安全代码洞察

Secure Code Warriorでは、顧客体験を向上させ、プラットフォームを通じて付加価値を高めるために、常に革新を続けています。

今月は、コース管理者エクスペリエンス、待ち時間を短縮して新機能に早期アクセスできる機能、およびSAP: ABAPコンテンツの新しいアップデートをリリースしました。

言語や脆弱性カテゴリ全体で一括アクションを実行できる強力な表形式ビューのおかげで、管理者はエンドユーザーエクスペリエンスが向上し、コースをより簡単に管理できるようになりました。さらに、オン/オフを簡単に切り替えるだけで、新機能を早期に利用できるようになりました。

さっそく調べてみましょう！

新しいコース作成機能により、コースの作成と管理がより簡単になりました

一括操作により、複数の学習パスと言語にわたるコースを簡単に設計して展開できるようになりました。時間をかけてプロセスを再現する代わりに、開発者がより効果的に学習できるように、コンテンツと戦略にもっと集中できます。

現在、コース作成フローの更新は企業管理者が利用できます。

パワフルな表形式ビューと検索機能でコース設計にかかる時間を節約

すべての言語と脆弱性カテゴリのコース情報に1つのビューでアクセスできるようになり、さまざまな開発チーム向けのコースをすばやく簡単に作成できるようになりました。

新しい表形式ビューにより、コンテンツの概要を一目で確認したり、詳細を掘り下げたりすることが簡単にできます。また、コースコンテンツは言語や脆弱性のカテゴリ別にグループ化され、各グループレベルでアクティビティタイプ、難易度などの詳細が追加されたため、簡単にナビゲートできるようになりました。

検索機能を使用したり、フィルターを適用したりして、焦点を当てたい詳細に絞り込むこともできます。さらに、テーブルデータを別のアプリケーションにエクスポートしたり、すべての行またはフィルターされた行を CSV ファイルにエクスポートしてさらに分析したりすることもできます。

‍

一括アクションで、少ないクリックでより多くのことを実現

すべての言語に変更を適用する代わりに、1 か所でコースを一括変更できます。一括アクションにより管理者は時間を節約でき、開発者に適切なコース体験を設計するという重要なことに集中できます。

新しい一括アクションには次のものが含まれます。

• OWASP Top 10やすべての言語の特定の脆弱性カテゴリなど、コースフォーカスを追加
• コースに言語を追加してコンテンツをすばやく更新する
• 選択した行またはすべての行のモジュールをコピー、ロック、またはロック解除
• コースから言語またはモジュールを削除する
• ウェルカムメッセージとコース終了メッセージをすべての言語で一度に設定できます

‍

コース終了時の評価経路

これで、コース終了時の評価を各言語に合わせて調整し、1つのビューから管理できるようになりました。

言語とコースタイプに基づいてカスタマイズされた評価経路を簡単に作成して、コース修了時にスキルを測定および評価できます。

新機能への早期アクセス

‍

以前は、どのような新機能がリリースされるのかを知り、一般公開前に試してみたい場合は、カスタマーサクセスマネージャーに相談して、私たちのチームが機能を有効にするまで待つ必要がありました。

これで、管理タブで切り替えるだけで、チームでいつ、どの機能を有効にするかを制御できます。もう待ち時間は必要ありません。

に行くだけです 管理 > もっと > アーリーアクセス やってみるために

この機能は、より多くの機能、特にユーザーエクスペリエンスに大幅な変更を伴う機能に利用され、エクスペリエンスをより適切に制御できるようになります。

早期アクセスにはどのような機能があるのか知りたいですか？現在のオプションをいくつかチェックしてみてください。

> 改善された ホームページ より統一されたエクスペリエンスのためのビュー

> コースの最新情報:

1. プレビューステータスモード
2. コースコンテンツの一括アクション
3. グローバルウェルカムメッセージ
4. コース終了時のアクティビティの改善

現在、会社の管理者は早期アクセスオプションを使用できます。

新しくリリースされたトレーニングコンテンツでABAPアプリケーションを保護する

これで、ABAPでコーディングする開発者が、非常に魅力的で関連性の高いセキュアコーディングトレーニングの楽しみに参加できるようになりました。この新しいトレーニングは、開発者がセキュアコーディングスキルを向上させ、ABAPコードの脆弱性を減らすのに役立ちます。

Secure Code Warriorのコーディングチャレンジとミッション（ハンズオンラボ）では、以下をカバーするプログラムを提供できます。

1. 開発者が必要なときにいつでも受講できる、自分のペースで進められるトレーニング
2. コンプライアンス、セキュリティフレームワーク、または開発者のスキルレベルに合わせた対象を絞った学習経路
3. 楽しいコーディングコンテスト
4. セキュア・コーディング能力評価

ABAPトレーニングコンテンツの詳細については、こちらをご覧ください。

------

セキュア・コード・ウォリアーを試してみたいけど、まだアカウントを持っていないということはありませんか？にサインアップ 無料トライアルアカウント 今日から始めましょう。

以上で、今月の新機能のまとめです。フォロー Twitterのセキュア・コード・ウォリアー 最新のリリースや改善点に関する最新情報を入手してください。

当软件漏洞被视为事后考虑或创新的拦路虎时，企业就为数据泄露、声誉受损和高昂的法律责任敞开了大门。网络攻击往往利用代码中的弱点，而这些弱点本可以通过更强大的开发实践来避免。

