ソフトウェアベンダーはあなたと同じくらいセキュリティを気にかけていますか？
この記事のバージョンが掲載されました セキュリティマガジン。ここで更新され、シンジケートされました。
セキュリティ専門家にとって、12月13日には特別なことがあります。ついにSQLインジェクションを永久に根絶した日なのでしょうか？もちろん違います。もしかしたら「国際警備員感謝デー」なんでしょうか？また、いいえ。FireEyeとMandiantが、これまで知られていなかったことについての衝撃的なレポートを発表した日です。 グローバル侵入キャンペーン それはソーラーウィンズとして知られるようになります。このレポートには、SolarWindの人気の高いOrion管理ソフトウェアのソフトウェアアップデートの奥深くに悪意のあるコードが隠されていた、現在進行中の、ほとんど信じられないような攻撃が詳述されていました。
18,000人を超えるSolarWindsのお客様が、破損したアップデートをすでにダウンロードしていました。彼らの多くは、組織やネットワーク内の他の何百ものソフトウェアアップデートと同様に、自動的にダウンロードしていました。攻撃者は、SolarWindsの侵害を通じてアクセスが許可されたら、攻撃対象を非常に厳選していました。多くの大企業や政府機関では、データが盗まれ、ネットワークが侵害されました。これは最大規模の企業の1つで、恐らくは 最もコストのかかる侵害 これまでずっと、特に政府機関の場合、被害の全容が公に公表されたことはありません。
そして、それはすべて、人々がソフトウェアサプライチェーン内のベンダーを信頼し、その活動を適切に検証したり精査したりしなかったために起こりました。
サプライチェーンセキュリティへの大規模なシフト
警報が発せられると、企業、組織、政府機関は迅速に対応しました。SolarWindsの侵害はもちろん阻止されましたが、この攻撃により、規制も監視もされていないソフトウェアサプライチェーンの危険性も露呈しました。SolarWindsのインシデントは発見されればすぐに解決しましたが、サプライチェーンが攻撃経路としてどのように利用されたかに関する影響は今も続いています。この攻撃で他に良い結果が得られなかったとしても、少なくとも、重要ではあるが見過ごされがちなサイバーセキュリティの一面にスポットライトが当てられたことになります。
SolarWinds攻撃に対する最も注目を集めた対応の1つは、バイデン大統領の 行政命令 国のサイバーセキュリティの改善について。この命令は、米国でこれまでに発行された中で最も包括的なサイバーセキュリティ指令の1つです。政府機関や政府と取引を行う人々のサイバーセキュリティの強化を求め、ゼロトラストネットワークのような高度な保護を提唱し、ソフトウェアサプライチェーンのセキュリティの必要性を強調しています。
EOは政府に固有のものですが、他のグループもSolarWindsスタイルの攻撃を防ぐためのサプライチェーンのセキュリティの重要性を強調し始めています。たとえば、パロアルトは最近その記事を発表しました ユニット42 クラウド脅威レポート 「クラウドを保護するためのソフトウェアサプライチェーンの保護」というタイトルです。このレポートには、ソフトウェアサプライチェーンのセキュリティがなければ、完全に安全なクラウド環境はないと記載されています。そして、クラウド・ネイティブ・コンピューティング財団もこれに同意し、以下をリリースしました ホワイトペーパー SolarWindsの影響で従わなければならない重要なソフトウェアサプライチェーンのベストプラクティスを詳述しています。
過去数年間はサイバーセキュリティ標準を変革したと言っても過言ではありません。必須ではありませんが、すべての組織がそれに追随し、ベンダーのセキュリティ慣行を自社の内部セキュリティプログラムの一部であるかのように精査することがすべての組織の目標となるはずです。CISAの新しい取り組みのような取り組み ストラテジック・プラン セキュリティを責任分担として捉えることが、すべてのソフトウェア開発者、特に重要なインフラストラクチャやソフトウェアサプライチェーンに関わる人々にとって新しい標準の一部となっているというさらなる証拠を示しています。
