Capacitar a los desarrolladores, aumentar la productividad y mitigar los riesgos

Secure Code Warrior se enorgullece de continuar con su misión de dotar a los desarrolladores y a las organizaciones de las habilidades necesarias para combatir las amenazas a la seguridad en constante evolución. En 2023, trabajamos con más de 600 empresas, y al analizar los datos de casi 75.000 desarrolladores, nuestra investigación muestra que aquellos que se comprometen con Secure Code Warrior reducen las vulnerabilidades hasta en un 53%. Esto, a su vez, se traduce en un enorme aumento de la productividad de los desarrolladores, además de ayudar a los equipos de AppSec y de seguridad a protegerse frente a los riesgos y reforzar la postura de seguridad de su organización.

A medida que nos acercamos a 2024, hemos pensado que sería útil repasar algunos de los principales avances en productos, asociaciones estratégicas y actualizaciones de la empresa que hemos realizado este año. 

‍

Innovaciones de productos

Hemos vivido un año excepcional para el aprendizaje de código seguro en nuestra comunidad de desarrolladores. He aquí algunos de los aspectos más destacados:

• Hemos añadido dos nuevos lenguajes a la plataforma (Terraform:GCP y Dart:Flutter) y hemos distribuido Coding Labs en nueve lenguajes y marcos de trabajo diferentes. 
• Secure Code Warrior albergó 820 Tournaments en 2023.
• De media, los desarrolladores dedicaron 2,3 minutos a los Coding Labs, completando más de 100.000 laboratorios en 2023. Eso suma más de 4.200 horas dedicadas a la nueva actividad de aprendizaje de Secure Code Warrior. 
• Por último, echemos un vistazo a los 10 principales sectores de procedencia de nuestros desarrolladores en función del número de alumnos activos en la plataforma. 

En 2023, Secure Code Warrior introdujo Coding Labs, nuestra actividad de aprendizaje más avanzada e interactiva, diseñada para elevar la educación en seguridad de los desarrolladores. Esta adición proporciona retroalimentación contextual en tiempo real y actualmente está disponible en más de 9 lenguajes y frameworks. Coding Labs actúa como un entrenador personal, facilitando un aprendizaje más rápido y la mejora de habilidades, y haciendo que sea más rápido para los desarrolladores pasar de "aprender" a "hacer". 

Secure Code Warrior ha seguido ampliando su biblioteca de contenidos líder en el sector con la incorporación de dos nuevos lenguajes de programación: Dart:Flutter y TeraformGCP. Otras mejoras incluyen la incorporación de directrices en courses y la integración de SCW Jira, que ofrece a los desarrolladores una visión más profunda y consejos de corrección en profundidad dentro de sus flujos de trabajo. La introducción de Multi-company Tournaments ayuda a fomentar la competencia amistosa entre desarrolladores de varias empresas y filiales, garantizando una cultura de codificación segura y escalable. Además, el despliegue de SCIM permite a los propietarios de los programas y a los administradores de las empresas gestionar las licencias de Secure Code Warrior mediante programación, garantizando la precisión y el cumplimiento a escala.

¿Quiere saber más sobre las últimas innovaciones de nuestros productos? Póngase en contacto con su Gestor de éxito de clientes o visite nuestra biblioteca de recursos para ver uno de los muchos seminarios web de productos disponibles. 

‍

‍

Asociaciones estratégicas e integraciones

Ha surgido una notable colaboración con Synopsys Developer Security Training, impulsada por Secure Code Warrior. Esta integración ofrece una estrategia de bucle cerrado para prevenir los riesgos de seguridad en el escritorio del desarrollador, acelerando la corrección de problemas a lo largo del ciclo de vida de desarrollo del software (SDLC) y las canalizaciones CI/CD. El objetivo de la asociación es establecer un enfoque global del desarrollo seguro, con reducciones cuantificables de los riesgos.

Más información sobre la asociación aquí. 

‍

Devolimpiadas 2023

Devlympics, un evento mundial anual tournament organizado por Secure Code Warrior, contó con la participación de más de 1000 desarrolladores en 2023. El evento atrajo la atención de los profesionales de la seguridad de todo el mundo, con comentarios abrumadoramente positivos:

• El 94% disfrutó participando en tournament.
• El 90% manifestó su interés por participar en la edición del año próximo.
• El 62% calificó la plataforma SCW con un 10/10, y el 91% la recomendaría a sus colegas.
• Más del 85% utilizaría la plataforma SCW si su organización tuviera acceso a tiempo completo.

Lea el informe completo aquí. ¿No quiere perderse las Devolimpiadas del año que viene? Marque en su calendario los días 15 y 16 de octubre de 2024 y registre su interés para que le mantengamos informado. 

‍

Escuche a sus colegas

A medida que nos hemos ido asociando con nuestros clientes, Secure Code Warrior se ha ido integrando profundamente en su ecosistema de seguridad y ha tenido un profundo impacto en la productividad de sus desarrolladores y en la reducción de riesgos. Este año hemos tenido noticias de varios clientes y hemos recopilado las principales enseñanzas y opiniones de sus expertos en la materia para compartirlas con nuestros colegas de la comunidad de seguridad de aplicaciones en general.  

• Workday: Una notable reducción de 4662 problemas de seguridad a cero en aproximadamente 18 meses.
• Thales: Logró una reducción global de vulnerabilidades en dos años, sin reintroducción a nivel de código fuente.
• Envestnet: Los desarrolladores solucionaron 2,7 veces más vulnerabilidades que sus compañeros, cerrando problemas a un ritmo de 4,5 por desarrollador.
• Netskope: Alcanzar sus objetivos de cumplimiento sin la formación tradicional "check-the-box", con mayores tasas de compromiso en su programa de codificación segura.
• Colgate-Palmolive: Colocó a los desarrolladores en el centro de su estrategia de código seguro e integró Secure Code Warrior a la perfección en sus flujos de trabajo mediante Okta.
• Sage: Creó una comunidad de campeones de seguridad de primera clase y redujo el tiempo medio de corrección de vulnerabilidades en un 82%.