安全编码通过将安全原则嵌入开发的每个阶段来应对这些挑战。开发人员在编写代码时，不会在发现漏洞后再实施修复，而是在代码中内置针对注入攻击和跨站脚本 (XSS) 等常见威胁的保护措施。让我们来详细了解一下安全编码如何帮助贵公司降低风险、维护用户信任并符合监管要求，同时提供可靠、高质量的软件。

什么是安全编码？

安全编码是在编写软件时遵循安全最佳实践的原则，以解决潜在漏洞。安全编码不是将安全作为开发的一个单独阶段，而是从最初阶段开始就将经过验证的保障措施整合在一起，确保开发人员掌握代码安全的自主权，并具备有效应用代码安全的技能。

由开放式全球应用安全项目（OWASP）或软件工程研究所 CERT 分部等组织制定的公认安全编码标准，可以作为开发人员避免攻击者利用的常见陷阱的北斗星。在当今的网络安全环境中，不断加强基础性、实践性的安全编码技能，将这些策略安全地实施到现有的工作流程中，是一个不容忽视的问题。例如，验证尽可能多的用户输入可以防止 SQL 注入攻击，而输出编码则有助于阻止 XSS。这些安全编码实践和其他安全编码实践可降低漏洞风险，使应用程序更具弹性，能够抵御不断变化的网络威胁。

为什么安全编码如此重要？

安全编码非常重要，因为许多成功的网络攻击都是利用了本可以在开发过程中预防的漏洞。从一开始就优先考虑安全实践，就能减少引入攻击者可用于破坏数据或中断运行的漏洞的可能性。将安全性融入软件开发生命周期（SDLC）的每个阶段，可确保在设计每个功能、更新和集成时都考虑到保护问题。

在开发过程中主动应对风险的成本远低于部署后修复风险的成本，因为部署后修复风险可能需要紧急补丁、停机时间和事故响应资源。它还能提高数据保护法规的合规性，避免潜在的罚款和法律挑战。安全编码实践还能促进消费者对公司的信任，使强大的安全性成为品牌声誉的一部分。

常见的代码安全漏洞

安全编码旨在防止攻击者利用的最常见、最危险的漏洞，以及新出现的威胁载体，如使用人工智能编码工具带来的威胁。下面概述了几种常见的漏洞、它们可能造成的危害以及安全编码如何帮助缓解这些漏洞。

反序列化缺陷

当应用程序接受和处理来自外部的数据时，如果没有进行适当的验证，就会出现反序列化缺陷。序列化将对象转换为可存储或传输的格式，而反序列化则重建这些对象以供使用。反序列化缺陷可能造成严重影响，导致执行任意代码或权限升级。安全编码可确保只对可信的、经过验证的数据进行反序列化，并尽可能完全避免对不可信的输入进行本机反序列化，从而解决这一问题。

注入攻击

当攻击者提供的输入被应用程序解释为命令或查询的一部分时，就会发生注入攻击。最著名的类型是 SQL 注入，即在查询中插入恶意 SQL 语句，以访问或更改数据库内容。其他类型包括命令注入（攻击者在其中执行任意命令）和轻量级目录访问协议（LDAP）注入。注入攻击的后果非常广泛，从未经授权的数据访问和删除到系统全面受损。包含敏感的个人、财务或专有信息的数据库是主要攻击目标。通过使用参数化查询或准备好的语句、在处理不信任的数据之前将其转出以及执行严格的输入验证，安全编码有助于防止注入漏洞。这些和其他安全编码实践可以阻止攻击者改变应用程序的预期行为。

跨站脚本攻击（XSS

跨站脚本 (XSS)是一种注入式攻击，通过在其他用户浏览的网页中插入恶意脚本来攻击网络应用程序。当应用程序在输出中包含未经验证的用户输入时，通常会发生这种情况。当其他用户的浏览器渲染该页面时，恶意脚本就会运行，可能会窃取 cookie、捕获键盘输入或将其重定向到恶意网站。

XSS 的影响包括会话劫持和身份盗用。对于企业来说，这会削弱客户的信任，如果敏感数据被泄露，还可能导致监管后果。安全编码可通过以下方式解决 XSS 问题：在显示用户提供的所有输入之前对其进行消毒和编码，使用可自动转义输出的框架，以及实施内容安全策略 (CSP) 以限制脚本的运行。

门禁控制

如果没有正确定义或执行用户可查看或执行的规则，就会出现访问控制漏洞。被破坏的访问控制会让攻击者绕过预期的用户角色限制，可能读取敏感数据、修改记录或执行只有特权用户才能执行的操作。

访问控制问题带来了巨大的挑战，尤其是人工智能编码工具一直在努力有效地解决这类漏洞，这凸显了对开发人员技能和意识的需求。访问控制漏洞的影响是巨大的。例如，如果攻击者可以访问管理员专用功能，他们就可以禁用安全设置、提取私人信息或冒充其他用户。

安全编码实践通过对每个请求执行服务器端授权检查、遵循最小特权原则以及避免仅依赖隐蔽性（如隐藏链接）作为安全措施来应对这些风险。此外，进行严格的访问控制测试有助于确保这些保护措施长期保持强大功能。

跨站请求伪造 (CSRF)

跨站请求伪造（CSRF）攻击会迫使用户在另一个已通过身份验证的网站上执行不必要的操作。这可能是转账、更改电子邮件地址或修改账户设置。这种攻击之所以能奏效，是因为浏览器会在伪造请求中自动包含有效的身份验证令牌（如 cookie）。

