Información sobre el código de seguridad

El Lenguaje de Marcas Extensible (XML) es un lenguaje de marcas utilizado para codificar documentos en un formato fácil de manejar para las máquinas y legible para el ser humano. Sin embargo, este formato tan utilizado incluye múltiples fallos de seguridad. En esta primera entrada del blog relacionada con XML, explicaré los fundamentos del manejo de documentos XML de forma segura mediante el uso de un esquema.

OWASP divide las diferentes vulnerabilidades relacionadas con XML y los esquemas XML en dos categorías.

Documentos XML mal formados

Los documentos XML malformados son documentos que no siguen las especificaciones XML del W3C. Algunos ejemplos que dan lugar a un documento malformado son la eliminación de una etiqueta de finalización, el cambio de orden de diferentes elementos o el uso de caracteres prohibidos. Todos estos errores deberían dar lugar a un error fatal y el documento no debería sufrir ningún tratamiento adicional.

Para evitar las vulnerabilidades causadas por los documentos malformados, debe utilizar un analizador XML bien probado que siga las especificaciones del W3C y que no tarde mucho en procesar los documentos malformados.

Documentos XML no válidos

Los documentos XML inválidos están bien formados pero contienen valores inesperados. En este caso, un atacante puede aprovecharse de las aplicaciones que no definen correctamente un esquema XML para identificar si los documentos son válidos. A continuación puede encontrar un ejemplo sencillo de un documento que, si no se valida correctamente, podría tener consecuencias no deseadas.

Una tienda web que almacena sus transacciones en datos XML:

   <purchase></purchase>
     <id>123</id>
     <price>200</price>
   

And the user only has control over the <id> value. It is then possible, without the right counter measures, for an attacker to input something like this:</id>

   <purchase></purchase>
     <id>123</id>
     <price>0</price>
     <id></id>
     <price>200</price>
   

If the parser that processes this document only reads the first instance of the <id> and <price> tags this will lead to unwanted results. </price></id>

También es posible que el esquema no sea lo suficientemente restrictivo o que otras validaciones de entrada sean insuficientes, de modo que se puedan introducir números negativos, decimales especiales (como NaN o Infinito) o valores excesivamente grandes donde no se esperan, lo que lleva a un comportamiento similar no deseado.

Para evitar las vulnerabilidades relacionadas con los documentos XML no válidos se debe definir un esquema XML preciso y restrictivo para evitar problemas de validación de datos inadecuados.

En la próxima entrada del blog nos adentraremos en algunos ataques más avanzados a documentos XML como los Jumbo Payloads y el temido Top Ten de OWASP número cuatro, XXE.

Mientras tanto, puede perfeccionar o desafiar sus habilidades en la validación de entradas XML en nuestro portal.

Las especificaciones para XML y los esquemas XML incluyen múltiples fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilicemos los esquemas XML para definir la seguridad de los documentos XML, pueden utilizarse para realizar diversos ataques: recuperación de archivos, falsificación de peticiones del lado del servidor, escaneo de puertos o fuerza bruta.

https://www.owasp.org/index.php/XML_Security_Cheat_Sheet

Cette semaine, nous célébrons officiellement les huit ans de Secure Code Warrior. D'une part, cela représente 350 fois la durée de la mission Apollo 11, et l'équivalent de 45 000 parties de football, soit 5 696 parties jouées à Super Mario Odyssey jusqu'à la fin. D'autre part, c'est juste un trentième de la durée de vie d'une tortue géante (250 ans, si vous vous demandez). Dans le monde d'une start-up à forte croissance, cela représente un parcours plein de rebondissements, de leçons et de réalisations, dont beaucoup étaient inimaginables lorsque nous avons rédigé notre plan d'affaires pour la première fois.

Entre la menace omniprésente de la récession, des conflits militaires et certaines des violations de données les plus perturbatrices que nous ayons connues à ce jour, 2022 n'a pas été l'année la plus positive pour beaucoup, y compris pour moi. Il serait malhonnête de ma part de dire que la ligne d'arrivée n'a pas été facile, mais je reste fière de notre résilience face aux défis mondiaux actuels. Nous disposons d'une équipe exceptionnelle et chacun d'entre nous est véritablement dévoué à la réussite des programmes de sécurité d'entreprise, en plaçant les développeurs au cœur d'une approche transformationnelle et défensive face à des problèmes qui existent depuis très longtemps. Nous avons tracé notre propre voie et nous l'avons emporté. Bien que nous ne soyons pas la seule option de formation à la cybersécurité « gamifiée » sur la planète, une chose est sûre : personne d'autre n'a notre vision, notre persévérance ou notre équipe fondatrice, et nous avons vécu beaucoup de choses ensemble.
‍

Les dates de notre anniversaire sont souvent utilisées pour évoquer les événements clés de l'année écoulée, mais cette fois, je tiens à souligner à quel point il est spécial que nous ayons atteint une telle croissance tout en conservant les six personnes que nous avions entassées dans un petit bureau le premier jour.

Nous avons trouvé notre créneau et travaillons ensemble chaque jour pour mettre en œuvre une vision qui, selon nous, changera la façon dont les développeurs envisagent leur rôle en matière de sécurité. C'est un gros travail, mais nous n'avons pas oublié nos racines et l'importance de nos liens.