Escuche directamente a nuestros clientes hablar de cómo han creado sus programas de código seguro, fomentado una cultura en la que la seguridad es lo primero y mejorado su postura de seguridad. 

‍

Respuesta rápida de SCW a las vulnerabilidades de ciberseguridad

Secure Code WarriorEl programa de Respuesta Rápida de la Comisión Europea aborda las vulnerabilidades críticas actuales que asolan nuestro mundo, como el exploit de día cero MOVEit, las vulnerabilidades de alta gravedad libcurl/curl y mvcRequestMatcher Spring. Estos incidentes subrayan la importancia de adoptar medidas de seguridad proactivas y de educar continuamente a los equipos de ingeniería sobre las vulnerabilidades recientes. Más información sobre estas vulnerabilidades críticas a continuación, cada uno viene con una misión libre que se puede jugar a través de la práctica.

• MOVEit Zero-day misión gratuita
• libcurl/ misión de vulnerabilidad de curl 
• mvcRequestMatcher Misión de Spring 

‍

Financiación importante y reconocimiento

Con oficinas en Sídney y Melbourne (Australia), Boston (EE.UU.), Bélgica e Islandia, SCW se enorgullece de albergar una comunidad de desarrolladores que representan una amplia variedad de sectores y regiones. 

El 13 de julio de 2023, Secure Code Warrior anunció un logro sin precedentes: el cierre de su ronda de financiación de serie C, liderada por Paladin Capital Group, con la impresionante cifra de 50 millones de dólares. Esto eleva la financiación total a más de 100 millones de dólares, lo que subraya la confianza y el apoyo obtenidos desde la creación de la empresa.

‍

Únase a la creciente comunidad 

Secure Code WarriorEl compromiso de la empresa con la innovación, las asociaciones estratégicas y el éxito de sus clientes nos enorgullece de celebrar nuestros éxitos como líder en formación e implantación de codificación segura. 

¿Quiere saber más? Síganos en X y LinkedIn para estar al día de todos los anuncios. 

Eso es todo por ahora, ¡nos vemos en 2024!

Cómo el aprendizaje ágil con Secure Code Warrior reduce las vulnerabilidades

La educación en materia de seguridad debe evolucionar 

Uno de los retos a los que se enfrentan los equipos de seguridad hoy en día es que no hay tiempo suficiente para integrar la codificación segura en una fase más temprana del ciclo de desarrollo. Los responsables de seguridad también deben replantearse el valor que los desarrolladores obtienen de la experiencia de aprendizaje del código seguro, cómo hacer que el programa sea más atractivo y, lo que es más importante, más impactante. Lo último que se desea es que el programa de formación en seguridad se perciba como un obstáculo para la productividad. El objetivo de abordar la formación en seguridad para desarrolladores debería basarse en vías atractivas, integraciones con flujos de trabajo y una amplitud de contenido que ayude a que los conceptos se queden grabados, lo que se traduce en una reducción de las vulnerabilidades que se introducen. 

Al integrar el aprendizaje seguro del código en el flujo de trabajo de sus desarrolladores y reducir la carga de tiempo que les supone, estos pueden ver un gran impulso en su capacidad para codificar de forma más segura y ser más productivos. Secure Code Warrior ha analizado los datos de más de 75 000 desarrolladores que utilizan nuestra plataforma y ha descubierto que el aprendizaje ágil ayuda a los desarrolladores a introducir un 53 % menos de vulnerabilidades en el código base. 

Esto requiere un cambio de enfoque para que los desarrolladores se entusiasmen con el tema a través de un aprendizaje más práctico e integraciones con sus herramientas y entorno para impulsar un compromiso más profundo y momentos de microaprendizaje con un gran impacto. 

Según Derek Fisher, líder en seguridad de aplicaciones, "Todos estamos bastante familiarizados con la formación anual sobre cumplimiento a la que nos someten en cualquier organización. Suele ser lo que yo llamo 'la muerte por Powerpoint', un montón de diapositivas y tal vez un assessment al final... realmente ineficaz y consume mucho tiempo. Teníamos formación, pero era la habitual basada en el cumplimiento, con alguna formación específica sobre seguridad basada en diapositivas y grabaciones de audio. Nos dimos cuenta de que los desarrolladores no se implicaban mucho ni aprendían de los materiales, así que tuvimos que cambiar de estrategia."

Integre la experiencia de aprendizaje con sus flujos de trabajo de desarrollador

Secure Code Warriorofrece contenido de microburst justo a tiempo en el flujo de trabajo diario del desarrollador. Esta integración con las herramientas de seguridad está diseñada para eliminar el cambio de contexto y permitir a los equipos de AppSec crear programas más prescriptivos y atractivos. 

Con estas integraciones de devtool y seguridad, puede medir cómo está funcionando su programa de aprendizaje de código seguro mediante el seguimiento del progreso de los desarrolladores y la medición de los tiempos de respuesta a los tickets, así como observar la reducción de vulnerabilidades a lo largo del tiempo mediante herramientas IAST/ DAST/SAST. 

He aquí tres formas clave en las que Secure Code Warrior puede integrarse con sus herramientas y flujos de trabajo para ayudarle a reducir las vulnerabilidades hasta en un 53%. 

1. Racionalice su planteamiento 

Integre Secure Code Warrior con sus herramientas de análisis y pruebas de penetración. Esto le permite correlacionar automáticamente vulnerabilidades específicas y exponer a los desarrolladores al contenido de aprendizaje de confianza necesario para la remediación. Secure Code Warrior tiene integraciones con Synopsys, Snyk, Bugcrowd, Fortify, Contrast, y muchos más para ayudar a mantener su programa enfocado. 