安全编码可通过实施每个用户会话独有的反 CSRF 标记，并在每次改变状态请求时对其进行验证，从而抵御 CSRF。其他防御措施包括要求对关键操作重新进行身份验证，以及在 cookie 上设置 SameSite 属性，以防止它们与跨站请求一起发送。通过将这些保护措施嵌入开发生命周期，可以大大提高系统处理合法、有意操作的可能性。

不安全的身份验证

当验证用户身份的过程薄弱、可预测或存在其他缺陷时，就会出现不安全的身份验证。这可能是密码政策不完善、凭证存储不安全或缺乏多因素身份验证（MFA）造成的。攻击者可以通过各种方法利用这些弱点，包括暴力攻击、凭证填充或拦截传输中的未加密凭证。不安全身份验证的影响非常严重，因为它可以让攻击者直接访问用户账户、管理控制和敏感数据。一旦进入，他们就能进一步破坏系统或窃取有价值的信息。

安全编码可通过强制执行强密码要求、对存储凭证进行散列和加盐处理、在所有身份验证交换中使用 HTTPS 等安全协议以及集成 MFA 以提供额外的验证层来解决这一漏洞。开发人员还应设计登录机制，限制失败尝试并及早发现可疑活动，使身份验证系统成为一道坚固的防线，而不是薄弱点。

应遵循的 6 项安全编码实践

构建安全软件不仅仅需要了解存在哪些威胁。它需要学习并采用经过验证的安全编码实践和模式。以下技术提供了开发人员可以采取的可行步骤，使安全成为每个项目不可分割的一部分。

1.实施用户访问控制

如上所述，用户访问控制意味着为系统中的每个用户角色定义并执行权限。强大的访问控制可以防止未经授权的用户查看敏感数据、修改记录或执行管理操作。它还能限制用户账户被泄露后造成的损失，因为攻击者只有该账户的权限。 

有效的用户访问控制需要强有力的身份验证，然后是授权检查，以确认通过身份验证的用户有权限执行请求的操作。你应定期审查你的访问控制措施，使其符合最小权限原则，给予用户完成工作所需的最小权限。访问控制还有赖于定期监控，以便及时更新系统中的策略和用户，同时进行审计，快速标记任何异常活动。

2.验证和清除数据

验证和清除数据包括检查所有输入数据，确保它们在处理前符合预期的格式、类型和模式，然后清除数据，删除潜在的危险内容。这些做法应适用于来自任何外部来源的传入数据，因为即使是可信来源也有可能被泄露，所以在验证之前，每个输入都应被视为不可信任的。通过在开发流程中构建验证和清除功能，您就能保持应用程序对注入攻击等常见威胁的抵御能力。

3.用现代语言写作

安全编码不仅仅是如何编写代码的问题。它还与选择工具和环境有关，这些工具和环境可以让您更轻松地从一开始就避免引入安全漏洞。虽然对许多企业来说，完全转用现代语言往往并不现实，也不高效，但至少使用一些现代编程语言，并使用所有所选语言的最新版本，可以提高软件的安全性。现代语言和框架通常具有更好的内存安全性、更强的类型检查功能以及针对常见漏洞的内置保护功能。例如，Rust 和 Go 等语言在设计时就考虑到了安全性，有助于防止缓冲区溢出等问题，而老式语言可能更容易出现这些问题。

像 Java 或 Python 这样的成熟语言可能很难实现现代化和安全，但跟上最新版本可以确保您获得最新的安全功能和性能改进。许多更新会修补已知的漏洞、废弃不安全的函数，并提供更安全的默认设置。 

4.实践代码混淆

代码混淆是使源代码或编译代码更难被攻击者理解、反向工程或篡改的过程。虽然它不能取代其他安全措施，但它通过隐藏应用程序的逻辑和敏感例程，为窥探者增加了一层防御。混淆可能涉及一些技术，如将变量和函数重命名为无意义的标识符，或以更难理解的方式重组代码。

其目的是提高攻击者发现和利用漏洞所需的成本和精力。在安全编码中，混淆与其他强大的安全实践一起发挥作用，使你的应用程序成为一个不那么有吸引力的目标。

5.扫描并监控代码

安全编码实践还包括主动扫描和监控代码。静态应用程序安全测试（SAST）工具在部署前分析源代码中的已知漏洞，而动态应用程序安全测试（DAST）工具则实时测试运行中的应用程序是否存在可利用的漏洞。将这两种方法结合起来，可以帮助您及早、持续地发现问题。

除了在开发过程中进行扫描外，在生产过程中实施持续监控也至关重要。这包括设置异常活动警报、记录安全事件，以及利用运行时应用程序自我保护（RASP）工具实时检测和阻止攻击。定期扫描和监控可确保即使在开发过程中出现漏洞，也能在造成重大损失之前迅速解决。

6.记录和实施安全编码标准

记录安全编码标准包括创建一套明确的准则，规定团队如何编写安全、可维护和合规的代码。这些标准应涵盖输入验证、错误处理、加密实践和会话管理等主题，以及如何解决技术栈特有的常见漏洞。

有了这些标准，就能确保从初级工程师到高级架构师的所有开发人员都遵循相同的安全原则。配合培训和定期更新，这些标准就会成为一种活的资源，使您的开发流程与最新的安全要求保持一致。

安全编码标准和框架

如果您希望在制定自己的编码标准时得到帮助，下面这些流行的指南可以帮到您。它们涵盖了一系列解决常见漏洞的实践，有助于明确如何使您的编码工作与行业最佳实践保持一致。

OWASP 安全编码实践

对于希望自始至终将安全性嵌入代码的开发人员来说，OWASP 是最广为人知的信息来源之一。它提供了重要的安全编码资源，如《OWASP 开发人员指南》和OWASP Top 10。OWASP 的方法具有很强的可操作性，提供了开发人员可在开发过程中应用的检查表和编码技巧。