‍

Nous avons encore un long chemin à parcourir, mais avec ce noyau et une équipe croissante composée de personnes enthousiastes, empathiques et dévouées, je suis convaincu que nous pouvons contribuer à changer le statu quo en matière de sécurité dans le développement de logiciels.

Et tu sais ce qui me rend si confiante ? Dès le début, nous avons mis l'accent sur la diversité et l'avons considérée comme l'un des piliers de l'équipe. Les meilleures organisations sont bâties grâce à la contribution de personnes d'origines, de cultures et de milieux sociaux variés. Nous avons ajouté plus d'une centaine de nouvelles personnes à l'équipe au cours de l'année écoulée, et je suis fier de dire que nous sommes un creuset d'approches qui aboutissent à un groupe d'êtres humains formidables et talentueux qui peuvent nous propulser dans la stratosphère proverbiale.

Si les trois dernières années nous ont appris quelque chose, c'est qu'il faut s'attendre à des imprévus, mais la constante sur laquelle je peux compter, c'est que nous nous soutenons mutuellement et que nous contribuons lentement mais sûrement à rendre les logiciels plus sûrs. Et nous le faisons sans perdre notre sens de l'aventure.

Recientemente nos sentamos con Dimitri Vanderhaeghe, ingeniero de software de Selligent Marketing Cloud, una plataforma de automatización de marketing omnicanal altamente integrada y potenciada por la IA que permite a los ambiciosos profesionales del marketing B2C maximizar cada momento de interacción con los consumidores conectados de hoy en día. Para Selligent, una empresa de tecnología B2C de ritmo rápido que escala y satisface las crecientes demandas de su mercado es vital. Parte de la capacidad de satisfacer estas demandas es un énfasis en la ciberseguridad y, sobre todo, un programa de habilidades de seguridad dirigido por los desarrolladores. 

¿Por qué es vital la ciberseguridad para escalar su negocio? 

Una estrategia de seguridad sólida tiene que ser una de las prioridades de su empresa si quiere ampliar su negocio, ya que de lo contrario se expone a vulnerabilidades. Cada 39 segundos se produce un ataque a la ciberseguridad, y el coste de un ataque a su empresa puede ser financieramente perjudicial y arruinar su reputación. Solo tenemos que mirar el hackeo de Equifax en 2017 para ver un ejemplo claro, ya que su director general dimitió y dejó claro que el hackeo fue la razón para hacerlo. 

Sin embargo, la ciberseguridad tiene que convertirse en una responsabilidad compartida para poder escalar, en particular dentro de su comunidad de desarrolladores, como explica Dimitri:

"La razón más importante para formar a los ingenieros es la escalabilidad, porque tenemos un gran producto en el que trabajan casi 60 ingenieros. Si no se preocupan por la seguridad, todos los análisis de vulnerabilidad vuelven a los especialistas en seguridad."

¿Cómo se crea una cultura de seguridad dirigida por los desarrolladores?

Dimitri y el equipo de Selligent parecen haber descifrado una cultura de seguridad liderada por los desarrolladores, pero según nuestra reciente investigación sólo el 15% de los desarrolladores ven la seguridad como una responsabilidad de todos dentro de su organización. Así que, ¿cómo se empieza por la izquierda y se crea una cultura de seguridad liderada por los desarrolladores?

Dimitri lo atribuye al aumento de la concienciación en materia de seguridad generada a través de Secure Code Warrior® 's learning platform para mejorar los conocimientos de sus desarrolladores. Dimitri afirma que sin la plataforma habrían tenido dificultades para crear una conciencia de seguridad. Como resultado, la seguridad está en la mente de los desarrolladores cuando producen el código. 

Otro aspecto clave para crear una cultura de seguridad dirigida por los desarrolladores es hacer que la formación sea relevante. Nuestro reciente estudio también mostró que el 40% de los desarrolladores dicen que la formación no es práctica y el 30% dice que tampoco es relevante Dimitri señala que la granularidad y la naturaleza del mundo real de Secure Code Warrior® tournaments marcan la diferencia. La naturaleza divertida y competitiva de la plataforma también hace que los desarrolladores estén más comprometidos y concienciados. 

Como señala Dimitri, sin concienciación, la carga de la ciberseguridad recae en los especialistas en seguridad, lo que sencillamente no es escalable. La respuesta es escalar tu negocio y tus productos de forma eficaz para asegurarte de que estás protegido frente a las vulnerabilidades del software centrándote en la formación contextual hiperrelevante de tu comunidad de desarrolladores con un programa de habilidades de seguridad dirigido por desarrolladores. 

‍
Secure Code Warrior puede ofrecer a su organización precisamente eso. ¿Le interesa una demostración? Reserve una a continuación. 

‍

La adopción generalizada de herramientas de codificación de IA está transformando el desarrollo de software. El 78 % de los ^{desarrolladores1} utilizan ya la IA para aumentar la productividad, por lo que la velocidad de la innovación nunca ha sido mayor. Pero esta rápida aceleración conlleva un riesgo crítico.