2. Mejorar la productividad

Permita que los equipos de desarrollo aprendan haciendo a través de desafíos prácticos, laboratorios de codificación y directrices integradas en Jira, Gitlab, GitHub y Azure Boards. El aprendizaje se produce en minutos, no en horas, sin obstaculizar la productividad de los desarrolladores ni interrumpir su flujo. 

2. Amplíe su programa 

Reduzca la carga administrativa de un programa de seguridad con capacidades SCORM y SCIM creadas para la empresa. Integre fácilmente Secure Code Warrior con su LMS y gestione automáticamente el aprovisionamiento de usuarios. Habilite el SSO con la integración de Okta. 

Reducción del 53% de las vulnerabilidades en fases más tempranas del SDLC 

Es posible remediar las vulnerabilidades mucho antes en el SDLC cambiando el enfoque para escribir código más seguro desde el principio, cuando cuesta mucho menos arreglarlas. Si se examina el origen de muchas vulnerabilidades, es decir, el código inseguro que los desarrolladores envían a producción, la reducción de las vulnerabilidades introducidas puede ayudar a aliviar la deuda tecnológica y reforzar la seguridad. 

La reducción significativa de las vulnerabilidades mediante la formación de los desarrolladores no se consigue con una formación aburrida y estática que interrumpa el flujo de trabajo de los desarrolladores. Al integrar en sus herramientas el aprendizaje de la herramienta ágil más flexible del mercado learning platform , sus inversiones actuales en seguridad y herramientas de desarrollo adquieren más valor, lo que puede traducirse en una reducción sustancial del 53 % de las vulnerabilidades. 

Más consejos de Secure Code Warrior 

En nuestra próxima entrada del blog, exploraremos cómo puede crear un programa muy atractivo que vincule todo a la reducción de riesgos, permitiéndole centrarse en cuál es el impacto material de un programa de codificación segura exitoso.

Secure Code Warrior está a disposición de su organización para ayudarle a codificar de forma segura a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados al código inseguro.

Descubra cómo la formación práctica en seguridad puede reducir las vulnerabilidades en un 53%. 

El reto actual de los equipos de desarrollo 

Los desarrolladores están sometidos a una enorme presión para construir más rápido y acelerar los ciclos de producción más que nunca. Esto conduce a un mayor volumen de código que se introduce en las organizaciones, algunos procedentes de código abierto, Inteligencia Artificial u otros terceros. Aunque esto puede ayudar a acelerar la productividad, también aumenta el riesgo de introducir código inseguro en la base de código.

A pesar de la creciente presión para acelerar las entregas, un equipo de desarrollo de software retoca alrededor del 26% de su código antes de su publicación. Esto significa que un desarrollador puede dedicar hasta 13,5 horas a la semana sólo a la deuda técnica. Es decir, más de 700 horas al año dedicadas a corregir errores del pasado. Las horas de productividad perdidas pueden ralentizar los ciclos de desarrollo y, lo que es peor, introducir nuevos riesgos en el código a través de atajos y fuentes de terceros. Esto supone un reto a la hora de equilibrar la presión para liberar código de forma rápida pero también segura. 

Según la investigación de Secure Code Warrior, el 67% de los desarrolladores admiten que envían código con vulnerabilidades, y con cada nueva línea de código que se escribe cada día, se introducen más y más vulnerabilidades. Hay una forma mejor de abordar esta cuestión: integrar la seguridad desde el principio. En este blog, exploraremos cómo los desarrolladores pueden ser la primera línea de defensa para asegurar el código y reducir hasta un 53% de las vulnerabilidades en su código con un aprendizaje ágil. 

Evite que se introduzcan vulnerabilidades 

Secure Code Warrior trabaja con más de 600 empresas diferentes para ayudarles a proteger su código. Nuestros investigadores analizaron los datos del 30% de nuestra base de usuarios -casi 75.000 desarrolladores- y observaron que los desarrolladores que aprenden y aplican prácticas de codificación segura con Secure Code Warrior introducen en su organización un 53% menos de vulnerabilidades que sus compañeros. Cuando los desarrolladores dejan de crear nuevas vulnerabilidades, ganan horas y horas de productividad. Este tiempo se puede dedicar a reducir la deuda técnica acumulada o incluso a ofrecer soluciones y funciones nuevas e innovadoras. Las posibilidades se vuelven infinitas cuando la introducción de vulnerabilidades se convierte en una cosa del pasado y puede dar lugar a una serie de mejoras en la eficiencia del ciclo de vida de desarrollo de software. 

¿Cómo pueden beneficiarse los desarrolladores del aprendizaje ágil?  

Secure Code Warrior ha integrado principios ágiles en el diseño de nuestro sitio learning platform para animar a los desarrolladores a aprender a programar de forma segura mediante la práctica. Esto se consigue dividiendo lo que solía ser una formación en seguridad larga y aburrida en pequeñas dosis de aprendizaje interactivo y atractivo. 

Secure Code Warrior es el único sitio web ágil learning platform que combina múltiples formatos de aprendizaje en microburst para que los desarrolladores puedan aprender, probar y aplicar sus conocimientos rápidamente, en el contexto del trabajo real que ya están haciendo, en el idioma que elijan.

Con programas personalizables, actividades de aprendizaje práctico de gran impacto e integraciones listas para herramientas de desarrollo, Secure Code Warrior es la forma más eficaz de enseñar a los desarrolladores a identificar y corregir vulnerabilidades al inicio del SDLC, y de evitar que se introduzcan vulnerabilidades en primer lugar.

Por qué Secure Code Warrior

Secure Code Warrior proporciona a sus desarrolladores los conocimientos necesarios para escribir código seguro. Nuestro learning platform es la solución de codificación segura más eficaz porque utiliza métodos de aprendizaje ágiles para que los desarrolladores aprendan, apliquen y retengan los principios de seguridad del software. Más de 600 empresas confían en Secure Code Warrior para implantar programas ágiles de formación en seguridad para el aprendizaje de código con metodología ágil, entregar rápidamente software seguro y crear una cultura de seguridad impulsada por los desarrolladores. ¿Está listo para saber más? Solicite una demostración.

