Información sobre el código de seguridad

Les cyberattaques sont, sans aucun doute, en augmentation. Selon le rapport d'enquête sur les violations de données 2021 de Verizon, le paysage des menaces est plus dangereux aujourd'hui plus que jamais. Les organisations de toutes tailles sont confrontées à un volume d'attaques de plus en plus important et à un niveau de sophistication accru de la part des acteurs malveillants qui les ciblent. Et les taux de réussite des attaquants montent également en flèche.

L'analyse des attaques les plus récentes permet de révéler certaines des vulnérabilités et techniques les plus courantes utilisées par les pirates informatiques lors de cette campagne sans précédent contre les cyberdéfenses. Certaines des attaques les plus populaires, telles que celles qui ont permis à l'Open Web Application Security Project (OWASP) Les 10 principaux risques et vulnérabilités de sécurité pour 2021, impliquait le vol ou la compromission d'informations d'identification. Et selon des recherches sur la sécurité menée par Akamai, l'écrasante majorité (près de 75 %) ciblait directement les informations d'identification détenues par les API.

L'essor et la possible ruine des API

Il n'est pas étonnant que les interfaces de programmation d'applications, pour la plupart simplement appelées API, soient en plein essor au sein des réseaux de presque toutes les organisations. Ils constituent un élément essentiel de la plupart des services basés sur le cloud, qui prennent rapidement en charge les fonctions des actifs sur site dans la plupart des entreprises, organisations et agences gouvernementales. De nos jours, il est quasiment impossible de gérer une activité ou une tâche sans le cloud, en particulier celles qui sont destinées au public. Cela signifie que les API seront certainement le ciment qui permettra à de nombreux services de fonctionner ensemble sur chaque réseau.

L'avantage des API est qu'elles sont pour la plupart petites et discrètes en termes d'allocation des ressources réseau. Et ils sont totalement flexibles, de sorte qu'ils peuvent être chargés d'effectuer presque tous les travaux. À la base, les API sont des logiciels individuels conçus pour contrôler ou gérer un programme particulier. Ils peuvent être utilisés pour exécuter des fonctions très spécifiques, telles que l'accès à des données à partir d'un système d'exploitation, d'une application ou d'un service hôte.

Malheureusement, c'est cette même flexibilité et le fait qu'elles soient souvent petites et négligées par les équipes de sécurité qui font des API des cibles attrayantes. La plupart des API sont conçues par les développeurs pour une flexibilité totale afin qu'elles puissent, par exemple, continuer à fonctionner même si le programme principal qu'ils gèrent est modifié ou modifié. Et il existe peu de normes. Presque comme les flocons de neige, de nombreuses API sont uniques en ce sens qu'elles sont créées pour remplir une fonction particulière avec un seul programme sur un réseau spécifique. S'ils sont codés par des développeurs qui ne sont pas très attentifs à la sécurité ou qui ne se concentrent pas spécifiquement sur la sécurité, ils peuvent et auront probablement un certain nombre de vulnérabilités que les attaquants peuvent trouver et exploiter.

Malheureusement, le problème devient rapidement incontrôlable. Selon Gartner, d'ici 2022, vulnérabilités impliquant des API deviendra le vecteur d'attaque le plus fréquent dans toutes les catégories de cybersécurité.

La principale raison pour laquelle les attaquants veulent compromettre les API n'est pas pour s'emparer d'une fonction spécifique exécutée par l'API, mais pour voler les informations d'identification qui y sont associées. L'un des plus gros problèmes des API, en plus d'être truffées de vulnérabilités, est qu'elles sont souvent manière trop autorisée en ce qui concerne leurs fonctionnalités de base. Par souci de simplicité, la plupart des API disposent d'un accès proche du niveau administrateur sur un réseau. Si un attaquant prend le contrôle d'un réseau, il peut souvent utiliser ses autorisations pour lancer des incursions plus profondes et plus importantes dans un réseau. Et comme l'API est autorisée à effectuer toutes les tâches vers lesquelles l'attaquant le redirige, ses actions peuvent souvent contourner la surveillance traditionnelle de la cybersécurité, car l'API n'enfreint aucune règle grâce à son pass VIP d'accès aux coulisses.

Si les entreprises ne font pas attention, la montée en puissance des API au sein de leur réseau et de leurs clouds peut également poser de gros problèmes si elles sont la cible d'attaquants.

Défendre les API

Aussi dangereuse que soit la situation en matière d'API, elle est loin d'être désespérée. Il y a un gros effort à travers les mouvements comme DevSecOps pour sensibiliser les développeurs à la sécurité et pour intégrer la sécurité et les meilleures pratiques à tous les aspects de la création de logiciels, du développement aux tests et au déploiement. L'inclusion de la sécurité des API dans cette formation sera essentielle pour toute organisation qui souhaite inverser la tendance de l'exploitation des API d'ici 2022 et au-delà.

Cela dit, il existe quelques bonnes pratiques qui peuvent être mises en œuvre dès maintenant en termes de sécurité des API.

La première chose à faire est d'inclure des contrôles d'identité stricts pour toutes les API. Vous devriez presque les considérer comme des utilisateurs humains lorsque vous attribuez des autorisations. Tout simplement parce qu'une API est conçue uniquement pour exécuter une fonction spécifique, vous devez réfléchir à ce qui pourrait se passer si un attaquant parvenait à la compromettre. Envisagez d'utiliser un contrôle d'accès basé sur les rôles. Idéalement, vous devriez au final appliquer les principes de confiance zéro à vos API et à vos utilisateurs, mais le chemin est souvent long. Une bonne gestion des identités est un bon point de départ. Assurez-vous simplement d'inclure des API dans ce programme.