遵循 OWASP 指导方针可为各项目创建通用的安全编码基线，从而使团队受益匪浅。由于 OWASP 会定期更新，以反映新的威胁载体和攻击技术，因此企业可以利用它来应对新出现的风险。通过将 OWASP 原则纳入工作流程，您可以提高代码质量，减少漏洞，并与广为接受的行业准则保持一致。

NIST 安全软件开发框架

美国国家标准与技术研究院 (NIST) 在发布更广泛的网络安全框架的同时，还发布了全面的安全编码指南。除了提供有关高级安全软件开发实践的信息外，NIST 安全软件开发框架 (SSDF)还提供了一个通用词汇表，可改善公司团队之间在关键问题上的沟通。该框架侧重于成果而非具体技术，因此最适合作为 OWASP 或 SEI CERT 编码标准等其他标准的补充。

SEI CERT 编码标准

SEI CERT 编码标准由软件工程研究所（SEI）的CERT部门制定，重点是防止特定编程语言（包括 C、C++、Java 和 Perl）中的安全漏洞。每种特定语言的标准都有安全编码规则、详细解释以及符合标准和不符合标准代码的示例。由于 CERT 编码标准针对的是特定编程语言的细微差别和怪癖，因此对于在这些环境中工作的开发人员来说，这些标准具有很高的价值和可操作性。

微软安全开发生命周期

微软的安全开发生命周期（SDL）是一套旨在使安全成为软件开发过程不可分割的一部分的实践。它包括10 个重要主题的建议，其中包括威胁建模、开发人员安全培训和软件供应链安全。微软自己也采用了这种方法，因此企业可以从将开发人员、测试人员和安全团队结合在一起的经过测试的流程中获益。

ISO/IEC 27001

ISO/IEC 27001作为信息安全管理系统 (ISMS) 的标准最为人熟知，但它对安全编码也有很大影响。虽然它的重点是建立全组织范围的 ISMS，但也包括安全编码的原则。这些建议为组织实施安全编码实践提供了高层次的指导。

人工智能安全规则

人工智能编码工具比以往任何时候都更加方便，但如果使用这些工具不能产生安全、准确的代码，则弊大于利。Secure Code Warrior的人工智能安全规则是同类产品中的首个，它提供了与 GitHub Copilot、Cline、Cursor 和 Windsurf 等人工智能工具一起使用的安全编码最佳实践指导。这些规则能让您的人工智能编码助手保持正常工作，并设置护栏，最大限度地降低不安全代码的风险。

学习如何从一开始就创建安全代码

安全编码不仅仅是一项技术要求，更是一项重要的业务优势。当您的团队从一开始就编写安全代码时，您就可以防止代价高昂的漏洞，降低数据泄露的风险，并交付客户可以信赖的软件。然而，如果没有结构化的指导，掌握安全编码实践就会特别具有挑战性。开发人员需要真实的实践、关于不断变化的威胁的最新知识，以及在每一行代码中自信地应用安全原则的方法。

Secure Code Warrior的 ISO 27001 认证和 SOC 2 合规敏捷learning platform正是为您的团队提供了这样的 learning platform。通过针对特定语言的安全最佳实践培训、现实的编码挑战以及针对不同角色策划的内容，它将安全从事后考虑变成开发过程的自然组成部分。开发人员可以掌握早期识别和修复漏洞的技能，与行业标准保持一致，并在整个软件开发生命周期中全面负责代码安全。毫不奇怪，使用Secure Code Warrior 的公司将软件漏洞减少了 53%，节约成本高达 1400 万美元，92% 的开发人员希望接受额外培训。

如果您想了解您的团队如何从第一天起就能编写出更安全、更强大的代码，请立即预订Secure Code Warrior 演示。

在Secure Code Warrior ，我们不断创新，帮助开发人员和组织掌握正确的技能，以应对当今瞬息万变的安全挑战。我们通过灵活的learning platform 实现安全编码，让开发人员能够按照自己的方式学习，并提供当今业界最完整、最可靠的漏洞内容。  

在过去的一个季度里，Secure Code Warrior ，除了通过 SCIM 配置更简单地管理用户外，还为公司管理员提供了将tournaments 扩展到多个品牌和实体的新方法。我们还非常高兴地宣布，Jira 中提供了新的编码指南，预览版中还提供了性能概览报告和新的计划工作流程。 

让我们深入了解一下!

拓展SCW平台的广度和深度 

Secure Code Warrior不断扩展的新内容有助于保持我们模块的相关性、及时性，并针对您在当今网络安全环境中需要了解的内容量身定制。凭借业界领先的 60 多种语言的广度和深度，我们可以轻松地为开发人员构建和扩展一个使用大量语言和框架的敏捷学习计划。 

现已推出：Jira 中的编码指南 

在我们的 Jira 集成中增加的指南为开发人员提供了涵盖安全缓解措施的上下文学习。指南比视频更深入，侧重于特定的语言或框架，并提供代码片段，帮助开发人员更快地解决问题。除了访问视频和挑战，现在开发人员还可以直接在 Jira 问题中阅读编码指南，以获取深入的修复建议。