Hace poco tiempo, las comunidades de seguridad y desarrollo fueron puestas sobre aviso con un aviso del desarrollador principal del proyecto curl, Daniel Stenberg, que dejó caer la desafortunada misiva de que una nueva versión de curl -distribuida el 11 de octubre- se lanzaba para solucionar dos vulnerabilidades de seguridad de gran impacto, una de las cuales describe como "probablemente el peor fallo de seguridad de curl en mucho tiempo".

Un postmortem en el blog de Stenberg señaló que las versiones afectadas de la biblioteca curl son susceptibles a una vulnerabilidad de desbordamiento de búfer basada en Heap, relacionada con un problema heredado con el protocolo proxy SOCKS5 en uso desde 2002.

Con su uso como una herramienta de línea de comandos que se remonta a 1998, curl es ampliamente considerado como un pilar fundamental de Internet. Con una historia tan larga y un uso tan extendido, es una dependencia que, si se descubre que es vulnerable, podría tener implicaciones para la ciberseguridad en general.

Este incidente comparte similitudes con el devastador ataque Log4Shell en Log4j, otra dependencia vulnerable que sigue siendo explotada casi dos años después.
‍
>>> ¡Pon a prueba tus conocimientos ahora mismo con nuestra Misión curl!‍

La vulnerabilidad: Desbordamiento del búfer

El exploit se detalla bajo CVE-2023-38545, y afecta a las versiones de curl 7.69.0 hasta 8.3.0 inclusive. El error principal es una vulnerabilidad de desbordamiento de búfer basada en Heap, y los informes iniciales señalan que una explotación exitosa podría conducir a un ataque de ejecución remota de código (RCE) más devastador. Si bien este es un posible flujo de trabajo para un actor de amenaza, es un caso de uso raro en lugar de un hecho.

Tal vez la única salvación para mitigar algunos de los riesgos es que la comunicación maliciosa debe pasar a través de un proxy SOCKS5, que es un despliegue relativamente infrecuente.

Comparable al exploit curl, echemos un vistazo a este Buffer Overflow explainer:

Cuando se le dice a curl que use un proxy SOCKS5, pasará el nombre de host y hará que el proxy lo resuelva. Sin embargo, si el nombre de host supera el límite de 255 bytes, curl resolverá el nombre de host localmente (como se ve en el fragmento de código siguiente: fuente).

En caso de que se produzca un intercambio lento entre el cliente y el proxy, es posible que el nombre de host largo se copie en el búfer de memoria en lugar de la dirección resuelta (más corta). La porción de memoria asignada sólo permite un valor de 255 bytes, por lo que si recibe un valor que exceda este límite, los datos desbordarán los límites del buffer de memoria.

>>> Pruébalo tú mismo en esta misión jugable¡!

El desbordamiento del búfer es un poderoso vector de ataque, que puede ser frecuente en muchos lenguajes de programación heredados. En este caso concreto, la explotación dio paso a un ataque más grave y dañino en forma de RCE en algunos contextos, aunque esta vía sigue siendo poco común y poco probable.

¿Cómo mitigar el riesgo de desbordamiento del búfer?

En esta etapa, la remediación de mayor prioridad es aplicar los parches a todas las instancias vulnerables, con un recordatorio de que el uso de curl está tan extendido, que puede no ser necesariamente obvio o anunciado que los componentes de su sistema incluyen la dependencia en uso. En ese caso, se requiere auditoría y posterior aplicación de parches. 

En general, los fallos de desbordamiento de búfer pueden mitigarse utilizando un lenguaje seguro para la memoria como Rust, sin embargo, como es el caso de un proyecto tan extenso como curl, no es práctico portarlo a otro lenguaje o reescribirlo por capricho. Como Stenberg señala mientras discute el potencial para usar y soportar más dependencias escritas en lenguajes seguros para la memoria - o la alternativa de reemplazar gradualmente partes de curl poco a poco - "... el desarrollo está... ocurriendo actualmente a una velocidad casi glacial y muestra con dolorosa claridad los desafíos involucrados. curl permanecerá escrito en C en el futuro previsible". No es una empresa pequeña, y las implicaciones de seguridad son inmensas.

Los errores de seguridad pueden ocurrir y ocurrirán, y no siempre es posible confiar en que los escáneres y las pruebas detecten todos los vectores de ataque posibles. Por lo tanto, nuestra mejor arma en la lucha contra estos fallos es el compromiso con la concienciación y la capacitación continuas en materia de seguridad.
‍

¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos?

Pruebe nuestro Heap Overflow gratis.

Si está interesado en obtener más directrices de codificación gratuitas, consulte Entrenador de código seguro que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.

Aquí en Secure Code Warrior, estamos innovando constantemente para ayudar a equipar a los desarrolladores y las organizaciones con las habilidades adecuadas para hacer frente a los desafíos de seguridad en constante cambio de hoy. Hacemos esto a través de nuestro ágil learning platform para la codificación segura que permite a los desarrolladores aprender cómo quieren, con el contenido de vulnerabilidad más completo y fiable en la industria hoy en día.  

Este último trimestre, Secure Code Warrior ha implementado nuevas formas para que los administradores de la empresa amplíen tournaments a múltiples marcas y entidades, además de gestionar sus usuarios a través del aprovisionamiento SCIM de forma más sencilla. También estamos encantados de anunciar que las nuevas directrices de codificación están disponibles en Jira, así como los informes generales de rendimiento y los nuevos flujos de trabajo del programa disponibles en vista previa. 

Vamos a sumergirnos para saber más.

Ampliación de la amplitud y profundidad de la plataforma SCW 

Secure Code WarriorLa continua expansión de la empresa hacia nuevos contenidos ayuda a que nuestros módulos sigan siendo relevantes, oportunos y adaptados a lo que usted necesita saber en el panorama actual de la ciberseguridad. Con una amplitud y profundidad líderes en la industria de más de 60 lenguajes, es fácil construir y escalar un programa de aprendizaje ágil para desarrolladores en un gran número de lenguajes y frameworks. 