Vous devez également contrôler étroitement les différents appels effectués par vos API autant que possible. Si vous limitez ces appels à des requêtes très contextuelles, il sera beaucoup plus difficile pour un attaquant de les modifier à des fins malveillantes. Vous pouvez même superposer vos API, une API initiale effectuant un appel hautement contextuel à une autre API qui sait exactement ce qu'il faut rechercher et ce qu'il faut ignorer. Cela peut être un moyen efficace de limiter les fonctionnalités disponibles pour un acteur de la menace, même s'il est capable d'exploiter et de compromettre une API au sein de cette chaîne.

Les menaces qui pèsent sur les API peuvent certainement sembler insurmontables. Mais en mettant en œuvre les meilleures pratiques tout en aidant et en récompensant les développeurs qui deviennent des champions de la sécurité, la situation peut sembler bien moins désespérée. Avec une bonne formation et de l'entraînement, vous pouvez mettre en place un programme de sécurité robuste qui laisse peu de marge de manœuvre aux attaquants, même s'ils devaient d'une manière ou d'une autre compromettre l'un de vos outils d'API, minuscules mais essentiels.

En tant que professionnel de la sécurité des applications, il est de votre devoir de garantir la cybersécurité des applications de votre organisation. Vous n'êtes toutefois pas responsable de l'écriture du code sur lequel l'application s'exécute. Les ingénieurs de l'équipe de développement sont. Alors, comment s'assurer qu'ils développent ces systèmes en tenant compte de la sécurité ?

Il est fort probable que vous fassiez certaines ou même la totalité des opérations suivantes :

• Examiner tout le code pour détecter les failles de sécurité et les signaler à l'équipe de développement pour qu'elle les corrige.
• Appliquer un processus d'évaluation par les pairs strict tout au long de votre cycle de développement sécurisé.
• Faire effectuer régulièrement des tests d'évaluation et d'intrusion des applications par des équipes de sécurité internes ou externes.
• Mise en œuvre d'outils d'analyse pour détecter les vulnérabilités.
  

Ce sont d'excellentes pratiques exemplaires, mais elles sont également coûteuses et similaires à la prise d'antibiotiques chaque fois que vous tombez malade. Non seulement cela a un coût élevé, mais cela perd de son efficacité et peut affaiblir votre système immunitaire au fil du temps.

Comment faites-vous pour vous assurer que le code fourni par les développeurs est écrit de manière sécurisée en premier lieu ?

Au-delà du codage sécurisé, pensez d'abord à la façon dont les gens apprennent. La plupart d'entre nous sont des apprenants visuels et nous apprenons par la pratique. Pourtant, la formation au code sécurisé est souvent proposée sous la forme d'une activité à cocher et n'est pas pertinente pour le travail quotidien des développeurs. Il est conçu pour prouver que les développeurs ont souvent suivi une formation en matière de sécurité pour se conformer aux normes du secteur, et non pour que les développeurs conservent ces connaissances, et encore moins pour profiter du processus d'apprentissage.

Les humains ont également tendance à apprendre en faisant des erreurs, de la même manière que notre système immunitaire. Les lymphocytes T se souviennent des types d'agents pathogènes qu'ils ont rencontrés et qu'ils ont réussi à éradiquer dans le passé, afin de pouvoir s'en protéger à l'avenir. C'est exactement le rôle que les développeurs devraient jouer dans votre sécuriser SDLC.

Il est irréaliste de s'attendre à ce qu'ils ne commettent pas d'erreur, mais vous pouvez les préparer de manière à être en mesure de reconnaître les modèles de codage qui se traduiront par des failles de sécurité à l'avenir.

C'est également ainsi qu'un solide processus d'évaluation par les pairs devient si puissant. Ce n'est pas parce qu'un développeur ne remarque pas de faille de sécurité qu'un autre ne le remarquera pas. Et plus l'équipe de développement est formée dans son ensemble, plus les vulnérabilités ont de chances d'être détectées et de ne jamais être mises en production.

Les vulnérabilités logicielles sont comme des agents pathogènes

Les vulnérabilités logicielles sont comme des agents pathogènes dans le sens où vous devez vous en souvenir pour les combattre. En ce qui concerne les agents pathogènes, notre système immunitaire doit souvent être exposé à plusieurs reprises avant de se rappeler comment les combattre afin d'éviter une maladie grave ou pire encore.

Une cyberattaque réussie à partir d'un logiciel vulnérable peut gravement paralyser ou tuer une organisation. Mais si les développeurs découvrent d'abord les vulnérabilités logicielles dans un environnement contrôlé, ils peuvent renforcer leur immunité contre les menaces en améliorant et en mettant régulièrement en pratique leurs connaissances et compétences en matière de codage sécurisé.

Exposez les développeurs à des failles de sécurité dans un environnement contrôlé

Nous ne pouvons jamais nous protéger complètement contre la maladie, mais nous pouvons prendre certaines mesures pour renforcer notre système immunitaire et rester en aussi bonne santé que possible. Faire de l'exercice régulièrement, manger sainement et dormir suffisamment font partie des choix de vie généralement associés à un système immunitaire fort. Mais toutes ces choses demandent un peu d'effort et doivent être continues. Faire du jogging tous les jours pendant une semaine ou arrêter de boire pendant un mois ne nuira guère à votre état de santé général. Il est également déconseillé de sortir et de courir un 10 km le premier jour où nous commençons à courir. Nous devons d'abord exposer notre cœur et nos muscles à l'exercice. Nous savons également qu'il faut un peu d'expérimentation pour trouver un bon équilibre entre notre corps et des aliments sains et des exercices que nous aimons.