现已推出：新的前端开发员内容 

前端开发人员也需要启用安全代码！这就是我们在Missions 和 Walkthroughs 中发布更多前端漏洞的原因。前端开发人员还可以通过Courses 访问前端特定的Missions 。 

这些更新力求全面覆盖前端特有的漏洞--从基于 DOM 的 XSS 等常见漏洞，到 CSS 注入等不太常见的漏洞。 循序渐进的演练为前端开发人员提供了可信赖的指导，让他们了解漏洞是如何被利用的，而更高级的开发人员还可以在Tournaments 中测试他们在前端Missions 方面的技能。 

扩展安全文化的令人兴奋的新方法 

现已推出：多公司Tournaments 

‍

可以创建多公司Tournaments ，让来自多个业务实体、公司子公司、合作伙伴和其他公司的开发人员之间开展友好竞争。这就确保了安全的编码文化可以在整个组织及其多个品牌中扩展。  

有兴趣参加最终的多公司Tournament 吗？注册参加第三届年度 Devlympics- SCW 为网络安全意识月举办的全球tournament ！如果您已经是我们的客户，可以通过平台注册。 

简化管理员和开发人员的体验

现已推出：课程筛选 

Courses 可以根据状态、结束日期和注册团队等多个属性进行筛选。

现已推出：使用 SCIM 管理 SCW 许可证 

现在，程序所有者和公司管理员可以通过编程对开发人员进行大规模管理，并确保访问控制始终是最新的。

SCIM 配置使用身份提供商同步访问Secure Code Warrior 。自动执行这些任务可确保准确性、安全性和合规性，从而在配置用户时节省时间和资源。目前，SCW 仅支持用户级别的 SCIM 配置，还不支持 SCIM 组。

预览版可用：程序工作流程

 通过对平台可用性的关键改进，现在配置一个可扩展且引人入胜的安全代码教育计划比以往任何时候都要简单。通过将courses 和评估排序到多级程序中，程序的创建可为学习者提供更多指导。已在平台中启用预览功能的客户现在可以使用自动程序工作流。程序工作流程可确保开发人员知道从哪里开始，可以导航到下一步，并在安全代码学习程序的不同级别中轻松移动。它还能让公司管理员花费更少的时间来设置、管理他们的计划，并督促开发人员完成下一个学习活动。 

需要关于如何在贵组织启动安全代码学习的提示吗？请阅读我们的手册，了解如何构建您的计划以实现您的安全目标。 

报告和方案洞察力

可预览：性能概述 

作为公司管理员，需要监控整个组织的活动，这对了解开发人员的参与情况和衡量安全代码学习计划的成功与否至关重要。我们构建了一个增强型报告界面，确保公司管理员从报告中获得最可行的见解。

性能概述可提供有关开发人员课程和assessment 完成情况的洞察力，以及一段时间内的平均准确率。该报告还可生成一个具有洞察力的行业基准，以了解您的项目与所选assessment 的行业平均assessment 分数相比如何。 

这份简单而有力的报告标志着Secure Code Warrior计划于 2024 年推出的一系列洞察力和衡量标准的开端。 

有兴趣试用Secure Code Warrior 但还没有账户？立即预订演示，了解更多信息。 

本季度新功能介绍到此结束！在LinkedIn和 X（原 Twitter）上关注Secure Code Warrior ，了解最新发布和改进信息。

‍

‍

大は差万人、けいおかず、M.WateromomokadeffizaCherm。Dingerol325hingnovzinzzinzzza、coの75% は新生、gawingingingingbwwizappSecinginginginzinaginza。

315knsは、チャベールでもでもめちゃくちゃなさいビービーク。世代、だいすいすいすいすいすは、おまけにしろ、おまけにしろ、おおむねえ、おまけにしろアイビーエム「データ漏えいっす 2022」)。開発者、Techonamenrexum222AOのめめめめめも、新成成成成成成成成成とずずずるずずず。

セキュア・コード・ウォリアー、生、定、、もしも、そのとおりりりりりりりりりりりりりだ。

この前和は、コーディングラボ（福で第一）、新品同然であるがゆえに、LMS SCORMMVICALINEZZINE、SCORMVICALIZZINE、（それら、それまでも、しかも、しかも、そのとおりならず。

さそくを

新年新生 — 新学習

新品 (ベルンプ型プモサート 2022）、キム40％が、全開でいつもとよし。コーディング・ラボ、慣習習生 IDE CON、MedilchingとFilabilamingsDingalwallain、Dervychalwingalsで成り立つ。そして、chingwwwulatingでもずばり。

デロロパーは、ポワニでイイラカ「ピーカピーカ」のガイガイニニニニニニニス、SPORKINESTURBADでかみ合いでもかみっつりかええり。コーディングラボ、は erfulabulisyぎ、linovalusceonagdensecour。

SCWpringは、wchewknalkinalmelémciyo、親和性、一大でみずみずみずし、wchyvéwultcharn。コーディング・ラボ（Coding Labs）は、Dingingulalalulkuさん、．．．

コーディング・ラボスは1975年で出来出来出来出来た。SCW の、

SCWのチャノク、コーディングラボラボアールムニニザギギギクー。 きに。

SCWで、うしかみさいび、コーディングラボズ新作。オンライン・バイキング・シー きに。

2XPSTのクローム LMSと統合

近日ぶだらけのSCWそして、だんぐんぎりぎょう、みずからずいぶんぐんぐんぐらい。

アイズジディマイブフタ、SCORMはぎりぎりぎりぎらぎら。 そしてemusi盛大で。ザザスコーム、ULMULULULULDULUX、新星システム (LMS) でざくざくら。

新スコーム LMS

• FAINXPSTのLMS8BTWICAMAV, 新年だちかおばあさん
• と

‍

彼SCORM APKARAは、SAP サクセスファクターズ、SAPサクセスファクターズ、ワークデイ、コーナーストーン etc.