Los estudios revelan que hasta el 50% del código funcionalmente correcto generado por IA es ^inseguro2. No se trata de un pequeño fallo, sino de un reto sistémico. Significa que cada vez que un desarrollador utiliza una herramienta como GitHub Copilot o ChatGPT, podría estar introduciendo sin saberlo nuevas vulnerabilidades en su código base. El resultado es una peligrosa mezcla de velocidad y riesgos de seguridad que la mayoría de las organizaciones no están preparadas para gestionar.

El reto de la "IA en la sombra

Sin una forma de gestionar el uso de herramientas de codificación de IA, los responsables de CISO, AppSec e ingeniería están expuestos a nuevos riesgos que no pueden ver ni medir. Cómo puede responder a preguntas cruciales como:

• ¿Qué porcentaje de nuestro código está generado por IA?
• ¿Qué MCP se están utilizando?
• ¿Qué modelos no aprobados se están utilizando?
• ¿Qué vulnerabilidades generan los distintos modelos?

La falta de visibilidad y gobernanza crea una nueva capa de riesgo e incertidumbre. Es la definición misma de "TI en la sombra", pero para su código base.

Nuestra solución - Trust Agent: AI

Creemos que se puede tener velocidad y seguridad a la vez. Estamos orgullosos de lanzar Trust Agent: AIuna nueva y potente capacidad de nuestro producto Trust Agent que proporciona la capacidad de observación y el control que necesita para adoptar con confianza la IA en su ciclo de vida de desarrollo de software. Mediante una combinación única de señales, Trust Agent: AI proporciona:

• Visibilidad: Vea qué desarrolladores están utilizando qué herramientas de codificación de IA, LLM y MCP, y en qué bases de código. Se acabó la «IA en la sombra».
• Métricas de riesgo: Conecte el código generado por IA con el nivel de conocimientos de un desarrollador y las vulnerabilidades introducidas para comprender el verdadero riesgo que se está introduciendo, a nivel de commit.
• Gobernanza: Automatice la aplicación de políticas para garantizar que los desarrolladores habilitados para IA cumplan las normas de codificación segura.

El panel Trust Agent: AI proporciona información sobre el uso de la herramienta de codificación de IA, el desarrollador que contribuye, el repositorio de código y mucho más.

El papel del desarrollador: La última línea de defensa

Aunque Trust Agent: AI le ofrece una gobernanza sin precedentes, sabemos que el desarrollador sigue siendo la última y más crítica línea de defensa. La forma más eficaz de gestionar el riesgo del código generado por IA es asegurarse de que sus desarrolladores cuentan con los conocimientos de seguridad necesarios para revisar, validar y proteger dicho código. Aquí es donde entra en juego SCW Learning, que forma parte de nuestra plataforma integral de gestión de riesgos para desarrolladores. Con SCW Learning, equipamos a sus desarrolladores con las habilidades prácticas que necesitan para aprovechar de forma segura la IA para la productividad. El producto SCW Learning incluye:

• Puntuación de confianza SCW: Una referencia pionera en el sector que cuantifica la competencia en seguridad de los desarrolladores, lo que le permite identificar qué desarrolladores están mejor equipados para manejar código generado por IA.
• Desafíos de IA: Retos de codificación interactivos y reales que enseñan específicamente a los desarrolladores a encontrar y corregir vulnerabilidades en el código generado por IA.
• Aprendizaje dirigido: Rutas de aprendizaje seleccionadas a partir de más de 200 desafíos, directrices, recorridos, Missions, misiones y Courses de IA que refuerzan los principios de codificación segura y ayudan a los desarrolladores a dominar las habilidades de seguridad necesarias para mitigar los riesgos de la IA.

Combinando la potente gobernanza de Trust Agent: AI con el desarrollo de habilidades de nuestro producto de aprendizaje, puede crear un SDLC verdaderamente seguro. Podrá identificar riesgos, aplicar políticas y capacitar a sus desarrolladores para crear código de forma más rápida y segura que nunca.

¿Listo para asegurar su viaje a la IA?

La era de la IA ya está aquí y, como responsable de producto, mi objetivo es crear soluciones que no sólo resuelvan los problemas de hoy, sino que se anticipen a los de mañana. Trust Agent: AI está diseñado para hacer precisamente eso, dándole la visibilidad y el control para gestionar los riesgos de la IA al tiempo que permite a sus equipos innovar. La versión beta de acceso anticipado ya está disponible y nos encantaría que participara en ella. No se trata solo de un nuevo producto, sino de ser pioneros en un nuevo estándar para el desarrollo seguro de software en un mundo en el que prima la IA.

Únase hoy mismo a la lista de espera de acceso anticipado.

Une série de vidéos gratuites de 12 semaines pour aider les développeurs à coder en toute sécurité grâce à l'IA

Les assistants de codage basés sur l'IA et les grands modèles de langage (LLM) transforment la façon dont les logiciels sont conçus. Ils promettent rapidité, flexibilité et innovation, mais ils introduisent également de nouveaux risques de sécurité que les développeurs ne peuvent se permettre d'ignorer.