Il n'en va pas autrement lorsqu'il s'agit de développer des logiciels sécurisés. L'apprentissage se fait au fil du temps et de la pratique, et les développeurs ont besoin de la même formation continue pour améliorer régulièrement leurs compétences en matière de codage sécurisé. Sans oublier que le développement de logiciels évolue et s'adapte constamment, ce qui signifie que les vulnérabilités le sont également. C'est pourquoi une simple formation ne suffit pas. Les développeurs doivent régulièrement améliorer leurs compétences afin de se familiariser suffisamment avec les menaces potentielles et d'être correctement équipés pour s'en défendre.

Objectif : atteindre l'immunité collective au sein de l'équipe de développement

Une seule personne ne peut prévenir tous les problèmes de sécurité. C'est formidable d'avoir des champions de la sécurité au sein de l'équipe, mais pour bénéficier de la meilleure protection possible, plus il y a de personnes qui connaissent les failles de sécurité et savent comment les prévenir, meilleures sont les chances de votre organisation de les prévenir. Encore une fois, ce n'est pas très différent de la façon dont le système immunitaire possède différents types de lymphocytes T à des fins différentes. Chaque développeur fait partie d'une équipe qui garantit la sécurité. S'ils sont habilités à prendre leurs responsabilités, à bien le faire et même à aimer le faire, vous pouvez ainsi créer une immunité collective contre les cybermenaces au sein de l'équipe de développement.

Faites de la sécurité une priorité grâce à une exposition répétée

Notre cerveau apprend de la même manière que notre système immunitaire. Psychologue allemand Hermann Ebbinghaus a été un pionnier dans le domaine de la mémoire et de l'apprentissage. Il en a déduit que l'apprentissage doit se faire au fil du temps et au cours de plusieurs sessions d'apprentissage. Lorsque nous sommes à l'école, on ne s'attend jamais à ce que nous maintenions de nouvelles connaissances après la première introduction. Les informations nous sont d'abord présentées, puis nous les mettons en pratique avec des conseils, puis nous les pratiquons nous-mêmes. Et même une fois que nous l'avons suffisamment bien apprise pour réussir un examen, l'information a tendance à être oubliée peu de temps après si nous n'utilisons pas régulièrement les connaissances que nous avons consacrées au temps et aux efforts nécessaires pour acquérir. Combien d'entre nous peuvent dire qu'ils se souviennent du français de leur lycée ?

Alors, comment pouvons-nous croire qu'une seule journée passée à regarder des diapositives et à écouter quelqu'un parler de sécurité conduirait les développeurs présents à coder de manière plus sécurisée ?

Les modèles de vulnérabilités récurrentes nous montrent que cela ne fonctionne tout simplement pas.

Comment parvenir à une immunité développementale sûre ?

La réponse se trouve dans notre nature. Notre corps et notre esprit fonctionnent de la même manière et apportent de belles solutions aux problèmes, à condition de travailler avec eux et non contre eux.

Pour garantir la sécurité de vos applications, vous devez commencer par améliorer les compétences des développeurs pour qu'ils puissent écrire du code sécurisé. Dans le cas contraire, AppSec continuera à passer tout son temps à examiner tout le code pour détecter les failles de sécurité et à signaler les mêmes vulnérabilités récurrentes au développement, pour être rapidement corrigées sans aucune leçon. Et recommencez pour la prochaine version.

Réitérons donc.

Si vous travaillez en collaboration avec vos responsables du développement pour y parvenir, vous ne vous contenterez pas de mettre en œuvre un SDLC sécurisé et de cocher la case relative aux exigences de formation en matière de sécurité pour la conformité, vous aurez également un impact réel sur le processus de développement. Cerise sur le gâteau, AppSec ne rencontrera plus de vulnérabilités récurrentes et ne les signalera plus aux équipes de développement, et les développeurs passeront moins de temps à les corriger. Cela signifie qu'ils peuvent consacrer plus de temps à créer et à améliorer les logiciels incroyables qui améliorent notre monde.

Êtes-vous prêt à améliorer les compétences de votre équipe de développement ? Allez-y et réservez une démo avec nous.

Bien que cela puisse sembler contre-intuitif pour quiconque travaille en dehors du développement logiciel, de nombreux professionnels employés dans le domaine de la sécurité des applications au fil des ans ont occupé ces postes critiques avec peu ou pas d'expérience en programmation. Ces professionnels de la sécurité des applications font partie de l'équipe chargée de s'assurer qu'aucune vulnérabilité ne s'infiltre dans les applications qui sont devenues la pierre angulaire de nombreux secteurs et organisations. Pourtant, peu d'entre eux peuvent évaluer directement ou corriger le code eux-mêmes.