Ya disponible: Directrices de codificación en Jira 

La incorporación de directrices a nuestra integración con Jira ofrece a los desarrolladores un aprendizaje contextual que abarca la mitigación de la seguridad. Las directrices son más detalladas que los vídeos, se centran en un lenguaje o marco específico y ofrecen fragmentos de código para ayudar a los desarrolladores a resolver un problema aún más rápido. Además de acceder a vídeos y retos, ahora los desarrolladores pueden leer directrices de codificación directamente en una incidencia de Jira para acceder a consejos de corrección en profundidad.

Ya está disponible: Nuevo contenido para desarrolladores front-end 

Los desarrolladores de front-end también necesitan habilitación de código seguro. Por eso hemos publicado vulnerabilidades de front-end adicionales en Missions y Walkthroughs. Los desarrolladores de front-end también podrán acceder a Missions específico para front-end a través de Courses. 

Estas actualizaciones se esfuerzan por ofrecer una cobertura completa de las vulnerabilidades específicas del front-end, desde las más comunes, como el XSS basado en DOM, hasta otras menos frecuentes, como la inyección de CSS. Las guías paso a paso proporcionan a los desarrolladores de front-end una orientación fiable sobre cómo se explotan las vulnerabilidades, mientras que los desarrolladores más avanzados también pueden poner a prueba sus habilidades en front-end Missions en Tournaments. 

Nuevas e interesantes formas de ampliar su cultura de seguridad 

Ya está disponible: Multiempresa Tournaments 

‍

Se puede crear Tournaments multiempresa para permitir la competencia amistosa entre desarrolladores de múltiples entidades empresariales, filiales de empresas, socios y otras empresas. Esto garantiza que una cultura de codificación segura pueda extenderse a toda una organización y a sus múltiples marcas.  

¿Interesado en participar en el evento multiempresa por excelencia Tournament? Inscríbete en la 3ª edición de las Devlympics, la iniciativa global de SCW tournament para el mes de la concienciación sobre la ciberseguridad. Si ya es cliente, puede inscribirse a través de la plataforma. 

Simplificación de la experiencia de administración y desarrollo

Ahora disponible: Filtrado de cursos 

La posibilidad de aplicar filtros adicionales en la página de gestión de cursos hace que sea mucho más sencillo para los administradores filtrar hasta el curso en el que desean trabajar. Courses puede filtrarse por varios atributos, como el estado, la fecha de finalización y los equipos inscritos.

Ahora disponible: Gestione sus licencias SCW con SCIM 

Ahora, los propietarios de programas y los administradores de empresas pueden gestionar programáticamente a los desarrolladores a escala y disfrutar de la certeza de saber que los controles de acceso están siempre actualizados.

El aprovisionamiento SCIM utiliza su proveedor de identidades para sincronizar el acceso a Secure Code Warrior. La automatización de estas tareas garantiza la precisión, la seguridad y el cumplimiento para ahorrar tiempo y recursos en el aprovisionamiento de usuarios. Actualmente, SCW solo admite el aprovisionamiento SCIM a nivel de usuario y todavía no para grupos SCIM.

Disponible en vista previa: Programar flujos de trabajo

 Configurar un programa educativo de código seguro escalable y atractivo es ahora más fácil que nunca gracias a las mejoras clave en la usabilidad de la plataforma. Los programas se crearon para proporcionar más orientación a los alumnos mediante la secuenciación de courses y las evaluaciones en programas de varios niveles. Los flujos de trabajo automatizados del programa están ahora disponibles para los clientes que han activado la vista previa en la plataforma. Los flujos de trabajo del programa garantizan que los desarrolladores sepan por dónde empezar, puedan navegar a lo que sigue y se muevan fácilmente a través de los diferentes niveles en un programa de aprendizaje de código seguro. También permite a los administradores de la empresa dedicar menos tiempo a la configuración, la gestión del programa y a instar a los desarrolladores a completar la siguiente actividad de aprendizaje. 

¿Necesita algunos consejos sobre cómo poner en marcha el aprendizaje de código seguro en su organización? Lea nuestro manual sobre cómo estructurar su programa para alcanzar sus objetivos de seguridad. 

Informes y perspectivas de los programas

Disponible en vista previa: Resumen de rendimiento 

Como administrador de una empresa, la necesidad de supervisar la actividad en toda la organización es crucial para comprender la participación de los desarrolladores y medir el éxito de su programa de aprendizaje de código seguro. Hemos creado una interfaz de informes mejorada que garantiza que los administradores de la empresa obtengan la información más útil de sus informes.

La visión general del rendimiento proporciona información sobre la finalización del curso para desarrolladores y assessment , junto con la precisión media a lo largo del tiempo. El informe también genera una referencia detallada del sector para ver cómo se compara su programa con la puntuación media de su sector assessment para su assessment seleccionado. 

Este informe, sencillo pero impactante, marca el inicio del conjunto de perspectivas y métricas de Secure Code Warriorprevistas para 2024. 

¿Le interesa probar Secure Code Warrior pero aún no tiene una cuenta? Reserve hoy mismo una demostración para obtener más información. 

Hasta aquí las novedades de este trimestre. Sigue Secure Code Warrior en LinkedIn y X (antes Twitter) para estar al día de las últimas novedades y mejoras.

‍

‍

Los ciberataques a la cadena de suministro de software son cada vez más frecuentes, lo que ha provocado una oleada de cambios legislativos en el gobierno estadounidense, mientras las empresas se esfuerzan por mitigar su perfil de riesgo expansivo y mejorar rápidamente la calidad del software. Sólo este año se han producido tres vulnerabilidades de día cero relacionadas con servicios de intercambio de archivos, la mayor y más destructiva de las cuales es el exploit masivo MOVEit.

