SSDLCのあらゆる段階で安全なコーディングスキルを身に付けましょう

新しい GitHub Actionを使用して、開発者を中心としたトレーニングを業界標準のSARIFファイルに直接GitHubコードスキャンワークフローに追加できます。

9月30日、GitHubは正式に「一般公開」を発表しました。 GitHub コードスキャン。GitHub Code scanning は、セキュリティの脆弱性が本番環境に移行する前に簡単に発見するための、開発者第一、GitHub ネイティブなアプローチです。

コードスキャンは GitHub Actions「または既存の CI/CD 環境」と統合され、開発チームの柔軟性を最大化します。作成時にコードをスキャンし、プルリクエストから実行可能なセキュリティレビューを表示し、GitHub ワークフローの一部としてセキュリティを自動化します。

開発者向けのセキュリティへのシームレスなアプローチ。

オープンなSARIF（Static Analysis Results Interchange Format）標準に基づいて構築されたコードスキャンは、増え続ける組織のニーズに対応できるように設計されているため、オープンソースや商用の静的アプリケーションセキュリティテスト（SAST）ソリューションなどを同じGitHubネイティブエクスペリエンス内に組み込むことができます。

サードパーティのコードスキャンツールは、プルリクエストなどの GitHub Action または GitHub アプリで GitHub 自体のイベントに基づいて起動できます。結果は SARIF としてフォーマットされ、GitHub セキュリティアラートタブにアップロードされます。その後、アラートはツールごとに集計され、 GitHub 重複アラートを追跡および抑制できます。これにより、開発者は GitHub のどのプロジェクトでも、ネイティブの GitHub エクスペリエンス内で選択したツールを使用できます。簡単に言うと、従来のセキュリティアプローチの混乱を切り抜け、開発者のワークフローを尊重しているということです。

昨日、GitHubのブログ記事「T」で、Secure Code Warriorが唯一の開発者中心のトレーニングプロバイダーとして取り上げられました。サードパーティのコードスキャンツール:静的分析と開発者セキュリティトレーニング、Synk、Checkmarx、Fortify On Demand、Synopsis、Veracodeと並んで。

多くの SCA/SAST ソリューションでは、発見された各脆弱性の詳細や、公開されているアドバイザリや関連する CWE への参照情報が多く提供されていますが、すべての開発者がセキュリティの専門家であるわけではなく、またそのようなことを期待すべきでもありません。実践的で役に立つアドバイスやツールこそが、実践的な認識の鍵です。

コンテキストに応じたマイクロラーニング。

開発者が脆弱性について理解すればするほど、リスクをより深く理解し、最も差し迫った問題の修正に優先順位を付け、最終的にそもそも脆弱性を未然に防ぐことができます。そこで、セキュア・コード・ウォリアーの出番です。私たちの使命は、楽しくて魅力的なフレームワークに特化したトレーニングを通じて、開発者が最初から安全なコードを書けるようにすることです。これにより、開発者がセキュリティマインドセットで考え、コーディングできるようになり、セキュリティコンプライアンス、一貫性、品質、開発スピードを迅速に向上させることができます。

GitHub コードスキャンの統合

Secure Code Warriorは、GitHubコードスキャンにコンテキスト学習をもたらすGitHubアクションを構築しました。つまり、開発者は Snyk Container Action のようなサードパーティーのアクションを使って脆弱性を発見し、その結果を CWE 特有で関連性の高い学習で補強できるということです。

Secure Code Warrior GitHub アクションは、業界標準のSARIFファイルを処理し、SARIFルールオブジェクト内のCWE参照に基づいてコンテキスト学習を追加します。これにより、開発チームとセキュリティチームは脆弱性を発見できるだけでなく、サポートされている SAST ツールのレポートに、防止に役立つ実用的な知識を盛り込むことができるようになります。 脆弱性 再発から。

自分で試してみる準備はできましたか？

アクションは GitHub マーケットプレイスから直接無料で入手できます。 ここに。
セキュア・コード・ウォリアーの GitHub アクションの詳細はこちら ここに。