LMS SCORM5は、10月 9日（月）、、INSTAREDA。

SCW 幅と深拡大

セキュア・コード・ウォリアー、新しいコンテンツへの応用、うーん、うおかしくなじみぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎら。55 15 15 番で成成成成とみだるるま、ぎゃくと金で成成成成成成成成成成成成成成成成成成成成成成成成成成成成成成成成成成長。

でABAP

解放する 春は、6 新春春と14歳で、ABAPAGで新春でも新春春でもっともっと本気でしたっけ。

新しい金と時々、金でじつにきく

セキュア・コード・ウォリアーは、ダグダダザザでサビレツツキチョウ、XisorVollcenytorCarinatorJarinoの。現在、SCW、SCW ようなつるつるしろからそれまで来た。

• 33のRPGチャレンジ、チャポントリセイ
• RPGで大成成で
• パイゴパンゴダイ 10種種

新人・銀座で流れ、。

産業と新年文化化

いのちばっくろみつで、いずれ、いっしょにみるみるぎぎぎぎる。

公開されたコースを簡単に編集

新種で、新種で、吹奏と水YuMag..ionis、Greed.jdaShZuZURNA。、そのとおり「チャとナナナダと大会。

ついいに。

• 公開されたコースに新しい言語を追加する
• ザインとクンプン
• 第13回ききり/新/
• はは、

ホームみみとみらし

新しいホームに「続行」というものが、「だめだ」、「たいた」、「だめだ」また、ホームホームズウィウィズモウニダダダダフリンリント。

っっち、れすいとしょうか、じつは、じつは、ごめんなさい、ごめんなさい、かぐらいのかぐらぶらぶらぶらぶらです。

‍

ひらも、アーリーサーズズズズズズで金メダル。SUV.JEJは、すいすがた。

インクルブでシイズアザカズラ

Secure Code Warrior、Lecure Code Warrior、leaskとkoldkékのだいさき、付録め、ごめん、ごめんなさい、ごめんなさい、ごめんなさい、ごめんなさい。、本来なら、本来はじめてみみみみみけ、新生、進進行、それまでの、セブルシブルチャノキカカカササササカササイ。

字字字で

本来ならば金魚字、、真に。

鮮やかな.通貨、金字幕付き連字はさておき。

2022年10月5日

もっと新しいこと？2022年10月5日、プロダクト・トーク・ウェビナーで、「もし、」

きに。

ゆうあんコ・ウォンダリンリンさん、那那様だって？にしぶしろ しらじん。

うわー、今新鮮、めちゃめちゃかつ。ホロー ツイッターのストレーク・ウォアー 大賞と点大賞賞の獲得。

不安全的代码给公司带来了数以百万计的损失--那么是什么阻碍了采用安全编码的做法？ 

在一个几乎一切都依赖软件的世界里， 确保代码的安全是至关重要的。品牌声誉和财务生存能力都依赖于此。尽管如此，在安全编码方面仍有许多问题--在充分和有效地采用安全编码方面也有许多障碍。现在比以往任何时候都更需要一种新的工作方式。因此，在2020年，Secure Code Warrior 与埃文斯数据公司合作，对开发人员和他们的经理对安全编码的态度、安全代码实践和安全操作进行了主要研究*（下载白皮书 这里).

现在，组织发现很难实施安全的代码实践。开发人员和管理人员都发现处理漏洞和对代码负责的问题特别令人担忧。

很明显，需要更好的培训和支持安全代码实践的计划。当我们询问开发人员和他们的经理关于他们对安全编码的关注时，这种需求变得很明显。我们的研究*表明，这两个群体都有相同的基本关切。但由于他们的角色不同，他们对这些问题中哪些是最紧迫的有不同看法。  

开发人员的头号担忧是 "包括复制以前漏洞的代码"。由于开发人员是根据他们的代码质量来判断的，这一点并不令人惊讶。没有哪个开发者愿意成为不安全的代码的来源--或者需要返工并拖累其团队的代码。 

开发人员的第二大担忧是处理同事带来的错误。满足最后期限的要求和对代码负责也在名单上名列前茅--学习安全代码是具有挑战性的事实也是如此，这再次反映了对安全代码培训的新方法的需求。 

另一方面，管理者更多的是采取自上而下的观点。 

作为团队管理者和领导者，他们最关心的是对代码负责。如果一个团队产生了糟糕的代码，那么责任就在其经理身上。 

复制以前漏洞的代码排在第二位。学习过程具有挑战性的事实排在第三位。由于目前的安全代码培训方法无法实现，管理人员意识到需要一种新的方法。

采用安全编码做法的障碍

当我们询问经理们在他们的组织中采用安全编码做法的障碍时，有两件事非常突出：沟通和培训。 

45%的人认为利益相关者和管理层之间缺乏沟通是一个重要的路障。42%的人哀叹新员工缺乏安全编码技能。 同时，40%的人提名培训时间和资源不足。 

在整个组织中成功地采用安全代码实践，存在着与流程和人力资源相关的障碍。 

但是，尽管有这样棘手的问题，你仍然可以取得进展。新员工缺乏安全编码技能以及培训和资源不足的问题比较容易解决。 

当涉及到阻止漏洞时，开发人员处于战斗的前线。但是，他们是否得到了支持、工具和培训，以维持他们在安全交易中的角色？

基于他们的担忧，简短的回答是 "不"。 

事实是，正确的培训不应该让人觉得是在讲课。 

作为安全编码变革的推行者，Secure Code Warrior 采取以人为本的方法，积极吸引开发人员学习和建立他们的安全编码技能。我们经过验证的Learning Platform ，为开发和安全团队提供了他们喜欢的工作流程中的背景和高度相关的学习。它使他们不仅能够发现漏洞，而且能够从一开始就防止它们发生。