ソフトウェアサプライチェーンを改善するために組織ができることは何ですか？
このような状況では、多くのベンダーが、自社のサプライチェーンを保護するために何ができるかを正しく尋ねています。ベンダーが自分たちと同じくらいサイバーセキュリティに気を配るようにするために、組織は何ができるでしょうか？
EOは、ソフトウェア開発者が与える影響と、彼らが受ける必要性を具体的に概説しています 検証済みのセキュリティスキル そして、重要なセキュリティスキルによる人主導の防御に重点を置くよりも、ツールにこだわる業界では認識は忘れられがちです。
最近のサイバーセキュリティへの包括的なアプローチには、実施されている技術的なセキュリティ統制と、パートナーが自社のガバナンス、リスク、コンプライアンスをどのように見ているかの評価を含む、詳細な第三者リスク評価を絶対に含める必要があることが明らかになりました。
すべての第三者評価には、ソフトウェアサプライチェーンの関係者が検証済みの証明書署名付きの安全なプログラムアップデートをどのようにリリースする予定か、またその企業がすべてのソフトウェアとデバイスのID管理にどのように役立つかについての保証と詳細な計画を含める必要があります。また、自社製品の暗号化のアップグレードや更新に向けた明確な道筋を示す必要もあります。
そして、開発者がついにソフトウェアサプライチェーンのセキュリティの重要な要素と見なされるようになった今、どのような評価でも、開発コミュニティ内で安全なコーディングと継続的な改善をどのように奨励しているかを詳述したレポートを含める必要があります。理想的には、開発者のスキルと現在のトレーニングのベンチマークも必要です。開発者のスキルアップに重点が置かれるようになってきていることはわかっていますが、 開発者の 48% が、脆弱なコードを故意にリリースしたことを認めています。
時間的制約や、セキュリティが世界の最優先事項 (または成功の尺度) ではないという現実などの要因が、コードレベルの脆弱性に対処すべき早期に対処できない環境の一因となっています。これらがソフトウェアのサプライチェーンに侵入するのを防ぐには、 ごと 組織は、より開発者に優しいセキュリティプログラムに取り組む必要があります。
次のステップ?
セキュリティ上の問題を抱えているベンダーのソフトウェアを使用すると、それをエコシステムに受け継ぎ、その結果を負担することになるため、リスク評価は重要です。ただし、組織は、ベンダーの方が実際にはより安全であり、開発者コミュニティのサポートにおいてさらに優れている可能性があることも認識しておく必要があります。
自社のセキュリティを評価する二次的な方法として、サードパーティのリスク評価を使用できます。社内のセキュリティよりも、ベンダーの方がセキュリティの面での対応が優れていれば、その方法を採用して組織の改善を図ることができます。
最後に、ソフトウェアサプライチェーンを本当に改善するための次の大きなステップは、開発者向けの安全なコーディング認定を実施することです。良い計画を立てることが第一歩ですが、それが実際に実行され、安全なコードの作成に役立つことを確認することも必要です。
開発者がセキュアコーディングを支援することが当たり前になるまでは、脅威アクターが覗き込む前に機会の窓を閉じることに常に遅れをとっています。しかし、適切なサポートを受ければプラスの影響を与えるのに遅すぎることはありません。開発者がアジャイルラーニングの力を利用して、関連性が高く影響力の大きいセキュリティスキルを磨く方法をご覧ください。 今。
過去数年間はサイバーセキュリティ標準を変革したと言っても過言ではありません。必須ではありませんが、すべての組織がそれに追随し、ベンダーのセキュリティ慣行を自社の内部セキュリティプログラムの一部であるかのように精査することがすべての組織の目標となるはずです。
