역량 강화

2015—2018: 기반 구축

• 개발자 우선 사명으로 Secure Code Warrior를 출시하고 실제 언어 및 프레임워크에서 대화형 보안 코딩 문제를 도입했습니다.
  ‍

2019—2020: 코어 확장

• 30개 이상의 언어에서 3,500개 이상의 보안 코드 학습 활동을 능가했습니다.
• 과정, 임무 및 실습 학습 경로를 소개했습니다.
  ‍

2021—2022년: 더 스마트하고 폭넓은 학습

• 워크스루, 인증 수준 및 SCORM LMS 통합을 출시했습니다.
• 접근성, 포괄성 및 확장 가능한 프로그램 제공에 중점을 둡니다.

2023—2024: 실제 세계와의 관련성

• C#, 자바, 파이썬, 리액트, 테라폼 등의 핸즈온 코딩 랩을 시작했습니다.
• 클라우드, DevOps, 컨테이너 및 데이터베이스 위험에 대한 심층 분석 콘텐츠를 추가했습니다.
• 광범위한 엔지니어링 역할을 위한 AI/LLM 중심의 보안 주제 및 랩을 도입했습니다.
  ‍

2025: AI 및 개발자 위험 관리 시대

• 60개 이상의 언어에서 10,000개 이상의 보안 코드 학습 활동을 수행하십시오.
• LLM을 위한 OWASP 상위 10위, AI를 사용한 코딩, 비인간 신원 (NHI) 등에 대한 AI/LLM 학습 콘텐츠를 확장했습니다.

‍

흥미진진하고 도전적인 한 해에 뒤이어 2025년을 앞두고 있는 지금, AI와 소프트웨어 개발의 교차점은 계속해서 의미 있는 방식으로 개발자 커뮤니티를 형성할 것입니다.

조직은 장기적인 생산성, 지속 가능성 및 보안 ROI를 지원하기 위해 AI 사용에 대한 어려운 결정을 내려야 합니다.지난 몇 년 동안 AI가 개발자의 역할을 완전히 대체할 수는 없다는 것이 분명해졌습니다.AI+ 개발자 파트너십부터 Secure-by-Design에 대한 기대치가 높아지는 압박 (및 혼란) 에 이르기까지, 내년에 우리가 기대할 수 있는 사항에 대해 자세히 살펴보겠습니다.
‍

AI 방정식 다시 쓰기: 개발자 대신 AI가 아니라 AI+개발자

“2025년에 기업들이 과감한 비용 절감 조치를 취해야 하는 상황에서 개발자들이 AI 툴링으로 대체되는 것은 놀라운 일이 아닙니다.하지만 제너레이티브 AI가 처음 등장했을 때 그랬듯이, 제너레이티브 AI는 수년간 업데이트되고 앞으로 더 많은 업데이트가 이루어질 예정이지만, 특히 코드를 만들 때 제너레이티브 AI는 여전히 안전하고 자율적인 생산성 동인으로 작용하지 못합니다.AI는 놀라운 애플리케이션과 사용 사례가 많이 있는 매우 파괴적인 기술이지만 숙련된 인간 개발자를 충분히 대체할 수는 없습니다.저도 이에 동의합니다. 포레스터 2025년 인공지능/인간 대체로의 전환은 실패할 가능성이 높으며, 특히 장기적으로는 실패할 것으로 예상됩니다.AI를 단독으로 사용하는 것보다 AI+개발자의 조합이 이를 달성할 가능성이 더 높다고 생각합니다.”

‍

AI는 다양한 위험과 기회를 제공합니다.