C'est pourquoi Secure Code Warrior lance une série de vidéos d'introduction à la sécurité AI/LLM gratuites d'une durée de 12 semaines sur YouTube. Chaque court épisode se concentre sur la présentation d'un risque de sécurité clé lié à l'IA/LLM ou d'un concept que les développeurs doivent connaître pour adopter en toute sécurité le développement assisté par l'IA et éviter d'introduire des vulnérabilités dans leurs applications.

Regardez le premier épisode dès maintenant : Risques liés au codage de l'IA : dangers liés à l'utilisation des LLM

Ne manquez aucun épisode. Abonnez-vous sur YouTube.

‍
Rejoignez notre communauté de développeurs et de responsables de la sécurité — inscrivez-vous ici pour recevoir les dernières vidéos, ressources et mises à jour directement dans votre boîte de réception.

Pourquoi nous avons créé cette série

Le codage assisté par l'IA est en train de réécrire les règles du développement logiciel. Des outils tels que GitHub Copilot, Cursor et d'autres permettent aux développeurs de publier du code plus rapidement que jamais, mais sans une solide compréhension de la sécurité de l'IA, les équipes risquent d'introduire des vulnérabilités cachées et des comportements incohérents que les tests traditionnels risquent de ne pas détecter.

Un développement sûr à l'ère de l'IA nécessite d'abord une prise de conscience. Cette série est conçue pour réduire le bruit et donner aux développeurs une introduction aux concepts de sécurité AI/LLM afin qu'ils puissent innover en toute confiance sans compromettre la sécurité.

À quoi s'attendre

Pendant 12 semaines, nous explorerons à la fois les opportunités et les risques liés au développement assisté par l'IA, notamment :

• Les avantages et les dangers de l'utilisation de l'IA et des LLM dans le codage
• Injection rapide et manière dont les entrées malveillantes manipulent les sorties de l'IA
• Divulgation d'informations sensibles et protection des secrets dans les flux de travail alimentés par l'IA
• Risques liés à la chaîne d'approvisionnement liés à l'utilisation de modèles et d'API tiers
• Fuites rapides du système, faiblesses vectorielles et vulnérabilités de récupération
• Nouveaux défis tels que la désinformation, le libre arbitre et la consommation illimitée
• Et bien plus encore !

Vous voulez un endroit pour vous ressourcer ou vous retrouver ? Ajoutez notre Hub vidéo — nous le mettrons à jour avec les derniers épisodes et résumés.

Accédez au Hub : Série de vidéos sur la sécurité AI/LLM : tous les épisodes, mis à jour chaque semaine.

Comment suivre

• Abonnez-vous sur YouTube pour obtenir chaque épisode au fur et à mesure de sa sortie
• Rejoignez notre communauté de développeurs et de responsables de la sécurité — inscrivez-vous ici pour recevoir les dernières vidéos, ressources et mises à jour directement dans votre boîte de réception.
• Ajoutez le Blog Video Hub pour un accès rapide à tous les épisodes
• Si vous souhaitez aller plus loin que ces leçons d'introduction, explorez la collection complète AI/LLM sur la plateforme Secure Code Warrior ou demander une démo si vous n'êtes pas encore client.

Établir la norme en matière de développement sécurisé assisté par l'IA

L'IA est en train de modifier rapidement la façon dont nous créons des logiciels. Mais l'innovation sans sécurité n'est pas durable. Les développeurs ont besoin de conseils pratiques, axés sur les développeurs, pour comprendre les risques liés à l'IA et mettre en œuvre des habitudes de codage sécurisées et évolutives.

Cette série de vidéos gratuites s'inscrit dans le cadre de l'engagement de Secure Code Warrior à aider la communauté des développeurs à prospérer dans cette nouvelle ère. À partir de notre site accessible au public Règles de sécurité de l'IA sur GitHub à notre collection de formations sur l'IA et le LLM en pleine expansion, nous dotons les équipes des outils et des connaissances dont elles ont besoin pour innover en toute sécurité.

Les entreprises comprennent que les principes de sécurité dès la conception ne sont mis en œuvre avec succès que par le biais d'une sécurité pilotée par les développeurs. Après tout, ce sont les développeurs qui conçoivent, élaborent et, en fin de compte, valident le code qui alimente les logiciels d'une organisation. Il est absolument essentiel de s'assurer que ces précieux contributeurs possèdent les connaissances et les compétences nécessaires pour mettre en œuvre les meilleures pratiques en matière de code sécurisé. Cependant, le défi pour atteindre cet objectif consiste à aligner les connaissances et les compétences des développeurs en matière de codage sécurisé avec les langages de programmation qu'ils utilisent lors de la création de logiciels. Ce n'est pas une tâche facile, même pour les organisations les plus matures.

Ce défi est encore aggravé par le volume et la diversité des langages de programmation utilisés dans la base de code d'une organisation, souvent à l'insu des équipes de sécurité. Alors, comment les responsables de la sécurité informatique, de la sécurité des applications et de l'ingénierie peuvent-ils s'assurer que le code produit et validé est soutenu par les connaissances et les compétences d'un développeur en matière de code sécurisé dans le langage de programmation spécifique de ce commit ?