马蒂亚斯·马杜博士是安全专家、研究员、首席技术官，以及安全代码战士的联合创始人。马蒂亚斯在根特大学以静态分析解决方案为核心，获得了应用安全领域的博士学位。此后他加入美国Fortify公司，并意识到仅检测代码问题而未协助开发者编写安全代码是远远不够的。这一认知促使他致力于开发能帮助开发者减轻安全负担、超越客户期望的产品。作为Team Awesome成员，当他不在办公桌前时，最享受在RSA大会、BlackHat、DefCon等技术会议上登台演讲的时刻。
Secure Code Warrior致力于在整个软件开发生命周期中保护代码，并协助构建将网络安全置于首位的文化。无论您是应用程序安全经理、开发人员、首席信息安全官还是安全相关人员，我们都能帮助您降低与不安全代码相关的风险。
预约演示
马蒂亚斯·马杜博士是安全专家、研究员、首席技术官，以及安全代码战士的联合创始人。马蒂亚斯在根特大学以静态分析解决方案为核心，获得了应用安全领域的博士学位。此后他加入美国Fortify公司，并意识到仅检测代码问题而未协助开发者编写安全代码是远远不够的。这一认知促使他致力于开发能帮助开发者减轻安全负担、超越客户期望的产品。作为Team Awesome成员，当他不在办公桌前时，最享受在RSA大会、BlackHat、DefCon等技术会议上登台演讲的时刻。
马蒂亚斯是一位拥有15年以上软件安全实践经验的研究员兼开发者。他曾为Fortify Software、其创立的Sensei Security等企业开发解决方案。在职业生涯中，马蒂亚斯主导了多个应用安全研究项目，这些项目最终转化为商用产品，并获得了10余项专利。在离开办公桌时，马蒂亚斯担任高级应用安全培训课程讲师，并定期在RSA大会、黑帽大会、DefCon、BSIMM、OWASP应用安全大会、BruCon等全球性会议上发表演讲。
马蒂亚斯在根特大学获得计算机工程博士学位，期间学习了通过程序混淆技术隐藏应用程序内部运作机制的应用程序安全技术。
この記事のバージョンが掲載されました セキュリティマガジン。ここで更新され、シンジケートされました。
セキュリティ専門家にとって、12月13日には特別なことがあります。ついにSQLインジェクションを永久に根絶した日なのでしょうか？もちろん違います。もしかしたら「国際警備員感謝デー」なんでしょうか？また、いいえ。FireEyeとMandiantが、これまで知られていなかったことについての衝撃的なレポートを発表した日です。 グローバル侵入キャンペーン それはソーラーウィンズとして知られるようになります。このレポートには、SolarWindの人気の高いOrion管理ソフトウェアのソフトウェアアップデートの奥深くに悪意のあるコードが隠されていた、現在進行中の、ほとんど信じられないような攻撃が詳述されていました。
18,000人を超えるSolarWindsのお客様が、破損したアップデートをすでにダウンロードしていました。彼らの多くは、組織やネットワーク内の他の何百ものソフトウェアアップデートと同様に、自動的にダウンロードしていました。攻撃者は、SolarWindsの侵害を通じてアクセスが許可されたら、攻撃対象を非常に厳選していました。多くの大企業や政府機関では、データが盗まれ、ネットワークが侵害されました。これは最大規模の企業の1つで、恐らくは 最もコストのかかる侵害 これまでずっと、特に政府機関の場合、被害の全容が公に公表されたことはありません。
そして、それはすべて、人々がソフトウェアサプライチェーン内のベンダーを信頼し、その活動を適切に検証したり精査したりしなかったために起こりました。
サプライチェーンセキュリティへの大規模なシフト
警報が発せられると、企業、組織、政府機関は迅速に対応しました。SolarWindsの侵害はもちろん阻止されましたが、この攻撃により、規制も監視もされていないソフトウェアサプライチェーンの危険性も露呈しました。SolarWindsのインシデントは発見されればすぐに解決しましたが、サプライチェーンが攻撃経路としてどのように利用されたかに関する影響は今も続いています。この攻撃で他に良い結果が得られなかったとしても、少なくとも、重要ではあるが見過ごされがちなサイバーセキュリティの一面にスポットライトが当てられたことになります。