Au lieu d'avoir une formation en programmation, de nombreux professionnels de la sécurité abordent leurs rôles du point de vue des connaissances clés concernant les vecteurs d'attaque, les menaces, les exploits et les risques commerciaux ; ils ont une vision limitée du code. Bien que tous les experts de la sécurité des applications ne possèdent pas les mêmes compétences, une journée typique consiste pour beaucoup à travailler avec des réviseurs de code et des outils d'analyse pour s'assurer que les programmes et les systèmes sont sécurisés conformément aux normes organisationnelles ou aux cadres industriels et gouvernementaux pertinents. Ils rédigent ensuite des rapports sur leurs découvertes et renvoient des informations sur le vecteur d'attaque susceptible de déchiffrer le code. Il appartient ensuite aux développeurs d'apporter les correctifs nécessaires, même si cela perturbe le travail en cours.

Si la situation a évolué de cette façon, c'est parce que la logique qui a prévalu au fil des ans était que la tâche de protéger les réseaux et les applications était si vaste qu'il n'était pas logique de s'attendre à ce que tous les acteurs de la cybersécurité jouent tous les rôles. Des compétences approfondies en matière de codage ont été laissées aux développeurs, et peu d'importance a été accordée à la capacité d'écrire ou de modifier du code plus loin dans le pipeline de développement.

Cet état d'esprit évolue rapidement, ce qui représente une opportunité unique pour les développeurs de faire le saut lucratif et de réorienter leur carrière dans l'AppSec. Tous les développeurs ne voudront pas adopter ce que l'on appelle le côté obscur, et de nombreux développeurs n'ont pas une opinion particulièrement positive à l'égard des équipes AppSec. Mais pour ceux qui le font, il n'y a jamais eu de meilleur moment pour s'emparer de cette bague en laiton de plus en plus tentante.

DevSecOps est au cœur de presque tous les secteurs

L'un des principaux facteurs qui contribuent à augmenter la valeur des programmeurs et des développeurs soucieux de la sécurité dans toute organisation est la tendance quasi universelle à adopter des pratiques de développement plus agiles. comme DevSecOps. Lorsque le développement, la sécurité et les opérations sont combinés, la cybersécurité devient une responsabilité partagée intégrée au développement de nouveaux logiciels de bout en bout. Dans cet environnement, la capacité à coder est de plus en plus considérée comme un atout précieux à tous les niveaux, et cela est particulièrement vrai pour les ingénieurs qui comprennent également la sécurité de manière inhérente.

Un professionnel de la sécurité des applications qui comprend non seulement la cybersécurité à un niveau élevé, mais aussi le code qui fait que tout fonctionne, est intrinsèquement plus précieux pour toute organisation qu'une personne dont les connaissances sont concentrées sur la théorie. La capacité de découvrir et d'évaluer rapidement les vulnérabilités détectées dans le code, puis d'atténuer ces problèmes, est au cœur de la popularité de DevSecOps.

Les développeurs travaillant dans AppSec apportent également un autre avantage important à toute organisation qui les emploie. En venant du côté développement de la maison, ils peuvent facilement discuter avec les développeurs de la sécurité et des vulnérabilités. Cela permet également de devenir beaucoup plus facilement des entraîneurs pour les équipes de développement, les aidant ainsi à devenir de meilleurs codeurs. Au fil du temps, ils pourraient même être en mesure de supprimer la stigmatisation du « côté obscur » de l'AppSec et de contribuer à unifier les équipes chargées du développement logiciel au sein d'une organisation.

La pénurie de compétences en cybersécurité s'aggrave

Shakespeare pensait que c'est un vent mauvais qui ne souffle rien de bon pour personne. Ce qu'il voulait dire, c'est que même la situation la plus sombre profite probablement à quelqu'un. La pénurie de compétences en cybersécurité en est un excellent exemple.

La pénurie de personnel est ressentie de manière aiguë presque partout. Dans un enquête récente menée par le Center for Strategic and International Studies, 82 % des décideurs informatiques ont déclaré que leur organisation souffrait d'une pénurie de compétences en cybersécurité, et 71 % ont déclaré que cette pénurie avait entraîné des dommages directs et mesurables pour leurs organisations. Pour mettre cette crise dans une perspective encore meilleure, le rapport a souligné que rien qu'aux États-Unis, il y avait plus de 520 000 emplois vacants dans le domaine de la cybersécurité en 2020, dans un domaine où seulement 940 000 personnes environ sont employées.

La pénurie de personnel en cybersécurité est une mauvaise nouvelle pour les organisations qui tentent de protéger leur infrastructure, leurs activités et leurs données contre un paysage de menaces de plus en plus dangereux. Mais c'est une bonne opportunité pour les développeurs qui souhaitent se familiariser avec AppSec et la sécurité. Il y a de fortes chances que des postes en cybersécurité et en AppSec soient disponibles presque partout. Et avec des positions en matière de cybersécurité qui occupent en moyenne 21 % de temps en plus pour occuper ces journées, les salaires augmentent dans tous les domaines.

Passer à AppSec

Il n'y a peut-être jamais de meilleur moment pour les développeurs de faire le saut lucratif vers le côté ensoleillé de la sécurité. Les développeurs soucieux de la sécurité ne sont plus considérés comme faisant partie d'une méthode de sécurité provisoire, mais jouent plutôt un rôle à part entière et respecté en tant que défenseurs de la cybersécurité. Cela est particulièrement vrai pour les organisations qui ont adopté DevSecOps et d'autres méthodologies de développement plus agiles. Et la pénurie de talents en cybersécurité signifie que des postes sont disponibles dans presque toutes les entreprises, agences gouvernementales ou organisations. Les personnes possédant les compétences requises peuvent choisir l'endroit où elles souhaitent travailler.