这种实践培训是一个提高技能的机会--对于那些认真制止漏洞并与团队其他成员合作以产生更高标准的代码的开发人员来说，这种职业发展只有积极意义。

如果你想了解更多--并看到对你的团队 "从左到右 "的能力的潜在影响，并在不影响安全的情况下更快地发送安全代码。 现在预订演示.

*从反应到预防的转变。应用安全的变化。 Secure Code Warrior 和 Evans Data Corp. 2020年

BSIMM 8已经出来了!太棒了。这是对大型组织为生产安全软件所采取的安全实践的唯一的大规模研究。

这项研究是由应用安全专家在Gary McGraw的监督下进行的，确保收集到的数据是一致的、准确的，并能深入了解30万名开发人员的日常工作。在我最近的演讲中，我提到了BSIMM的数字，我提到平均每100名开发人员中有2名应用安全专家。

然而，自BSIMM4以来，情况就不是这样了。BSIMM8报告说，这个数字更少了，现在是每100个开发人员中有1.6个。雇用更多的应用安全专业人员是根本行不通的，因为现在人才短缺。我们比以往任何时候都更需要给开发人员提供工具和培训，以编写安全的代码，这些代码是可以动手的，随时可以使用的，并且可以为组织扩展。

该报告还显示，培训实践中最常见的活动是为所有员工提供意识培训，占67%。我开始绘制我们在Secure Code Warrior （SCW）的培训实践中所做的工作，并意识到我们的解决方案可以勾选培训实践中的所有12项活动，从一级（大多数公司做）到三级（极少数公司做）。

一个单一的解决方案，可以用来覆盖整个实践。在12个培训实践中，对Secure Code Warrior 解决方案最感兴趣的实践是。

• 第1级：提供认识培训
• 第1级：提供按需的个人培训
• 第2级：通过培训加强卫星（SCW指标）。
• 第3级：通过课程奖励进阶（SCW徽章）。
• 第三级：为供应商或外包工提供培训（SCW评估）。
• 第三级：主机外部软件安全事件（SCWTournament 模式）
• 第三级：通过培训确定卫星（SCW指标）。

你有信心你目前的解决方案能解决这些实践问题吗？

11月の初めに、ケンブリッジ大学はそれらをリリースしました トロイの木馬ソースと呼ばれる研究。この研究は、方向性のあるフォーマット文字を使用して、ソースコードやコメントにバックドアを隠す方法に焦点を当てました。これらを使うと、コンパイラが人間のコードレビュー担当者とは異なる方法でロジックを解釈するコードを作成できます。

この脆弱性は新しいものです。ただし、Unicodeは過去に不正に使用されていました。たとえば、ファイルの実際のファイル拡張子を次のように隠すなど、Unicodeが使用されていました。 ファイル名の最後の部分の方向を逆にする。最近の調査により、多くのコンパイラが警告なしにソースコード内の Unicode 文字を無視するのに対し、コードエディタを含むテキストエディタは、コメントやそれに基づくコードを含む行をリフローする可能性があることが明らかになりました。そのため、エディターはコードやコメントを、コンパイラーが解析する方法とは異なったり、異なる順序で表示したりすることがあります。コードやコメントを交換する場合でも同様です。

詳細については以下をお読みください。または、Trojan Sourceの模擬ハッキングを試してみたい場合は、無料で試してみてください。 パブリックミッション 自分で体験してください。

双方向テキスト

これらのトロイの木馬ソース攻撃の1つは、英語（左から右）やアラビア語（右から左）などの異なる表示順序でテキストをまとめる方法を処理するUnicode Bidi（双方向）アルゴリズムを利用します。方向指定形式の文字を使用すると、グループを再編成したり、文字の順序を表示したりできます。

上の表には、攻撃に関連するBidiオーバーライド文字の一部が含まれています。例えば、

RLI 私たちはcに行きます PDI

RLIの略語は 右から左に分離。テキストをコンテキスト (PDI で区切られる) から分離します。 ポップ・ディレクショナル・アイソレート)、右から左に読み上げます。結果は以下のようになります。

ǞǞǞ

ただし、コンパイラーとインタープリターは通常、ソースコードを解析する前に、Bidiオーバーライドを含むフォーマット制御文字を処理しません。方向指定のフォーマット文字を単純に無視すると、以下の内容が解析されます。

私たちはcに行きます

古いワインを新しいボトルに？

もちろん、これは太陽の下では目新しいことではありません。これまで、方向指定フォーマットの文字は ファイル名に挿入 彼らの悪質さを隠すためだ電子メールの添付ファイルが 'myspecialexe.doc' として表示されても、RLO 用でなければ、十分に無害に見えるかもしれません (右から左へのオーバーライド) 本名が「myspecialcod.exe」であることがわかるキャラクタープレゼント

トロイの木馬ソース攻撃は、構文エラーやコンパイルエラーを生成しないため、ソースコードに存在するコメントや文字列に方向形式の文字を挿入します。これらの制御文字はコードのロジックの表示順序を変更し、コンパイラに人間とはまったく異なるものを読み取らせます。