Présentation de SCW Trust Agent

Secure Code Warrior a lancé SCW Trust Agent pour répondre à cette question difficile. SCW Trust Agent offre aux responsables de la sécurité la visibilité et le contrôle nécessaires pour faire évoluer la sécurité pilotée par les développeurs, permettant ainsi aux développeurs et aux équipes de fournir du code plus rapidement tout en maintenant et en améliorant la sécurité de ce qui est engagé.

Comment fonctionne SCW Trust Agent ?

SCW Trust Agent découvre et se connecte à vos référentiels de code pour évaluer les métadonnées présentes dans chaque validation de code. Il inspecte le développeur qui a effectué la validation, le langage ou le framework utilisé et l'horodatage exact de la validation du code. Il associe ensuite cette analyse aux données et aux informations issues de la plateforme d'apprentissage leader du secteur de SCW afin de déterminer si le développeur possède des connaissances suffisantes en matière de sécurité dans ce langage de programmation spécifique. Sur la base de ces informations, il renvoie une note sur l'état de santé de ce commit, en fonction de la politique définie par l'organisation. Ces politiques sont personnalisables et configurables, ce qui permet aux équipes de définir des directives et des exigences spécifiques pour les commits dont le seuil de connaissance du code sécurisé par les développeurs peut être supérieur ou inférieur en fonction de la sensibilité globale du projet ou du référentiel.

Gouvernance et contrôle de niveau supérieur

S'appuyant sur cette puissante visibilité, Trust Agent propose une gouvernance intégrée à grande échelle grâce à ses fonctionnalités flexibles de régulation des politiques. Cette fonctionnalité innovante permet aux organisations et aux équipes d'appliquer et de respecter de manière proactive leurs normes de codage sécurisé directement au niveau de la validation. Si un développeur tente de valider du code dans un langage ou un framework où ses compétences en matière de codage sécurisé ne répondent pas aux exigences prédéfinies de l'organisation, Trust Agent peut automatiquement déclencher une action configurable, en enregistrant l'événement pour examen, en émettant un avertissement direct ou même en bloquant complètement la pull request.

Ces portes politiques adaptables peuvent être appliquées à n'importe quel référentiel basé sur Git, offrant un point de contrôle essentiel, en particulier pour les applications critiques ou celles soumises à des exigences de conformité strictes, telles que la norme PCI-DSS 4.0 qui prescrit une formation à la sécurité spécifique à un langage dans l'exigence 6.2.2. En définissant avec précision les niveaux de confiance des engagements en fonction de l'appétit pour le risque de l'entreprise, Trust Agent garantit que seul le code provenant de développeurs possédant des compétences validées en matière de codage sécurisé entre dans ses référentiels les plus importants, renforçant ainsi fondamentalement la posture de sécurité.

Optimisation du cycle de vie du développement

Cette approche proactive rendue possible par SCW Trust Agent améliore non seulement la posture de sécurité globale de l'entreprise, mais favorise également l'optimisation du cycle de vie du développement. En veillant à ce que les développeurs disposent de connaissances et de compétences en matière de code sécurisé dans la langue de leur commit, ils peuvent réduire considérablement le nombre de vulnérabilités introduites qui devront ensuite être identifiées et corrigées. La correction et le remaniement ont tendance à représenter une perte de temps importante pour les développeurs, interrompant leur flux de travail et affectant leur rapidité. La réduction des vulnérabilités grâce à une approche proactive permet de minimiser ces cycles de correction, ce qui permet aux équipes de développement de se concentrer sur la fourniture de fonctionnalités à forte valeur ajoutée.

Développement de la sécurité pilotée par les développeurs

SCW Trust Agent fournit aux entreprises les outils dont elles ont besoin pour développer leurs programmes de sécurité pilotés par les développeurs. Les RSSI et les équipes Appsec disposent de la visibilité et du contrôle dont ils ont besoin pour appliquer une gouvernance appropriée, respecter et même dépasser les normes de conformité grâce à des informations détaillées sur la conception, l'application et le respect des politiques. Et les développeurs sont en mesure de fournir du code sécurisé plus rapidement grâce à une formation au code sécurisé spécifique aux langages qu'ils utilisent dans le code qu'ils fournissent.

SCW Trust Agent fonctionne avec n'importe quel outil de gestion de code source basé sur Git et la connexion de votre référentiel de code est facile grâce à de multiples options de connectivité, notamment sur site, dans le cloud et le téléchargement manuel. Pour en savoir plus, visitez www.scwtrustagent.com ou contactez-nous, nous serions ravis de discuter de la manière dont nous pouvons aider votre organisation à renforcer sa posture de sécurité et à développer une sécurité pilotée par les développeurs.

Note de l'éditeur : Ce billet a été initialement publié par Kyle Riordan et publié le 23 juillet 2024. Il a été mis à jour avec de nouvelles informations et recherches par André Johnson, responsable principal du marketing produit chez Secure Code Warrior.

Nous sommes ravis de poursuivre la discussion sur la dernière amélioration apportée à la plateforme SCW : le SCW Trust Score. Cette fonctionnalité révolutionnaire a été officiellement lancée en mai et représente une avancée cruciale dans notre mission qui consiste à fournir aux développeurs et aux organisations les outils dont ils ont besoin pour écrire du code sécurisé.