“2025년에는 환각 현상, 쪼그리고 앉은 라이브러리, 소프트웨어 공급망에 영향을 미치는 익스플로잇과 같은 알려진 문제의 부작용을 포함하여 AI 생성 코드에서 새로운 위험 사례가 나타날 것입니다.또한 AI는 코드의 결함을 찾아내는 데 훨씬 더 많이 사용될 것이며, 이를 악용하기 위한 익스플로잇을 작성하는 데에도 활용될 것입니다. 구글 프로젝트 제로 방금 시연했습니다.이와 대조적으로, 엔터프라이즈 개발자가 이러한 도구를 추가 위험을 가중시키지 않고 업무에 활용할 수 있게 되면 초기 수준의 성숙도에 도달하게 될 것이라고 생각합니다. 하지만 이는 규칙이 아니라 예외일 수 있으며, 개발자 위험을 적극적으로 측정하고 그에 따라 보안 프로그램을 조정하는 조직에 따라 달라질 수 있습니다.2025년에 닥칠 것으로 예상되는 빠르게 진화하는 위협 환경에서는 승인된 AI 코딩 도구를 갖춘 숙련되고 보안을 잘 아는 개발자만이 코드를 더 빠르게 생성할 수 있는 반면, 보안 인식이 낮고 일반적인 기술을 가진 개발자는 더 빠른 속도로 더 많은 문제를 발생시킬 뿐입니다.”

‍

브레이킹 아웃 오브 더 [AI] 섀도우

“AI와 관련된 입법 환경은 기술의 빈번한 발전과 채택률을 따라잡기 위해 빠르게 변화하고 있습니다.2025년에는 보안 리더가 잠재적 지침을 준수할 준비를 갖추어야 합니다.“섀도우 AI”의 특성을 이해한 다음, 조직에서 사용되지 않도록 하고, 회사 시스템에 설치된 승인되고 검증된 도구만 엄격하게 사용하는 등의 조합이 향후 조직에 가장 중요한 것으로 판명될 것입니다.이를 통해 개발 집단에 대한 더 큰 평가가 이루어질 것입니다. 개발 집단이 보안 역량을 지속적으로 향상시키고 이를 업무의 모든 측면에 적용하기 위해 최선의 지원을 받아야 하는 방법을 이해할 수 있을 것입니다.”

‍

AI Tools의 보안 상태는 개발자의 주요 척도가 될 것입니다

“지금은 LLM 기반 코딩 도구 측면에서 누구나 자유롭게 이용할 수 있는 시장입니다.새로운 추가 기능이 항상 등장하고 있으며, 각각 더 나은 출력, 보안 및 생산성을 자랑합니다.2025년으로 접어들면서 각 AI 도구를 벤치마킹하고 보안 상태를 평가할 수 있는 표준이 필요합니다.여기에는 코딩 기능, 즉 위협 행위자가 악용할 수 없는 우수하고 안전한 코딩 패턴으로 코드를 생성할 수 있는 기능이 포함됩니다.”

‍

AI는 주니어 개발자의 현장 진출을 어렵게 만들 것입니다

“개발자들의 진입 장벽은 그 어느 때보다 커졌습니다.하이브리드 및 분산형 인력과 초급 역할에 필요한 기술 수준이 높아짐에 따라 주니어 개발자의 기준은 매년 계속 높아지고 있습니다.2025년이 되면 고용주들은 주니어 개발자들이 실무 교육에 시간을 할애하는 대신 역할을 시작할 때 이미 AI 도구를 워크플로우에 안전하게 통합하고 최적화할 수 있는 기술과 지식을 갖추기를 기대하기 시작할 것입니다.개발 워크플로우에서 AI 도구를 활용하는 방법을 배우지 못하는 개발자는 향후 1년 이내에 경력 성장에 중대한 영향을 받게 되며 취업 기회를 확보하는 데 어려움을 겪게 됩니다.결국 안전한 AI 숙련도가 핵심이 될 것이기 때문에 개발자들은 '코딩 라이선스'를 방해할 위험이 있으며, 이로 인해 더 복잡한 프로젝트에 참여할 수 없게 됩니다.”

‍

시간이 흐르면 조직은 보안 설계를 실현하는 데 어려움을 겪을 것입니다

“개발자는 “Secure by Design”을 달성하기 위한 올바른 도구와 관행을 익히고 기술을 익히려면 충분한 시간과 자원이 필요합니다.조직이 보안 및 엔지니어링 리더의 동의를 얻지 못하면 개발이 저해되거나 완전히 중단될 수 있습니다.조직은 비용을 절감하거나 리소스를 제한하려고 할 때 장기적인 솔루션보다 즉각적인 문제 해결 노력을 우선시하는 경우가 많습니다. 즉, 일부 작업은 “무난한” 반면 나머지는 모두 “평범한” 다방면의 치료 도구에 초점을 맞춥니다.2025년에는 이러한 불균형으로 인해 보안 소프트웨어 개발을 우선시하는 조직과 변화하는 환경에 보조를 맞추기 위해 빠른 수정만 원하는 조직 간의 격차가 커질 것입니다.”