SolarWinds攻撃に対する最も注目を集めた対応の1つは、バイデン大統領の 行政命令 国のサイバーセキュリティの改善について。この命令は、米国でこれまでに発行された中で最も包括的なサイバーセキュリティ指令の1つです。政府機関や政府と取引を行う人々のサイバーセキュリティの強化を求め、ゼロトラストネットワークのような高度な保護を提唱し、ソフトウェアサプライチェーンのセキュリティの必要性を強調しています。
EOは政府に固有のものですが、他のグループもSolarWindsスタイルの攻撃を防ぐためのサプライチェーンのセキュリティの重要性を強調し始めています。たとえば、パロアルトは最近その記事を発表しました ユニット42 クラウド脅威レポート 「クラウドを保護するためのソフトウェアサプライチェーンの保護」というタイトルです。このレポートには、ソフトウェアサプライチェーンのセキュリティがなければ、完全に安全なクラウド環境はないと記載されています。そして、クラウド・ネイティブ・コンピューティング財団もこれに同意し、以下をリリースしました ホワイトペーパー SolarWindsの影響で従わなければならない重要なソフトウェアサプライチェーンのベストプラクティスを詳述しています。
過去数年間はサイバーセキュリティ標準を変革したと言っても過言ではありません。必須ではありませんが、すべての組織がそれに追随し、ベンダーのセキュリティ慣行を自社の内部セキュリティプログラムの一部であるかのように精査することがすべての組織の目標となるはずです。CISAの新しい取り組みのような取り組み ストラテジック・プラン セキュリティを責任分担として捉えることが、すべてのソフトウェア開発者、特に重要なインフラストラクチャやソフトウェアサプライチェーンに関わる人々にとって新しい標準の一部となっているというさらなる証拠を示しています。
ソフトウェアサプライチェーンを改善するために組織ができることは何ですか？
このような状況では、多くのベンダーが、自社のサプライチェーンを保護するために何ができるかを正しく尋ねています。ベンダーが自分たちと同じくらいサイバーセキュリティに気を配るようにするために、組織は何ができるでしょうか？
EOは、ソフトウェア開発者が与える影響と、彼らが受ける必要性を具体的に概説しています 検証済みのセキュリティスキル そして、重要なセキュリティスキルによる人主導の防御に重点を置くよりも、ツールにこだわる業界では認識は忘れられがちです。
最近のサイバーセキュリティへの包括的なアプローチには、実施されている技術的なセキュリティ統制と、パートナーが自社のガバナンス、リスク、コンプライアンスをどのように見ているかの評価を含む、詳細な第三者リスク評価を絶対に含める必要があることが明らかになりました。
すべての第三者評価には、ソフトウェアサプライチェーンの関係者が検証済みの証明書署名付きの安全なプログラムアップデートをどのようにリリースする予定か、またその企業がすべてのソフトウェアとデバイスのID管理にどのように役立つかについての保証と詳細な計画を含める必要があります。また、自社製品の暗号化のアップグレードや更新に向けた明確な道筋を示す必要もあります。
そして、開発者がついにソフトウェアサプライチェーンのセキュリティの重要な要素と見なされるようになった今、どのような評価でも、開発コミュニティ内で安全なコーディングと継続的な改善をどのように奨励しているかを詳述したレポートを含める必要があります。理想的には、開発者のスキルと現在のトレーニングのベンチマークも必要です。開発者のスキルアップに重点が置かれるようになってきていることはわかっていますが、 開発者の 48% が、脆弱なコードを故意にリリースしたことを認めています。
時間的制約や、セキュリティが世界の最優先事項 (または成功の尺度) ではないという現実などの要因が、コードレベルの脆弱性に対処すべき早期に対処できない環境の一因となっています。これらがソフトウェアのサプライチェーンに侵入するのを防ぐには、 ごと 組織は、より開発者に優しいセキュリティプログラムに取り組む必要があります。
次のステップ?