À la base, le SCW Trust Score fournit des informations précieuses sur la posture de sécurité de votre organisation et l'efficacité de vos pratiques de codage sécurisé. Passons en revue les principaux avantages et bénéfices du SCW Trust Score.

• Visibilité : Des aptitudes et des compétences diversifiées émergent au sein des équipes grâce à des programmes d'apprentissage et de formation, qui s'appuient sur divers facteurs de réussite. Bien qu'elles suivent des programmes de code sécurisé identiques, les équipes fournissent souvent un éventail d'expertise, comprenant les plus performants, les personnes les plus performantes et celles qui ont besoin d'une assistance supplémentaire. SCW Trust Score fournit aux entreprises une mesure basée sur des données de l'efficacité de leur programme d'apprentissage de la sécurité en agrégeant la posture de sécurité de chaque développeur lorsqu'il utilise Secure Code Warrior.
  
  
• Mesures d'analyse comparative : Les entreprises ont besoin d'un point de référence pour définir la courbe en cloche de la position de leurs développeurs en matière de sécurité et identifier les domaines à optimiser afin de créer une équipe logicielle réellement prête à la sécurité, performante et productive. Grâce au SCW Trust Score, les entreprises sont en mesure d'évaluer leur niveau de sécurité par rapport aux benchmarks et aux meilleures pratiques du secteur. En tirant parti de cette métrique complète, les parties prenantes peuvent identifier les points forts et les opportunités d'amélioration avec une précision inégalée.
  
  
• Alimenté par les données : SCW Trust Score exploite la puissance de 20 millions de points de données d'apprentissage provenant de plus de 600 entreprises et 250 000 développeurs. En analysant toutes les activités d'apprentissage réalisées sur notre plateforme, notre algorithme génère un score complet. Ce score prend en compte des facteurs tels que l'étendue et la profondeur des activités d'apprentissage, la compréhension des activités, la récence de l'apprentissage, la description du poste, le cycle de vie d'intégration et le nombre total de développeurs formés.
  
  

Nous sommes fiers d'avoir récemment poursuivi nos conversations avec nos clients et prospects au RSAC, où cela a suscité un intérêt considérable de la part des clients, des partenaires et des leaders du secteur.

Nous avons le plaisir de vous annoncer que nous organiserons un webinaire le 12 juin, dans lequel notre directeur de la technologie et cofondateur Matias Madou fournira un aperçu complet du SCW Trust Score et de ses applications pratiques dans des scénarios réels. Nous avons hâte de vous y voir.

Enfin, nous exprimons notre reconnaissance à chaque membre de la communauté de clients et de partenaires qui a contribué au développement et à l'amélioration du SCW Trust Score. Ensemble, nous nous engageons à comprendre à quoi ressemble une bonne posture de sécurité dans les organisations

Aujourd'hui, nous sommes ravis d'annoncer que le contenu de formation SAP:ABAP est disponible dans Secure Code Warrior ! Vous pouvez vous assurer que vos équipes de développement ABAP bénéficient de l'assistance dont elles ont besoin pour livrer du code de qualité plus rapidement, avec moins de retouches et moins de vulnérabilités grâce à :

• Entraînement à votre propre rythme
• Parcours d'apprentissage ciblés
• Competiciones de programación divertidas
• Evaluaciones seguras de las competencias en materia de codificación
• Rapports personnalisés sur les forces et les faiblesses des compétences de codage sécurisé

ABAP (UNEavancé Bentreprise UNEcandidature PProgrammation) est le langage principal utilisé par plus de 19 000 entreprises pour coder leurs applications métier sur les plateformes SAP. Au total, ces entreprises génèrent jusqu'à 87 % du commerce mondial total, soit 46 billions de dollars américains. Par conséquent, la sécurisation de l'ABAP est plus importante que jamais.

Chez Secure Code Warrior, nous nous efforçons de permettre aux développeurs de sécuriser toutes les applications critiques pour l'entreprise, y compris celles écrites dans des langages de niche comme ABAP et des langages plus courants comme Java.

‍

‍

Si vous êtes déjà client, vous pouvez désormais accéder au contenu dans les rubriques Entraînement, Cours et Tournois. N'hésitez pas à contacter votre Customer Success Manager si vous avez la moindre question 🙂.

Comment Secure Code Warrior contribue à sécuriser les applications ABAP critiques pour l'entreprise

L'ABAP étant un langage de niche, il est rarement inclus dans les plateformes de formation. Par conséquent, lorsque les entreprises essaient de former leurs développeurs, elles le font par le biais de programmes trop coûteux et inefficaces, tels que des ateliers ponctuels.

Avec Secure Code Warrior, vous bénéficiez d'une solution de formation continue et efficace.

Notre contenu de formation est diffusé dans le format préféré des développeurs : extraits de code et exemples. Vous pouvez donc être sûr qu'ils utiliseront et apprécieront le contenu.

De plus, grâce à la profondeur et à l'étendue de notre contenu et à notre système d'apprentissage par niveaux, les développeurs ABAP bénéficient du soutien continu dont ils ont besoin pour améliorer progressivement leurs compétences en matière de codage sécurisé. Cette expérience d'apprentissage progressive permet aux développeurs de développer leur mémoire musculaire et de mettre en pratique ce qu'ils apprennent dans leurs projets.