Le passage à AppSec ne convient peut-être pas à tout le monde et, bien entendu, la plupart des développeurs continueront à se concentrer sur la création de fonctionnalités exceptionnelles. Mais pour ceux qui envisagent de faire le saut, investir dans une formation à la sécurité afin d'améliorer leurs compétences de codage existantes peut ouvrir de nombreuses portes. Les meilleurs spécialistes de l'AppSec sont issus de l'ingénierie, car ils comprennent parfaitement la technologie et ont de l'empathie pour le sort de leurs collègues développeurs. DevSecOps signifie que tout le monde est désormais responsable de la sécurité de toute façon, alors pourquoi ne pas profiter de la pénurie de compétences critique actuelle pour faire avancer votre carrière dans la sécurité des applications ? Il n'y a jamais eu de meilleur moment pour prendre une décision positive pour vous-même, votre famille et votre carrière.

Un ataque de canal lateral es cuando un hacker puede obtener información de la implementación física de un sistema de software en lugar de una debilidad teórica en el algoritmo o un error en el código del software.

Un ejemplo que me gusta utilizar para dejar esto más claro es una forma de hacer la enumeración de nombres de usuario. Si quieres saber qué es la enumeración de nombres de usuario o por qué es mala, visita nuestra página web para ver un vídeo explicativo o juega a un reto para ver si puedes identificarlo en el código.

Ahora, para entender cómo se puede hacer la enumeración de nombres de usuario a través de un ataque de canal lateral, es necesario tener un poco de conocimiento de cómo se manejan las contraseñas (o al menos deberían manejarse) en las aplicaciones web modernas. Una buena aplicación web no conoce tu contraseña, no guarda o almacena tu contraseña en ningún sitio. Entonces, ¿cómo sabe que lo que has escrito es correcto y que es tu contraseña? Bueno, tu contraseña está cifrada.

Una función hash es una operación matemática que es fácil de realizar en un sentido (aunque algo costosa desde el punto de vista computacional) pero muy difícil de revertir y, en el caso de los buenos algoritmos hash, la salida es única dependiendo de la entrada. Cuando te registras en un sitio web, ese hash se almacena de forma segura, no tu contraseña en sí. Esto significa que cada vez que te registras, la aplicación web realiza el hash de tu entrada y compara el resultado con el hash almacenado. Si quieres saber más sobre el almacenamiento seguro de contraseñas, puedes hacerlo en nuestra plataforma.

El hash de la entrada lleva algún tiempo en un ordenador y los desarrolladores siempre intentan optimizar todo lo que escriben para que los usuarios tengan una experiencia fluida. Una cosa que acelera el programa es omitir el hash cuando no es necesario. Por ejemplo, cuando el nombre de usuario no existe (y por tanto no hay que comprobar la contraseña) pueden responder al usuario inmediatamente. De esta manera, se puede omitir el lento cálculo de la contraseña. Si el nombre de usuario es correcto, se hará un hash de la contraseña introducida y se comparará con el hash almacenado.

Llegados a este punto, ya habrás adivinado dónde pueden ir mal las cosas. Aunque en realidad el hashing tarda sólo unos milisegundos, un hacker puede utilizar este retraso añadido para averiguar si el nombre de usuario que ha introducido es correcto o no, ya que un nombre de usuario incorrecto tendrá una respuesta ligeramente más rápida porque no se ha realizado el hashing. Este tipo de ataque de canal lateral se llama ataque de tiempo y es un buen ejemplo de cómo diferentes requisitos no funcionales pueden contrarrestarse entre sí. A veces el código no puede ser rápido y seguro al mismo tiempo.

Así que aunque las contraseñas se manejen perfectamente, y el mensaje que se muestra sea genérico y no avise de si la contraseña o el nombre de usuario eran incorrectos, el sistema sigue siendo vulnerable. La solución es fácil, siempre hash la contraseña o retrasar el envío de la respuesta el tiempo que tardaría en hash.

La información obtenida puede ser utilizada por un atacante para obtener una lista de usuarios en el sistema. Esta información puede ser utilizada para atacar la aplicación web, por ejemplo, a través de un ataque de fuerza bruta o de nombre de usuario/contraseña por defecto.

https://www.owasp.org/index.php/Testing_for_User_Enumeration_and_Guessable_User_Account_(OWASP-AT-002)

L'importance des compétences des développeurs en matière de sécurité est soulignée dans le rapport Gartner Cool Vendors in Software Engineering 2022. Lisez le rapport complet ici.

Secure Code Warrior a été reconnu comme l'un des quatreDes fournisseurs renommés en génie logiciel : améliorer la productivité des développeurs', par Gartner. Selon Gartner, « la définition d'un vendeur cool est une petite entreprise proposant une technologie ou un service innovant, percutant ou intrigant ». Les trois éléments d'un Cool Vendor sont les suivants :

Innovant — Permet aux utilisateurs de faire des choses qu'ils ne pouvaient pas faire auparavant.

Percutant — A ou aura un impact commercial, et pas seulement sur la technologie en soi.

Intriguant — A suscité l'intérêt de Gartner au cours des six derniers mois.

Comme indiqué dans le rapport, « les ingénieurs logiciels ont du mal à naviguer dans des environnements de code complexes et à améliorer la sécurité des systèmes qu'ils développent tout en restant productifs. Ces fournisseurs intéressants proposent des solutions innovantes qui aident les leaders de l'ingénierie logicielle à améliorer la productivité des développeurs et à atténuer les risques de sécurité. »

En tant que seule société cotée à se concentrer sur la sécurité pilotée par les développeurs, cette reconnaissance témoigne de notre stratégie visant à fournir aux développeurs les compétences en matière de sécurité et les outils contextuels appropriés afin qu'ils puissent rapidement apprendre, développer et appliquer leurs compétences pour fournir du code sécurisé rapidement, afin d'améliorer la sécurité logicielle.