セキュリティ上の問題を抱えているベンダーのソフトウェアを使用すると、それをエコシステムに受け継ぎ、その結果を負担することになるため、リスク評価は重要です。ただし、組織は、ベンダーの方が実際にはより安全であり、開発者コミュニティのサポートにおいてさらに優れている可能性があることも認識しておく必要があります。
自社のセキュリティを評価する二次的な方法として、サードパーティのリスク評価を使用できます。社内のセキュリティよりも、ベンダーの方がセキュリティの面での対応が優れていれば、その方法を採用して組織の改善を図ることができます。
最後に、ソフトウェアサプライチェーンを本当に改善するための次の大きなステップは、開発者向けの安全なコーディング認定を実施することです。良い計画を立てることが第一歩ですが、それが実際に実行され、安全なコードの作成に役立つことを確認することも必要です。
開発者がセキュアコーディングを支援することが当たり前になるまでは、脅威アクターが覗き込む前に機会の窓を閉じることに常に遅れをとっています。しかし、適切なサポートを受ければプラスの影響を与えるのに遅すぎることはありません。開発者がアジャイルラーニングの力を利用して、関連性が高く影響力の大きいセキュリティスキルを磨く方法をご覧ください。 今。
この記事のバージョンが掲載されました セキュリティマガジン。ここで更新され、シンジケートされました。
セキュリティ専門家にとって、12月13日には特別なことがあります。ついにSQLインジェクションを永久に根絶した日なのでしょうか？もちろん違います。もしかしたら「国際警備員感謝デー」なんでしょうか？また、いいえ。FireEyeとMandiantが、これまで知られていなかったことについての衝撃的なレポートを発表した日です。 グローバル侵入キャンペーン それはソーラーウィンズとして知られるようになります。このレポートには、SolarWindの人気の高いOrion管理ソフトウェアのソフトウェアアップデートの奥深くに悪意のあるコードが隠されていた、現在進行中の、ほとんど信じられないような攻撃が詳述されていました。
18,000人を超えるSolarWindsのお客様が、破損したアップデートをすでにダウンロードしていました。彼らの多くは、組織やネットワーク内の他の何百ものソフトウェアアップデートと同様に、自動的にダウンロードしていました。攻撃者は、SolarWindsの侵害を通じてアクセスが許可されたら、攻撃対象を非常に厳選していました。多くの大企業や政府機関では、データが盗まれ、ネットワークが侵害されました。これは最大規模の企業の1つで、恐らくは 最もコストのかかる侵害 これまでずっと、特に政府機関の場合、被害の全容が公に公表されたことはありません。
そして、それはすべて、人々がソフトウェアサプライチェーン内のベンダーを信頼し、その活動を適切に検証したり精査したりしなかったために起こりました。
サプライチェーンセキュリティへの大規模なシフト
警報が発せられると、企業、組織、政府機関は迅速に対応しました。SolarWindsの侵害はもちろん阻止されましたが、この攻撃により、規制も監視もされていないソフトウェアサプライチェーンの危険性も露呈しました。SolarWindsのインシデントは発見されればすぐに解決しましたが、サプライチェーンが攻撃経路としてどのように利用されたかに関する影響は今も続いています。この攻撃で他に良い結果が得られなかったとしても、少なくとも、重要ではあるが見過ごされがちなサイバーセキュリティの一面にスポットライトが当てられたことになります。
SolarWinds攻撃に対する最も注目を集めた対応の1つは、バイデン大統領の 行政命令 国のサイバーセキュリティの改善について。この命令は、米国でこれまでに発行された中で最も包括的なサイバーセキュリティ指令の1つです。政府機関や政府と取引を行う人々のサイバーセキュリティの強化を求め、ゼロトラストネットワークのような高度な保護を提唱し、ソフトウェアサプライチェーンのセキュリティの必要性を強調しています。
EOは政府に固有のものですが、他のグループもSolarWindsスタイルの攻撃を防ぐためのサプライチェーンのセキュリティの重要性を強調し始めています。たとえば、パロアルトは最近その記事を発表しました ユニット42 クラウド脅威レポート 「クラウドを保護するためのソフトウェアサプライチェーンの保護」というタイトルです。このレポートには、ソフトウェアサプライチェーンのセキュリティがなければ、完全に安全なクラウド環境はないと記載されています。そして、クラウド・ネイティブ・コンピューティング財団もこれに同意し、以下をリリースしました ホワイトペーパー SolarWindsの影響で従わなければならない重要なソフトウェアサプライチェーンのベストプラクティスを詳述しています。