‍

Apprenez à identifier les vulnérabilités et à sécuriser les modèles de code grâce à des défis de codage

‍

Nous savons que les développeurs travaillent mieux dans des environnements qu'ils connaissent bien. C'est pourquoi nous vous présentons notre défis de codage dans une interface semblable à un éditeur de code.

Les développeurs peuvent parcourir les fichiers et les lignes de code pour localiser, identifier et corriger les vulnérabilités ABAP dans les bases de code fonctionnelles. Au cours de la formation, les développeurs apprennent à reconnaître les modèles de code vulnérables et à identifier les correctifs appropriés, ce qui permet de détecter les vulnérabilités plus tôt et d'accélérer le temps de correction.

ABAP est le plus récent ajout à nos offres linguistiques, les mêmes avantages sont disponibles pour toutes les 57 autres langues (et ce n'est pas fini) que nous couvrons sur la plateforme.

J'ai constaté que la correction des vulnérabilités était le résultat direct du déploiement de la formation Secure Code Warrior®, car mes développeurs disent des choses comme « Je me souviens avoir appris « ceci » lors de la formation Secure Code Warrior®, alors je suis en train de créer un ticket pour résoudre le problème de sécurité ici. »

Nicole Smith, responsable de la sécurité, Komodo Health

Devenez un développeur féru de sécurité grâce à des simulations immersives dans le monde réel

‍

Une fois que les développeurs ABAP se seront familiarisés avec les pratiques de base du codage sécurisé. Ils peuvent se lancer le défi de devenir des champions de la sécurité en jouant Missions.

Les missions sont nos terrains de jeu simulés qui permettent aux développeurs d'exploiter une vulnérabilité spécifique. En observant en temps réel l'impact d'un exploit sur une application qui fonctionne, ils peuvent mettre en pratique des compétences offensives en matière de codage sécurisé et les reprendre pour protéger leurs projets.

Essayez les défis de codage ABAP

Grâce au contenu le plus récent d'ABAP, vous pouvez proposer un programme de formation progressif aux développeurs de manière simple et efficace.

Les clients existants de Secure Code Warrior peuvent accéder au contenu de la formation via Entraînement, Cours, Tournoi, et Évaluation modes de jeu.

Si votre équipe n'a pas encore intégré notre solution, pourquoi ne pas l'essayer ? nos défis en matière de codage ABAP aujourd'hui ?

ABAP est l'une des nombreuses langues disponibles

Nous proposons du contenu de formation pour 57 autres langues, y compris les plus populaires (Java et C++) et les étoiles montantes (GO et Typescript). Consultez notre liste complète des langages pris en charge et testez les défis de codage dans le framework de votre choix dès aujourd'hui.

Secure Code Warrior et Okta lancent une nouvelle méthode pour sécuriser les flux de travail des développeurs

Les développeurs sont censés fournir du code de qualité plus rapidement que jamais, mais il ne fait aucun doute que des délais irréalistes peuvent entraîner une mauvaise qualité logicielle et un code vulnérable. Il n'est pas surprenant que 67 % des développeurs pensent qu'ils fournissent du code présentant des vulnérabilités, en partie à cause de délais serrés (État de la sécurité pilotée par les développeurs en 2022). Alors que les menaces et les violations continuent d'augmenter, la sécurité ne peut plus être une question secondaire, elle doit plutôt être intégrée à l'ensemble du cycle DevSecOps.

Nous sommes ravis d'annoncer le connecteur Secure Code Warrior pour Okta Workflows, qui permet aux entreprises et aux développeurs d'écrire du code sécurisé dès le début du cycle de développement logiciel. Cette nouvelle collaboration entre SCW et Okta, le principal fournisseur indépendant d'identité, crée un contrôle de compétence en matière de sécurité qui permettra aux responsables AppSec de s'assurer que l'équipe utilise du code sécurisé pour réduire les vulnérabilités, le tout sans déplacer les développeurs de leur flux de travail. De plus, nous avons ajouté l'authentification unique pour Secure Code Warrior et Okta afin de simplifier encore plus l'utilisation de cette nouvelle solution géniale.

Réduisez le risque d'introduction de vulnérabilités

Les équipes de développement se sont traditionnellement appuyées sur des processus réactifs ou lents intervenant plus tard dans le cycle de développement, tels que des plugins, des outils d'analyse ou des révisions de code pour localiser et résoudre les problèmes de sécurité. Bien que ces approches présentent de nombreux avantages, elles présentent tout simplement trop de risques pour le code vulnérable et les retouches futures. Nous sommes là pour aider les entreprises à déplacer la sécurité vers la gauche et à adopter une position de sécurité proactive, et non réactive. Le nouveau connecteur Secure Code Warrior pour Okta Workflows intègre la notion de sécurité à l'ensemble du cycle de développement en garantissant que chaque développeur possède les compétences de codage sécurisé nécessaires pour obtenir l'accès au dépôt pour le code de validation. Cette intégration permettra aux développeurs de se familiariser avec les dernières pratiques en matière de sécurité via la plateforme hautement attrayante de SCW et de réduire certaines des tâches liées aux révisions manuelles du code, libérant ainsi des heures d'ingénierie pour proposer davantage de fonctionnalités sans sacrifier la qualité.