Alors que les vertus du virage vers la gauche sont vantées depuis un certain temps déjà, de nombreuses organisations ont encore du mal à garantir que la sécurité soit prise en compte au début du cycle de vie du développement logiciel. Notre récent « »Enquête sur l'état de la sécurité menée par les développeurs » a souligné que le manque de temps est le principal obstacle à surmonter lors de l'adoption de pratiques de codage sécurisées, comme en témoigne également ce récent rapport de Gartner. En raison de la pénurie importante d'ingénieurs qualifiés, de dépôts de code vastes et complexes et de plus de la moitié de la pile d'exécution composée de logiciels open source, les développeurs ont à peine le temps de gérer le code existant, sans parler de garantir sa sécurité.

Chez Secure Code Warrior, nos solutions répondent à la nécessité d'améliorer la productivité tout en garantissant la sécurité des logiciels. Bien qu'ils aient cité le manque de temps pour adopter des pratiques de codage sécurisées dans l'enquête susmentionnée, 76 % des personnes interrogées ont convenu qu'une bonne formation en matière de codage sécurisé permettrait améliorer la productivité avec moins de tickets de sécurité et des retouches à gérer. Lorsqu'elles disposent des compétences et des outils de sécurité appropriés, les équipes de développeurs peuvent facilement atténuer les risques et envoyer rapidement un code sécurisé et de qualité, doté de fonctionnalités innovantes.

Merci donc à Gartner pour cette reconnaissance, non seulement pour Secure Code Warrior, mais aussi pour avoir souligné le rôle important que les développeurs doués en sécurité peuvent jouer en matière de cybersécurité.
‍

Accédez au Gartner Cool Vendors en ingénierie logicielle : améliorer la productivité des développeurs signalez maintenant.

‍

El Lenguaje de Marcas Extensible (XML) es un lenguaje de marcas utilizado para codificar documentos en un formato fácil de manejar para las máquinas y legible para el ser humano. Sin embargo, este formato tan utilizado incluye múltiples fallos de seguridad. En esta primera entrada del blog relacionada con XML, explicaré los fundamentos del manejo de documentos XML de forma segura mediante el uso de un esquema.

OWASP divide las diferentes vulnerabilidades relacionadas con XML y los esquemas XML en dos categorías.

Documentos XML mal formados

Los documentos XML malformados son documentos que no siguen las especificaciones XML del W3C. Algunos ejemplos que dan lugar a un documento malformado son la eliminación de una etiqueta de finalización, el cambio de orden de diferentes elementos o el uso de caracteres prohibidos. Todos estos errores deberían dar lugar a un error fatal y el documento no debería sufrir ningún tratamiento adicional.

Para evitar las vulnerabilidades causadas por los documentos malformados, debe utilizar un analizador XML bien probado que siga las especificaciones del W3C y que no tarde mucho en procesar los documentos malformados.

Documentos XML no válidos

Los documentos XML inválidos están bien formados pero contienen valores inesperados. En este caso, un atacante puede aprovecharse de las aplicaciones que no definen correctamente un esquema XML para identificar si los documentos son válidos. A continuación puede encontrar un ejemplo sencillo de un documento que, si no se valida correctamente, podría tener consecuencias no deseadas.

Una tienda web que almacena sus transacciones en datos XML:

   <purchase></purchase>
     <id>123</id>
     <price>200</price>
   

And the user only has control over the <id> value. It is then possible, without the right counter measures, for an attacker to input something like this:</id>

   <purchase></purchase>
     <id>123</id>
     <price>0</price>
     <id></id>
     <price>200</price>
   

If the parser that processes this document only reads the first instance of the <id> and <price> tags this will lead to unwanted results. </price></id>

También es posible que el esquema no sea lo suficientemente restrictivo o que otras validaciones de entrada sean insuficientes, de modo que se puedan introducir números negativos, decimales especiales (como NaN o Infinito) o valores excesivamente grandes donde no se esperan, lo que lleva a un comportamiento similar no deseado.

Para evitar las vulnerabilidades relacionadas con los documentos XML no válidos se debe definir un esquema XML preciso y restrictivo para evitar problemas de validación de datos inadecuados.

En la próxima entrada del blog nos adentraremos en algunos ataques más avanzados a documentos XML como los Jumbo Payloads y el temido Top Ten de OWASP número cuatro, XXE.

Mientras tanto, puede perfeccionar o desafiar sus habilidades en la validación de entradas XML en nuestro portal.

Las especificaciones para XML y los esquemas XML incluyen múltiples fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilicemos los esquemas XML para definir la seguridad de los documentos XML, pueden utilizarse para realizar diversos ataques: recuperación de archivos, falsificación de peticiones del lado del servidor, escaneo de puertos o fuerza bruta.

https://www.owasp.org/index.php/XML_Security_Cheat_Sheet

Cette semaine, nous célébrons officiellement les huit ans de Secure Code Warrior. D'une part, cela représente 350 fois la durée de la mission Apollo 11, et l'équivalent de 45 000 parties de football, soit 5 696 parties jouées à Super Mario Odyssey jusqu'à la fin. D'autre part, c'est juste un trentième de la durée de vie d'une tortue géante (250 ans, si vous vous demandez). Dans le monde d'une start-up à forte croissance, cela représente un parcours plein de rebondissements, de leçons et de réalisations, dont beaucoup étaient inimaginables lorsque nous avons rédigé notre plan d'affaires pour la première fois.