過去数年間はサイバーセキュリティ標準を変革したと言っても過言ではありません。必須ではありませんが、すべての組織がそれに追随し、ベンダーのセキュリティ慣行を自社の内部セキュリティプログラムの一部であるかのように精査することがすべての組織の目標となるはずです。CISAの新しい取り組みのような取り組み ストラテジック・プラン セキュリティを責任分担として捉えることが、すべてのソフトウェア開発者、特に重要なインフラストラクチャやソフトウェアサプライチェーンに関わる人々にとって新しい標準の一部となっているというさらなる証拠を示しています。
ソフトウェアサプライチェーンを改善するために組織ができることは何ですか？
このような状況では、多くのベンダーが、自社のサプライチェーンを保護するために何ができるかを正しく尋ねています。ベンダーが自分たちと同じくらいサイバーセキュリティに気を配るようにするために、組織は何ができるでしょうか？
EOは、ソフトウェア開発者が与える影響と、彼らが受ける必要性を具体的に概説しています 検証済みのセキュリティスキル そして、重要なセキュリティスキルによる人主導の防御に重点を置くよりも、ツールにこだわる業界では認識は忘れられがちです。
最近のサイバーセキュリティへの包括的なアプローチには、実施されている技術的なセキュリティ統制と、パートナーが自社のガバナンス、リスク、コンプライアンスをどのように見ているかの評価を含む、詳細な第三者リスク評価を絶対に含める必要があることが明らかになりました。
すべての第三者評価には、ソフトウェアサプライチェーンの関係者が検証済みの証明書署名付きの安全なプログラムアップデートをどのようにリリースする予定か、またその企業がすべてのソフトウェアとデバイスのID管理にどのように役立つかについての保証と詳細な計画を含める必要があります。また、自社製品の暗号化のアップグレードや更新に向けた明確な道筋を示す必要もあります。
そして、開発者がついにソフトウェアサプライチェーンのセキュリティの重要な要素と見なされるようになった今、どのような評価でも、開発コミュニティ内で安全なコーディングと継続的な改善をどのように奨励しているかを詳述したレポートを含める必要があります。理想的には、開発者のスキルと現在のトレーニングのベンチマークも必要です。開発者のスキルアップに重点が置かれるようになってきていることはわかっていますが、 開発者の 48% が、脆弱なコードを故意にリリースしたことを認めています。
時間的制約や、セキュリティが世界の最優先事項 (または成功の尺度) ではないという現実などの要因が、コードレベルの脆弱性に対処すべき早期に対処できない環境の一因となっています。これらがソフトウェアのサプライチェーンに侵入するのを防ぐには、 ごと 組織は、より開発者に優しいセキュリティプログラムに取り組む必要があります。
次のステップ?
セキュリティ上の問題を抱えているベンダーのソフトウェアを使用すると、それをエコシステムに受け継ぎ、その結果を負担することになるため、リスク評価は重要です。ただし、組織は、ベンダーの方が実際にはより安全であり、開発者コミュニティのサポートにおいてさらに優れている可能性があることも認識しておく必要があります。
自社のセキュリティを評価する二次的な方法として、サードパーティのリスク評価を使用できます。社内のセキュリティよりも、ベンダーの方がセキュリティの面での対応が優れていれば、その方法を採用して組織の改善を図ることができます。
最後に、ソフトウェアサプライチェーンを本当に改善するための次の大きなステップは、開発者向けの安全なコーディング認定を実施することです。良い計画を立てることが第一歩ですが、それが実際に実行され、安全なコードの作成に役立つことを確認することも必要です。
開発者がセキュアコーディングを支援することが当たり前になるまでは、脅威アクターが覗き込む前に機会の窓を閉じることに常に遅れをとっています。しかし、適切なサポートを受ければプラスの影響を与えるのに遅すぎることはありません。開発者がアジャイルラーニングの力を利用して、関連性が高く影響力の大きいセキュリティスキルを磨く方法をご覧ください。 今。
请点击以下链接下载此资源的PDF文件。
Secure Code Warrior致力于在整个软件开发生命周期中保护代码，并协助构建将网络安全置于首位的文化。无论您是应用程序安全经理、开发人员、首席信息安全官还是安全相关人员，我们都能帮助您降低与不安全代码相关的风险。
显示报告预约演示
马蒂亚斯·马杜博士是安全专家、研究员、首席技术官，以及安全代码战士的联合创始人。马蒂亚斯在根特大学以静态分析解决方案为核心，获得了应用安全领域的博士学位。此后他加入美国Fortify公司，并意识到仅检测代码问题而未协助开发者编写安全代码是远远不够的。这一认知促使他致力于开发能帮助开发者减轻安全负担、超越客户期望的产品。作为Team Awesome成员，当他不在办公桌前时，最享受在RSA大会、BlackHat、DefCon等技术会议上登台演讲的时刻。