Encabezado por el grupo de ransomware CL0P, el incidente MOVEit ha dominado las noticias de ciberseguridad durante algún tiempo, con más de 1.000 organizaciones afectadas. Se prevé que esta cifra siga creciendo, convirtiéndose en uno de los ataques a la cadena de suministro de software más potentes desde Solarwinds en 2021.

El catalizador de esta brecha generalizada fue un grupo de vulnerabilidades de inyección SQL, que recibió una puntuación de gravedad de 9,8 sobre 10 por parte de MITRE. La inyección SQL ha sido la pesadilla de los profesionales de la seguridad desde finales de los 90 y, a pesar de ser una solución bastante sencilla, sigue encontrando su camino en el software moderno y proporciona una alfombra roja a los datos sensibles para los actores de amenazas. 

El escenario MOVEit es un poco diferente de lo que muchos desarrolladores y profesionales de AppSec pueden haber experimentado previamente, y usted puede probar sus habilidades SQLi-slaying en una simulación en vivo aquí:

>>> JUGAR LA MISIÓN MOVEit

La vulnerabilidad: Inyección SQL

¿Cómo se utilizó exactamente la inyección SQL para explotar la aplicación de transferencia de archivos MOVEit de Progress Software?

El grupo de ransomware CL0P fue capaz de explotar la vulnerabilidad de inyección SQL CVE-2023-34362, lo que les permitió acceder sin restricciones y sin autorización a la base de datos de MOVEit. A partir de ahí, pudieron instalar LEMURLOOT, una shell web que les permitiría ejecutar varios procesos críticos de alto riesgo, como la recuperación de la configuración del sistema, la enumeración de la base de datos SQL, la recuperación de archivos del sistema MOVEit Transfer y la creación de una nueva cuenta con todos los privilegios de administración.

Huelga decir que este vector de ataque puede ser el resultado de un error relativamente simple -que podría achacarse al uso perpetuo de patrones de codificación deficientes-, pero su potencial para causar problemas continuos a nivel empresarial es inmenso. 

Comparable al exploit MOVEit, echemos un vistazo a este explicador de SQLi, que simula el método de inyección y ejecución de SQL malicioso:
‍

Esta cadena de consulta y variable:
‍

string emailAddress ="contact@scw.com";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";

dará como resultado la siguiente consulta:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'";
‍

... y con entrada maliciosa:
‍

string emailAddress = "contact@scw.com'; DELETE FROM Facturas WHERE Id = 2;--";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";
‍

se convertirá en:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--'";
‍

¿Cómo se ve en vuelo?

Tenga en cuenta que, debido a la concatenación de cadenas, la entrada se interpreta como sintaxis SQL. En primer lugar, se añade una comilla simple para asegurarse de que la sentencia SELECT es una sintaxis SQL válida. A continuación, se añade un punto y coma para terminar la primera sentencia. 

Una vez hecho esto, se añade una sentencia DELETE válida, seguida de dos guiones para comentar los caracteres finales (la comilla simple). También se podría añadir una sentencia UPDATE, por ejemplo, si el SQL malicioso fuera para actualizar los roles o contraseñas de los usuarios.
‍

Pruébalo tú mismo en esta misión jugable:
‍

>>> JUEGA A LA MISIÓN MOVEit
‍

Aunque relativamente sencillo, SQLi sigue siendo un poderoso vector de ataque, y uno demasiado común. En el caso de MOVEit, este exploit dio paso a la instalación de una puerta trasera dañina y a un grupo de ataques adicionales de gravedad similar.

¿Cómo mitigar el riesgo de inyección SQL?

Para cualquier compañía que utilice MOVEit como parte de sus operaciones de negocio, es imperativo que sigan los consejos de remediación recomendados por Progress Software. Esto incluye, entre otras cosas, la aplicación de parches de seguridad como prioridad de emergencia.

Para la inyección SQL en general, echa un vistazo a nuestra guía completa.

¿Quieres aprender más acerca de cómo escribir código seguro y mitigar el riesgo? Pruebe nuestro desafío de inyección SQL de forma gratuita.

Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach para ayudarle a mantenerse al día de las mejores prácticas de codificación segura.

Tras el anuncio de nuestra financiación de serie C, me complace anunciar otro paso en la trayectoria de nuestra empresa. Synopsys, líder del sector de la seguridad, ha dado la bienvenida a una nueva e interesante incorporación a su gama de productos: Synopsys Developer Security Training, con tecnología Secure Code Warrior. Puede leer el comunicado de prensa completo aquí.

Esta ampliación de su cartera líder en el sector de soluciones de seguridad de aplicaciones supone un paso positivo en la dirección correcta para los programas de seguridad de las empresas, permitiéndoles adoptar las mejores prácticas de las metodologías DevSecOps, especialmente las relacionadas con la responsabilidad compartida de la seguridad. En pocas palabras, esta integración aumentará la base global de desarrolladores cualificados en seguridad, lo que supone una magnífica oportunidad para que todas las organizaciones apoyen la reducción de vulnerabilidades a nivel de código mediante la capacitación de los desarrolladores en codificación segura. 

Los gobiernos de todo el mundo están sometiendo a los proveedores de software a un escrutinio cada vez mayor a raíz de algunos de los peores ciberataques de los que se tiene constancia. En Estados Unidos, la CISA ha publicado este año sus directrices sobre seguridad por diseño y por defecto, en las que recomienda que la responsabilidad última de los resultados en materia de ciberseguridad recaiga en el proveedor y no en el usuario final. Para muchos vendedores de software, esto requerirá una revisión significativa de sus prácticas internas de seguridad, o corren el riesgo de fuertes multas. Esto se convertirá rápidamente en algo innegociable en todo el mundo, y cualquier excusa relacionada con la escasez de competencias en ciberseguridad será inútil: necesitamos desarrolladores concienciados con la seguridad para que desempeñen su papel vital en la creación de software más seguro, y los necesitamos ahora.