Entre la menace omniprésente de la récession, des conflits militaires et certaines des violations de données les plus perturbatrices que nous ayons connues à ce jour, 2022 n'a pas été l'année la plus positive pour beaucoup, y compris pour moi. Il serait malhonnête de ma part de dire que la ligne d'arrivée n'a pas été facile, mais je reste fière de notre résilience face aux défis mondiaux actuels. Nous disposons d'une équipe exceptionnelle et chacun d'entre nous est véritablement dévoué à la réussite des programmes de sécurité d'entreprise, en plaçant les développeurs au cœur d'une approche transformationnelle et défensive face à des problèmes qui existent depuis très longtemps. Nous avons tracé notre propre voie et nous l'avons emporté. Bien que nous ne soyons pas la seule option de formation à la cybersécurité « gamifiée » sur la planète, une chose est sûre : personne d'autre n'a notre vision, notre persévérance ou notre équipe fondatrice, et nous avons vécu beaucoup de choses ensemble.
‍

Les dates de notre anniversaire sont souvent utilisées pour évoquer les événements clés de l'année écoulée, mais cette fois, je tiens à souligner à quel point il est spécial que nous ayons atteint une telle croissance tout en conservant les six personnes que nous avions entassées dans un petit bureau le premier jour.

Nous avons trouvé notre créneau et travaillons ensemble chaque jour pour mettre en œuvre une vision qui, selon nous, changera la façon dont les développeurs envisagent leur rôle en matière de sécurité. C'est un gros travail, mais nous n'avons pas oublié nos racines et l'importance de nos liens.

‍

Nous avons encore un long chemin à parcourir, mais avec ce noyau et une équipe croissante composée de personnes enthousiastes, empathiques et dévouées, je suis convaincu que nous pouvons contribuer à changer le statu quo en matière de sécurité dans le développement de logiciels.

Et tu sais ce qui me rend si confiante ? Dès le début, nous avons mis l'accent sur la diversité et l'avons considérée comme l'un des piliers de l'équipe. Les meilleures organisations sont bâties grâce à la contribution de personnes d'origines, de cultures et de milieux sociaux variés. Nous avons ajouté plus d'une centaine de nouvelles personnes à l'équipe au cours de l'année écoulée, et je suis fier de dire que nous sommes un creuset d'approches qui aboutissent à un groupe d'êtres humains formidables et talentueux qui peuvent nous propulser dans la stratosphère proverbiale.

Si les trois dernières années nous ont appris quelque chose, c'est qu'il faut s'attendre à des imprévus, mais la constante sur laquelle je peux compter, c'est que nous nous soutenons mutuellement et que nous contribuons lentement mais sûrement à rendre les logiciels plus sûrs. Et nous le faisons sans perdre notre sens de l'aventure.

Recientemente nos sentamos con Dimitri Vanderhaeghe, ingeniero de software de Selligent Marketing Cloud, una plataforma de automatización de marketing omnicanal altamente integrada y potenciada por la IA que permite a los ambiciosos profesionales del marketing B2C maximizar cada momento de interacción con los consumidores conectados de hoy en día. Para Selligent, una empresa de tecnología B2C de ritmo rápido que escala y satisface las crecientes demandas de su mercado es vital. Parte de la capacidad de satisfacer estas demandas es un énfasis en la ciberseguridad y, sobre todo, un programa de habilidades de seguridad dirigido por los desarrolladores. 

¿Por qué es vital la ciberseguridad para escalar su negocio? 

Una estrategia de seguridad sólida tiene que ser una de las prioridades de su empresa si quiere ampliar su negocio, ya que de lo contrario se expone a vulnerabilidades. Cada 39 segundos se produce un ataque a la ciberseguridad, y el coste de un ataque a su empresa puede ser financieramente perjudicial y arruinar su reputación. Solo tenemos que mirar el hackeo de Equifax en 2017 para ver un ejemplo claro, ya que su director general dimitió y dejó claro que el hackeo fue la razón para hacerlo. 

Sin embargo, la ciberseguridad tiene que convertirse en una responsabilidad compartida para poder escalar, en particular dentro de su comunidad de desarrolladores, como explica Dimitri:

"La razón más importante para formar a los ingenieros es la escalabilidad, porque tenemos un gran producto en el que trabajan casi 60 ingenieros. Si no se preocupan por la seguridad, todos los análisis de vulnerabilidad vuelven a los especialistas en seguridad."

¿Cómo se crea una cultura de seguridad dirigida por los desarrolladores?

Dimitri y el equipo de Selligent parecen haber descifrado una cultura de seguridad liderada por los desarrolladores, pero según nuestra reciente investigación sólo el 15% de los desarrolladores ven la seguridad como una responsabilidad de todos dentro de su organización. Así que, ¿cómo se empieza por la izquierda y se crea una cultura de seguridad liderada por los desarrolladores?

Dimitri lo atribuye al aumento de la concienciación en materia de seguridad generada a través de Secure Code Warrior® 's learning platform para mejorar los conocimientos de sus desarrolladores. Dimitri afirma que sin la plataforma habrían tenido dificultades para crear una conciencia de seguridad. Como resultado, la seguridad está en la mente de los desarrolladores cuando producen el código. 