马蒂亚斯是一位拥有15年以上软件安全实践经验的研究员兼开发者。他曾为Fortify Software、其创立的Sensei Security等企业开发解决方案。在职业生涯中，马蒂亚斯主导了多个应用安全研究项目，这些项目最终转化为商用产品，并获得了10余项专利。在离开办公桌时，马蒂亚斯担任高级应用安全培训课程讲师，并定期在RSA大会、黑帽大会、DefCon、BSIMM、OWASP应用安全大会、BruCon等全球性会议上发表演讲。
马蒂亚斯在根特大学获得计算机工程博士学位，期间学习了通过程序混淆技术隐藏应用程序内部运作机制的应用程序安全技术。
この記事のバージョンが掲載されました セキュリティマガジン。ここで更新され、シンジケートされました。
セキュリティ専門家にとって、12月13日には特別なことがあります。ついにSQLインジェクションを永久に根絶した日なのでしょうか？もちろん違います。もしかしたら「国際警備員感謝デー」なんでしょうか？また、いいえ。FireEyeとMandiantが、これまで知られていなかったことについての衝撃的なレポートを発表した日です。 グローバル侵入キャンペーン それはソーラーウィンズとして知られるようになります。このレポートには、SolarWindの人気の高いOrion管理ソフトウェアのソフトウェアアップデートの奥深くに悪意のあるコードが隠されていた、現在進行中の、ほとんど信じられないような攻撃が詳述されていました。
18,000人を超えるSolarWindsのお客様が、破損したアップデートをすでにダウンロードしていました。彼らの多くは、組織やネットワーク内の他の何百ものソフトウェアアップデートと同様に、自動的にダウンロードしていました。攻撃者は、SolarWindsの侵害を通じてアクセスが許可されたら、攻撃対象を非常に厳選していました。多くの大企業や政府機関では、データが盗まれ、ネットワークが侵害されました。これは最大規模の企業の1つで、恐らくは 最もコストのかかる侵害 これまでずっと、特に政府機関の場合、被害の全容が公に公表されたことはありません。
そして、それはすべて、人々がソフトウェアサプライチェーン内のベンダーを信頼し、その活動を適切に検証したり精査したりしなかったために起こりました。
サプライチェーンセキュリティへの大規模なシフト
警報が発せられると、企業、組織、政府機関は迅速に対応しました。SolarWindsの侵害はもちろん阻止されましたが、この攻撃により、規制も監視もされていないソフトウェアサプライチェーンの危険性も露呈しました。SolarWindsのインシデントは発見されればすぐに解決しましたが、サプライチェーンが攻撃経路としてどのように利用されたかに関する影響は今も続いています。この攻撃で他に良い結果が得られなかったとしても、少なくとも、重要ではあるが見過ごされがちなサイバーセキュリティの一面にスポットライトが当てられたことになります。
SolarWinds攻撃に対する最も注目を集めた対応の1つは、バイデン大統領の 行政命令 国のサイバーセキュリティの改善について。この命令は、米国でこれまでに発行された中で最も包括的なサイバーセキュリティ指令の1つです。政府機関や政府と取引を行う人々のサイバーセキュリティの強化を求め、ゼロトラストネットワークのような高度な保護を提唱し、ソフトウェアサプライチェーンのセキュリティの必要性を強調しています。
EOは政府に固有のものですが、他のグループもSolarWindsスタイルの攻撃を防ぐためのサプライチェーンのセキュリティの重要性を強調し始めています。たとえば、パロアルトは最近その記事を発表しました ユニット42 クラウド脅威レポート 「クラウドを保護するためのソフトウェアサプライチェーンの保護」というタイトルです。このレポートには、ソフトウェアサプライチェーンのセキュリティがなければ、完全に安全なクラウド環境はないと記載されています。そして、クラウド・ネイティブ・コンピューティング財団もこれに同意し、以下をリリースしました ホワイトペーパー SolarWindsの影響で従わなければならない重要なソフトウェアサプライチェーンのベストプラクティスを詳述しています。
過去数年間はサイバーセキュリティ標準を変革したと言っても過言ではありません。必須ではありませんが、すべての組織がそれに追随し、ベンダーのセキュリティ慣行を自社の内部セキュリティプログラムの一部であるかのように精査することがすべての組織の目標となるはずです。CISAの新しい取り組みのような取り組み ストラテジック・プラン セキュリティを責任分担として捉えることが、すべてのソフトウェア開発者、特に重要なインフラストラクチャやソフトウェアサプライチェーンに関わる人々にとって新しい標準の一部となっているというさらなる証拠を示しています。