Las soluciones de aprendizaje ágiles, flexibles y personalizables son un poderoso antídoto contra los malos patrones de codificación, además de la experiencia negativa que muchos desarrolladores han tenido con las iniciativas de AppSec hasta la fecha. Es necesario convencerles, darles cabida y ofrecerles vías de aprendizaje que se adapten a su flujo de trabajo para proporcionarles la información adecuada en el momento oportuno. La integración de Synopsys con nuestra plataforma es una solución viable y líder en el mercado para este problema, y puede cambiar fundamentalmente la relación de los desarrolladores con la seguridad para mejor".

Se calcula que la ciberdelincuencia costará a las empresas de todo el mundo 10,5 billones de dólares anuales de aquí a 2025, lo que supone un aumento constante respecto a los 3 billones de 2015. Cybersecurity Ventures también informa de que la ciberdelincuencia representa la "mayor transferencia de riqueza económica de la historia". Esto no es un simulacro; nosotros, como industria colectiva, debemos empezar a priorizar la educación en codificación segura para cada persona que escribe código, y establecer un nuevo punto de referencia para la seguridad como medida de la calidad del software. Con el amplio conjunto de herramientas de Synopsys, que ahora incluye un aprendizaje ágil, práctico, atractivo e hiperrelevante para los desarrolladores, nunca ha habido un mejor momento para hacer un cambio significativo hacia programas de seguridad preventiva impulsados por los desarrolladores.

El aprendizaje ágil para un código seguro en el SDLC da sus frutos 

Esta es la tercera parte de una serie de tres blogs en los que se analizan los atributos y las ventajas de Agile Learning Platform para el código seguro. En la primera parte presentamos el concepto de aprendizaje ágil y cómo la plataforma Secure Code Warriorejemplifica varios principios ágiles. En la segunda parte exploramos cómo un learning platform ágil sustituye a la formación tradicional en seguridad orientada al cumplimiento.  

Una learning platform ágil ofrece una experiencia de aprendizaje que permite al alumno interiorizar y utilizar las nuevas habilidades de forma más eficaz, mediante una combinación de formación práctica y contextualizada que se integra realmente en su trabajo diario, como parte del trabajo. Este enfoque del aprendizaje, tal y como SCW lo ha aplicado a los desarrolladores que adquieren habilidades de codificación segura, separa a SCW de las modalidades de aprendizaje tradicionales y nos diferencia. En este tercer y último blog de la serie le mostramos el retorno de la inversión que las organizaciones pueden esperar de un sistema ágil learning platform para el código seguro y cómo modelar los números para su organización.

Impacto empresarial

Las organizaciones que adoptan un enfoque ágil para el aprendizaje seguro del código ven entre 2 y 3 veces el impacto en el negocio de dos palancas: la capacidad de corregir vulnerabilidades más rápidamente y la evitación de costes de reelaboración. 

‍

‍

Cuanto antes se aborden las vulnerabilidades en el SDLC, menos daño pueden causar y menos costoso resulta remediarlas. Según el experto en seguridad Jim Routh, que anteriormente fue Director de Seguridad de Aetna y CISO de MassMutual, el coste por defecto durante las fases del SDLC se eleva a más de 14.000 dólares si se realiza durante el modo de mantenimiento, después de que el software se haya puesto en producción. Los costes pueden reducirse a la mitad si se abordan durante las pruebas y pueden ser 14 veces menos caros si se abordan durante la fase de codificación.  

‍

‍

Cuanto mejor equipados estén los desarrolladores para corregir vulnerabilidades más rápidamente o para evitarlas por completo, menor será el coste y el riesgo que una organización deba aceptar en sus productos de software y aplicaciones internas. Las organizaciones que desean invertir en la prevención de vulnerabilidades y la calidad del software proporcionan a los desarrolladores un sitio web ágil learning platform que ofrece experiencias flexibles y múltiples vías para que aprendan, diseñadas específicamente para un impacto empresarial inmediato.

‍

Las investigaciones del NIST indican que las horas necesarias para solucionar una vulnerabilidad varían, pero las estimaciones de la tabla siguiente se han identificado en escenarios reales con clientes de grandes empresas.

‍

‍

Después de que los equipos desarrollan nuevas habilidades de codificación segura, los clientes de SCW han observado que sus desarrolladores solucionan las vulnerabilidades entre un 50% y un 60% más rápido y producen un 50% menos de vulnerabilidades de alto riesgo en el código de producción. La experiencia de cada organización varía, pero estos resultados se han observado en grandes empresas con más de 5.000 desarrolladores. El aumento de la productividad de los desarrolladores ha repercutido en los resultados finales.

Reducción de los costes operativos: solucionar las vulnerabilidades con mayor rapidez

Para comprender el impacto financiero de un proceso de desarrollo de software más seguro y cómo una inversión en un ágil learning platform ayuda a los desarrolladores a solucionar las vulnerabilidades con mayor rapidez, utilice el modelo siguiente y sustituya las variables en azul por sus propias cifras:

 Línea de base:

‍

Supuesto beneficio de la agilidad learning platform en el MTTR (Tiempo Medio de Corrección)

‍

Valor preventivo: evitar costes de reprocesamiento

Una learning platform ágil ayuda a los desarrolladores a escribir código seguro desde el principio. A continuación se presenta el modelo para determinar este impacto financiero.

‍

El aprendizaje ágil marca la diferencia

El ágil learning platform de SCW para el código seguro es superior a los enfoques alternativos de formación en seguridad para desarrolladores. Los clientes de SCW han obtenido resultados sobresalientes, que por supuesto varían en función de los costes individuales y las métricas de vulnerabilidad de su situación particular. Una gran empresa de servicios financieros, Envestnet, descubrió que los desarrolladores formados en SCW corregían 2,7 veces más vulnerabilidades que sus compañeros. Adicionalmente, un grupo de 1,200 desarrolladores educados en SCW incrementaron las tasas de remediación en su cola en un 120%.   