Les responsables de l'AppSec et de l'ingénierie tirent parti de la vaste plateforme d'apprentissage de SCW pour créer des évaluations et des parcours personnalisés afin de s'assurer que les développeurs se concentrent sur vos besoins prioritaires en matière de codage sécurisé et disposent de l'expertise requise pour être sûrs de pouvoir enregistrer le code. Grâce à l'étendue et à la profondeur du contenu, à plus de 6 500 défis de codage interactifs, à plus de 56 langages : frameworks et à plus de 150 catégories de vulnérabilités, vous pouvez être sûr que pratiquement tous les besoins de votre organisation peuvent être satisfaits.

Une fois que vous avez créé la bonne stratégie d'apprentissage pour votre équipe, les notes d'évaluation, ainsi que le statut d'achèvement d'un cours, peuvent être utilisés pour déterminer si les développeurs possèdent les compétences nécessaires pour créer des logiciels selon une approche axée sur la sécurité. Grâce à la nouvelle intégration avec Okta, vous pouvez désormais automatiser les autorisations pour chaque développeur en fonction de ses résultats d'évaluation, afin d'adapter facilement le degré d'approbation de chaque développeur à la validation du code ou d'identifier les opportunités permettant d'améliorer ses compétences.

Grâce à l'expérience d'apprentissage flexible et interactive de la plateforme SCW, les développeurs prennent toujours du plaisir à apprendre et peuvent constater une évolution dans leur approche de l'apprentissage, passant d'une case à cocher de conformité à une approche convaincante et intéressante.

¿Cómo funciona?

Le connecteur Secure Code Warrior pour Okta Workflows est facile à créer avec Okta Workflows, sans automatisation de l'identité de code ni configuration d'orchestration, en utilisant une logique si-then. Le connecteur utilise un ensemble d'actions qui vous aident à effectuer des tâches de flux de travail sans vous soucier des complexités sous-jacentes des appels d'API et de la configuration.

Une conception simple pour sécuriser le flux de travail de votre développeur ressemble à ceci :

Voici un aperçu de la conception complète du flux de travail :

‍

Passons en revue les étapes suivantes :

1. Configurez l'ID d'évaluation utilisé pour déterminer les compétences d'un développeur en matière de sécurité. Ajoutez également des informations sur GitHub, telles que l'organisation et le référentiel, dans le cadre de la configuration.

2. À l'aide de l'action intitulée Vérifier la fin de l'évaluation pour l'utilisateur, le flux de travail vérifie si un développeur a réussi une évaluation particulière.

‍

3. Si le cours/l'évaluation souhaité est terminé ou si un score particulier a été obtenu, utilisez le connecteur GitHub pour autoriser l'accès au référentiel. Si l'exigence n'est pas remplie, une notification peut être générée ou un autre flux de travail Okta peut être déclenché pour prendre les mesures appropriées.

‍

Ce qui précède peut être conçu pour être exécuté comme une vérification ponctuelle, périodique ou continue afin de continuer à n'admettre que les développeurs éligibles dans le flux de travail sécurisé.

Certaines des autres actions possibles du connecteur SCW sont les suivantes :

• Répertorier les tentatives d'évaluation pour l'utilisateur : répertorie toutes les tentatives d'un utilisateur pour une évaluation particulière
• Vérifier l'achèvement du cours pour l'utilisateur : détermine si un utilisateur a terminé un cours spécifié
• Répertorier les inscriptions aux cours pour l'utilisateur : répertorie toutes les inscriptions d'un utilisateur pour un numéro de cours particulier
• Action d'API personnalisée : pour exécuter tout appel d'API autre que ce qui est possible via les actions disponibles

Publiez du code sécurisé de haute qualité plus rapidement et en toute confiance

SCW Connector permet de réduire le risque d'introduction de vulnérabilités au début du cycle de développement logiciel. Tout comme les outils de révision de code et d'analyse, il joue le rôle d'un Quality Gate pour garantir que les développeurs écrivent du code sécurisé dès le départ. Par conséquent, moins de temps est consacré à la révision du code et à la résolution des problèmes évitables, et l'accent est mis sur l'expédition plus rapide du code de qualité. En outre, le Connector contribue également à promouvoir une culture axée sur la sécurité en encourageant les développeurs à utiliser de manière proactive la plateforme d'apprentissage de SCW afin de maintenir leurs compétences en matière de sécurité. Au fur et à mesure que les développeurs apprennent et améliorent leur maturité en matière de sécurité, les vulnérabilités continuent de diminuer dans le nouveau code. Cela allège la charge de l'assistance à la correction de la part de l'équipe AppSec, ce qui lui permet de se concentrer davantage sur le renforcement de la posture de sécurité globale des organisations.

Le connecteur Secure Code Warrior pour les flux de travail Okta, ainsi que notre plateforme d'apprentissage, peut aider les entreprises à atteindre leur objectif de déplacer la sécurité vers la gauche, plus rapidement en améliorant les compétences de sécurité des équipes de développement.

Contactez planifier une démonstration ou consultez le documentation pour en savoir plus sur l'installation et la configuration.

‍