Otro aspecto clave para crear una cultura de seguridad dirigida por los desarrolladores es hacer que la formación sea relevante. Nuestro reciente estudio también mostró que el 40% de los desarrolladores dicen que la formación no es práctica y el 30% dice que tampoco es relevante Dimitri señala que la granularidad y la naturaleza del mundo real de Secure Code Warrior® tournaments marcan la diferencia. La naturaleza divertida y competitiva de la plataforma también hace que los desarrolladores estén más comprometidos y concienciados. 

Como señala Dimitri, sin concienciación, la carga de la ciberseguridad recae en los especialistas en seguridad, lo que sencillamente no es escalable. La respuesta es escalar tu negocio y tus productos de forma eficaz para asegurarte de que estás protegido frente a las vulnerabilidades del software centrándote en la formación contextual hiperrelevante de tu comunidad de desarrolladores con un programa de habilidades de seguridad dirigido por desarrolladores. 

‍
Secure Code Warrior puede ofrecer a su organización precisamente eso. ¿Le interesa una demostración? Reserve una a continuación. 

‍

Une série de vidéos gratuites de 12 semaines pour aider les développeurs à coder en toute sécurité grâce à l'IA

Les assistants de codage basés sur l'IA et les grands modèles de langage (LLM) transforment la façon dont les logiciels sont conçus. Ils promettent rapidité, flexibilité et innovation, mais ils introduisent également de nouveaux risques de sécurité que les développeurs ne peuvent se permettre d'ignorer.

C'est pourquoi Secure Code Warrior lance une série de vidéos d'introduction à la sécurité AI/LLM gratuites d'une durée de 12 semaines sur YouTube. Chaque court épisode se concentre sur la présentation d'un risque de sécurité clé lié à l'IA/LLM ou d'un concept que les développeurs doivent connaître pour adopter en toute sécurité le développement assisté par l'IA et éviter d'introduire des vulnérabilités dans leurs applications.

Regardez le premier épisode dès maintenant : Risques liés au codage de l'IA : dangers liés à l'utilisation des LLM

Ne manquez aucun épisode. Abonnez-vous sur YouTube.

‍
Rejoignez notre communauté de développeurs et de responsables de la sécurité — inscrivez-vous ici pour recevoir les dernières vidéos, ressources et mises à jour directement dans votre boîte de réception.

Pourquoi nous avons créé cette série

Le codage assisté par l'IA est en train de réécrire les règles du développement logiciel. Des outils tels que GitHub Copilot, Cursor et d'autres permettent aux développeurs de publier du code plus rapidement que jamais, mais sans une solide compréhension de la sécurité de l'IA, les équipes risquent d'introduire des vulnérabilités cachées et des comportements incohérents que les tests traditionnels risquent de ne pas détecter.

Un développement sûr à l'ère de l'IA nécessite d'abord une prise de conscience. Cette série est conçue pour réduire le bruit et donner aux développeurs une introduction aux concepts de sécurité AI/LLM afin qu'ils puissent innover en toute confiance sans compromettre la sécurité.

À quoi s'attendre

Pendant 12 semaines, nous explorerons à la fois les opportunités et les risques liés au développement assisté par l'IA, notamment :

• Les avantages et les dangers de l'utilisation de l'IA et des LLM dans le codage
• Injection rapide et manière dont les entrées malveillantes manipulent les sorties de l'IA
• Divulgation d'informations sensibles et protection des secrets dans les flux de travail alimentés par l'IA
• Risques liés à la chaîne d'approvisionnement liés à l'utilisation de modèles et d'API tiers
• Fuites rapides du système, faiblesses vectorielles et vulnérabilités de récupération
• Nouveaux défis tels que la désinformation, le libre arbitre et la consommation illimitée
• Et bien plus encore !

Vous voulez un endroit pour vous ressourcer ou vous retrouver ? Ajoutez notre Hub vidéo — nous le mettrons à jour avec les derniers épisodes et résumés.

Accédez au Hub : Série de vidéos sur la sécurité AI/LLM : tous les épisodes, mis à jour chaque semaine.

Comment suivre

• Abonnez-vous sur YouTube pour obtenir chaque épisode au fur et à mesure de sa sortie
• Rejoignez notre communauté de développeurs et de responsables de la sécurité — inscrivez-vous ici pour recevoir les dernières vidéos, ressources et mises à jour directement dans votre boîte de réception.
• Ajoutez le Blog Video Hub pour un accès rapide à tous les épisodes
• Si vous souhaitez aller plus loin que ces leçons d'introduction, explorez la collection complète AI/LLM sur la plateforme Secure Code Warrior ou demander une démo si vous n'êtes pas encore client.

Établir la norme en matière de développement sécurisé assisté par l'IA

L'IA est en train de modifier rapidement la façon dont nous créons des logiciels. Mais l'innovation sans sécurité n'est pas durable. Les développeurs ont besoin de conseils pratiques, axés sur les développeurs, pour comprendre les risques liés à l'IA et mettre en œuvre des habitudes de codage sécurisées et évolutives.

Cette série de vidéos gratuites s'inscrit dans le cadre de l'engagement de Secure Code Warrior à aider la communauté des développeurs à prospérer dans cette nouvelle ère. À partir de notre site accessible au public Règles de sécurité de l'IA sur GitHub à notre collection de formations sur l'IA et le LLM en pleine expansion, nous dotons les équipes des outils et des connaissances dont elles ont besoin pour innover en toute sécurité.