‍

공급망 보안 감사는 글로벌 위험을 완화하는 데 중요한 역할을 할 것입니다

“모든 아웃소싱/타사 공급업체에 대한 조사가 강화되기 시작할 것입니다.내부적으로는 최고 수준의 보안 프로그램을 보유할 수 있지만 아웃소싱하는 회사의 경우 Secure by Design을 실행하지 않으면 전체 보안 프레임워크가 손상될 수 있습니다.그 결과 조직은 아웃소싱 활동에 대한 철저한 감사를 받게 되며, 이로 인해 비즈니스 리더는 엄격한 보안 및 업계 규정 준수 지침을 따르도록 압력을 받게 됩니다.궁극적으로 보안팀의 성공은 조직 전체와 외부 파트너 전반의 통합된 접근 방식을 포함한 총체적인 360도 관점에 달려 있습니다.”

‍

AI는 “소음 차단”에 영향을 미칠 것입니다

”개발 팀은 코드 취약점 스캐너의 오탐률로 어려움을 겪고 있습니다.할당된 취약점이 실제로 보안 위험인지 어떻게 확신할 수 있을까요? 2025년에 AI는 개발자들이 코드 수정과 관련하여 “잡음을 없애고” 코드 자체를 더 깊이 이해할 수 있도록 도와주는 중요한 도구가 될 것입니다.AI는 머신 러닝을 활용하여 컨텍스트를 기반으로 실제 위협의 우선 순위를 더 잘 지정하여 보안 경고의 정확도를 개선하는 데 소요되는 시간을 줄일 수 있습니다.이를 통해 팀은 실제로 위험을 초래하는 취약점에 집중하여 전반적인 효율성을 높이고 더 빠르고 안전한 개발 주기를 가능하게 할 것입니다.”

‍

벤치마킹은 조직이 Secure by Design 목표를 달성할 수 있는 솔루션이 될 것입니다.

“보안 벤치마크가 없으면 2025년에는 조직에 해로울 수 있습니다. Secure by Design 표준 충족 진행 상황을 측정하기 위한 명확한 기준이 없기 때문입니다.팀이 보안 코딩 관행을 어떻게 준수하는지 평가할 벤치마킹 시스템이 마련되어 있지 않으면 이러한 조직은 실수로 취약점을 도입하여 중대한 보안 침해로 이어질 위험이 있습니다.그리고 보안 침해가 발생하면 벤치마킹 시스템을 구현할 시간이 없을 가능성이 높습니다. 오히려 개발자 팀의 보안 성숙도를 먼저 평가하지 않고 SBD 이니셔티브를 가속화해야 하기 때문에 궁극적으로 조직은 더 큰 위험에 노출됩니다.”

‍

AI 생성 코드로 인한 기술적 부채

“업계가 이미 기술 부채와 관련하여 엄청난 문제를 안고 있다는 것은 비밀이 아닙니다. 이는 이미 작성된 코드 때문입니다.경영진의 제한된 감독 외에도 본질적으로 안전하지 않은 AI 생성 코드에 대한 개발자들의 맹목적 의존도가 급증함에 따라 상황은 더욱 악화될 것입니다.이러한 추세로 인해 내년에 보고된 CVE가 10배 증가할 가능성이 매우 높습니다.”

‍

성공적인 2025년을 위해 조직은 개발 팀에 적절한 교육 및 위험 완화 투자와 함께 책임감 있고 안전하게 AI를 도입할 의향이 있어야 합니다.내년은 CISA가 Secure by-Design을 약속한 지 1주년이 되는 해이므로 경쟁 우위를 유지할 브랜드는 AI, 타사 보안 문제 및 새롭게 등장하는 위협과 관련된 위험을 가장 효과적으로 제거하기 위한 보안 개발 접근 방식을 우선시하는 기업입니다.