ソフトウェアサプライチェーンを改善するために組織ができることは何ですか？
このような状況では、多くのベンダーが、自社のサプライチェーンを保護するために何ができるかを正しく尋ねています。ベンダーが自分たちと同じくらいサイバーセキュリティに気を配るようにするために、組織は何ができるでしょうか？
EOは、ソフトウェア開発者が与える影響と、彼らが受ける必要性を具体的に概説しています 検証済みのセキュリティスキル そして、重要なセキュリティスキルによる人主導の防御に重点を置くよりも、ツールにこだわる業界では認識は忘れられがちです。
最近のサイバーセキュリティへの包括的なアプローチには、実施されている技術的なセキュリティ統制と、パートナーが自社のガバナンス、リスク、コンプライアンスをどのように見ているかの評価を含む、詳細な第三者リスク評価を絶対に含める必要があることが明らかになりました。
すべての第三者評価には、ソフトウェアサプライチェーンの関係者が検証済みの証明書署名付きの安全なプログラムアップデートをどのようにリリースする予定か、またその企業がすべてのソフトウェアとデバイスのID管理にどのように役立つかについての保証と詳細な計画を含める必要があります。また、自社製品の暗号化のアップグレードや更新に向けた明確な道筋を示す必要もあります。
そして、開発者がついにソフトウェアサプライチェーンのセキュリティの重要な要素と見なされるようになった今、どのような評価でも、開発コミュニティ内で安全なコーディングと継続的な改善をどのように奨励しているかを詳述したレポートを含める必要があります。理想的には、開発者のスキルと現在のトレーニングのベンチマークも必要です。開発者のスキルアップに重点が置かれるようになってきていることはわかっていますが、 開発者の 48% が、脆弱なコードを故意にリリースしたことを認めています。
時間的制約や、セキュリティが世界の最優先事項 (または成功の尺度) ではないという現実などの要因が、コードレベルの脆弱性に対処すべき早期に対処できない環境の一因となっています。これらがソフトウェアのサプライチェーンに侵入するのを防ぐには、 ごと 組織は、より開発者に優しいセキュリティプログラムに取り組む必要があります。
次のステップ?
セキュリティ上の問題を抱えているベンダーのソフトウェアを使用すると、それをエコシステムに受け継ぎ、その結果を負担することになるため、リスク評価は重要です。ただし、組織は、ベンダーの方が実際にはより安全であり、開発者コミュニティのサポートにおいてさらに優れている可能性があることも認識しておく必要があります。
自社のセキュリティを評価する二次的な方法として、サードパーティのリスク評価を使用できます。社内のセキュリティよりも、ベンダーの方がセキュリティの面での対応が優れていれば、その方法を採用して組織の改善を図ることができます。
最後に、ソフトウェアサプライチェーンを本当に改善するための次の大きなステップは、開発者向けの安全なコーディング認定を実施することです。良い計画を立てることが第一歩ですが、それが実際に実行され、安全なコードの作成に役立つことを確認することも必要です。
開発者がセキュアコーディングを支援することが当たり前になるまでは、脅威アクターが覗き込む前に機会の窓を閉じることに常に遅れをとっています。しかし、適切なサポートを受ければプラスの影響を与えるのに遅すぎることはありません。開発者がアジャイルラーニングの力を利用して、関連性が高く影響力の大きいセキュリティスキルを磨く方法をご覧ください。 今。
目录
马蒂亚斯·马杜博士是安全专家、研究员、首席技术官，以及安全代码战士的联合创始人。马蒂亚斯在根特大学以静态分析解决方案为核心，获得了应用安全领域的博士学位。此后他加入美国Fortify公司，并意识到仅检测代码问题而未协助开发者编写安全代码是远远不够的。这一认知促使他致力于开发能帮助开发者减轻安全负担、超越客户期望的产品。作为Team Awesome成员，当他不在办公桌前时，最享受在RSA大会、BlackHat、DefCon等技术会议上登台演讲的时刻。
Secure Code Warrior致力于在整个软件开发生命周期中保护代码，并协助构建将网络安全置于首位的文化。无论您是应用程序安全经理、开发人员、首席信息安全官还是安全相关人员，我们都能帮助您降低与不安全代码相关的风险。
预约演示[下载]开始所需的资源
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
OpenText 应用程序安全性的强大功能 + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