Como ocurre con cualquier inversión en soluciones empresariales, es importante evaluar sus circunstancias particulares. Nuestro equipo puede colaborar con usted en un assessment de su estado actual y desarrollar un caso de negocio personalizado. Si desea evaluar el impacto por su cuenta, utilice los modelos descritos en este blog y eche un vistazo a un reciente seminario web para clientes con Sage, la empresa de software de contabilidad y ERP con sede en el Reino Unido y valorada en 2.000 millones de dólares, que habla de una reducción del 82% en el MTTR para vulnerabilidades como parte de un sólido programa para crear una cultura de seguridad.

Acerca de Secure Code Warrior

Secure Code Warrior proporciona a sus desarrolladores los conocimientos necesarios para escribir código seguro. Nuestra learning platform es la solución de codificación segura más eficaz porque utiliza métodos de aprendizaje ágil para que los desarrolladores aprendan, apliquen y retengan los principios de seguridad del software. Más de 600 empresas confían en Secure Code Warrior para implantar programas de seguridad de aprendizaje ágil, entregar rápidamente software seguro y crear una cultura de seguridad impulsada por los desarrolladores. ¿Desea obtener más información? Solicite una demostración. 

El aprendizaje integrado y ágil es el futuro 

En un blog anterior presentamos el concepto de aprendizaje ágil y cómo la plataforma de Secure Code Warriorpara el código seguro ejemplifica varios principios ágiles. En este segundo blog de una serie de tres, seguimos explorando cómo una learning platform ágil para el código seguro puede sustituir a la formación en seguridad tradicional orientada al cumplimiento a la que están acostumbradas la mayoría de las organizaciones.

El enfoque tradicional del aprendizaje del código seguro, orientado al cumplimiento, es una formación estática y puntual que se imparte trimestral o anualmente. El problema de este formato es que no crea ningún incentivo para que los desarrolladores aprendan sobre código seguro ni les ayuda a adquirir nuevas habilidades y utilizarlas en su trabajo. A nadie le gusta pasar horas atiborrándose a una formación sobre cumplimiento de normas cuando ésta le aparta de un trabajo valioso, dejándole recuperar horas de productividad perdida. 

Según Gartner, el enfoque de aprendizaje ágil reconoce que las personas aprenden más en el momento en que lo necesitan, y cuando la formación se produce en pequeñas unidades denominadas microrráfagas, integradas en las actividades laborales cotidianas^.1

Secure Code Warrior es el único sitio web ágil learning platform que combina múltiples formatos de aprendizaje en microburst para que los desarrolladores puedan aprender, probar y aplicar sus conocimientos rápidamente, en el contexto del trabajo real que ya están realizando en el formato de su elección. El aprendizaje ágil para un código seguro no sólo conserva horas de productividad, sino que proporciona a los desarrolladores una vía para pasar fácilmente del aprendizaje a la práctica.   

‍

¹ Fuente: El Manifiesto del Aprendizaje Ágil Gartner

Flujo de entrega de valor y aprendizaje para ganar

Los sistemas de aprendizaje ágiles son eficaces porque integran las oportunidades de aprendizaje en el flujo de entrega de valor, donde pueden ver un impacto directo en sus trabajos, y vinculan el aprendizaje a los ingresos (como dice Gartner). La formación de cumplimiento puntual no se adhiere a los desarrolladores a lo largo del tiempo y no desarrolla habilidades, ni crea un incentivo para que aprendan como parte de su trabajo. El aprendizaje ágil hace que el aprendizaje forme parte del trabajo, no un tiempo fuera del trabajo.

Secure Code Warriorofrece contenido de microburst justo a tiempo en el flujo de trabajo diario del desarrollador, eliminando el cambio de contexto y haciéndolo más cómodo para ellos dentro de las herramientas de desarrollo que utilizan a diario, como GitLab, GitHub, AzureBoards y Jira. Esto les mantiene conectados a su trabajo, mientras aprenden al mismo tiempo.

‍Amplificación socialy composición de la comunidad

Los desarrolladores tienen un fuerte sentido de comunidad: lo vemos en espacios como GitHub, donde millones de desarrolladores de todo el mundo comparten y consumen conocimientos. Los principios del aprendizaje ágil reconocen que las personas aprenden más en grupo que solas. Las comunidades sociales son un medio útil para reforzar nuevas habilidades y agravar los beneficios de la enseñanza de código seguro a través de la amplificación social.

Dado que el contenido de seguridad de Secure Code Warriores de fácil acceso y consumo, con amplificación social incorporada a través de tournaments y un sistema interno de puntos, la plataforma de SCW actúa como un multiplicador de la motivación que refuerza la confianza de los desarrolladores individuales de y hace que quieran aprender. Tournaments La plataforma de SCW eleva el perfil de las habilidades de codificación segura públicamente en la empresa y proporciona un poderoso incentivo para que los desarrolladores construyan habilidades de codificación segura.

Pasarde la formación al aprendizaje ágil

Cambiar su enfoque de la formación en seguridad al aprendizaje ágil para un código seguro es una forma eficaz de capacitar a su plantilla de desarrolladores, recuperar las horas perdidas de los desarrolladores y dedicar ese tiempo a proyectos más productivos. Comience su viaje con una solución de aprendizaje basada en principios ágiles. SCW Agile Learning Platform es la solución de aprendizaje más eficaz para el código seguro porque ofrece a los desarrolladores la posibilidad de elegir cómo adquirir nuevas habilidades. La incorporación de métodos de aprendizaje ágiles mejora enormemente la capacidad del desarrollador para adquirir nuevas habilidades, interiorizarlas y aplicarlas en su trabajo. Más de 600 empresas confían en Secure Code Warrior para implantar programas de seguridad de aprendizaje ágil, entregar software seguro rápidamente y crear una cultura de seguridad impulsada por los desarrolladores. ¿Listo para ver un learning platform ágil en acción? Solicite una demostración.