たとえば、次のバイトを次の順序で含むファイル。

方向フォーマット文字によって次のように並べ替えられます

方向指定文字が明示的に呼び出されない場合、コードは次のようにレンダリングされます。

RLO は、最後の行で閉じ括弧を開中括弧に切り替えます。その逆も同様です。このコードを実行すると、「あなたは管理者です」という結果になります。管理者チェックはコメントアウトされていますが、制御文字はそれがまだ存在していたような印象を与えます。

(ソース:https://github.com/nickboucher/trojan-source/blob/main/C%23/commenting-out.csx)

これはあなたにどのような影響を与えますか？

C、C++、C#、JavaScript、Java、Rust、Go、Pythonなど、多くの言語が攻撃に対して脆弱であり、他にもあると想定されています。さて、平均的な開発者はソースコードに方向指定フォーマット文字があることに眉をひそめるかもしれませんが、初心者は肩をすくめて何も考えないほうがいいかもしれません。さらに、これらの文字の視覚化は IDE に大きく依存しているため、必ず見つかる保証はありません。

しかし、そもそもこの脆弱性がどのようにしてソースコードに侵入するのでしょうか。何よりもまず、悪意のあるコードの寄与が見過ごされてきた、信頼できないソースからのソースコードを使用した場合にこの問題が発生する可能性があります。第二に、インターネットで見つかったコードからコピーして貼り付けるだけで、ほとんどの開発者が以前行っていたことがある、ということが起こり得ます。ほとんどの組織は、複数のベンダーのソフトウェアコンポーネントに依存しています。そこで、このコードをどの程度完全に信頼し、信頼できるかという疑問が生じます。隠れたバックドアを含むソースコードをスクリーニングするにはどうすればよいか。

誰の問題なの？

一方では、コンパイラとビルドパイプラインは、一方向が文字列とコメントに厳密に限定されていない限り、複数の方向のソースコード行を許可しないべきです。文字列やコメント内の方向フォーマット文字は、ポップされない限り、方向転換を行末まで延長する可能性があることに注意してください。一般に、コードエディターはホモグリフや方向フォーマット文字など、疑わしい Unicode 文字を明示的にレンダリングして強調表示する必要があります。11 月以降、GitHub は双方向の Unicode テキストを含むコードのすべての行に警告記号とメッセージを追加するようになりました。ただし、これらの文字が行のどこにあるかは強調していません。これでも、悪意のない方向変更とともに、悪意のある方向変更が忍び寄る可能性があります。

開発者とコードレビュー担当者の認識が不可欠です。そのため、脆弱性を説明するウォークスルーを作成しました。現在、このウォークスルーは Java、C#、Python、GO、および PHP で利用できます。

だからもっと知りたいなら、私たちを試してみてください トロイの木馬ソースのシミュレーション（公開ミッション）、そして読んでください トロイの木馬ソース調査。

Java でのシミュレーション

C# でのシミュレーション

PHP でのシミュレーション

GO でのシミュレーション

Python でのシミュレーション

静的解析とは

静的分析は、アプリケーションを実行せずにソースコードを自動的に分析することです。

プログラムの実行中に分析が実行される場合、動的分析と呼ばれます。

スタティック解析は次のものを検出するためによく使用されます。

• セキュリティ上の脆弱性。
• パフォーマンスの问题。
• 標準への違反。
• 時代遅れのプログラミング構成体の使用。

静的解析ツールはどのように機能しますか?

すべての静的解析ツールに共通する基本概念は、ソースコードを検索して、何らかの警告や情報が関連付けられている特定のコーディングパターンを特定することです。

これは、「JUnit 5のテストクラスは「公開」である必要はない」というような単純なものかもしれません。あるいは、「信頼できない文字列入力が SQL 実行文で使用されている」など、見分けが難しいものもあります。

静的解析ツールは、この機能の実装方法が異なります。

• 抽象構文木 (AST) を作成するためのソースコード解析技術
• テキスト正規表現マッチング、
• 上記の組み合わせ。

テキストでの正規表現マッチングは非常に柔軟で、一致させるルールを簡単に記述できますが、多くの場合、誤検出が多数発生する可能性があり、マッチングルールは周囲のコードコンテキストを認識しません。

AST 照合では、ソースコードを単なるテキストで埋められたファイルではなく、プログラムコードとして扱います。これにより、より具体的で状況に応じた照合が可能になり、コードに対して報告される誤検出の数を減らすことができます。

継続的インテグレーションにおける静的解析

多くの場合、静的分析は継続的インテグレーション（CI）プロセス中に実行され、コンプライアンス問題のレポートを生成します。このレポートをレビューすると、時間の経過とともにコードベースを客観的に把握できます。

コードの特定の部分のみを測定し、ルールのサブセットのみを報告するように静的分析ツールを構成することで、コード品質の客観的な尺度として静的分析を使用する人もいます。

客観性は、使用されるルールによって決まります。これらのルールは、時間の経過とともにコードの評価において変化しないためです。明らかに、使用されるルールの組み合わせとその構成は主観的な決定であり、異なるチームは異なるタイミングで異なるルールを使用することを選択しています。

CI で静的解析を実行することは便利ですが、プログラマーへのフィードバックが遅れる可能性があります。プログラマーはコーディング時にフィードバックを受け取らず、後で静的解析ツールでコードを実行したときにフィードバックを受け取ります。CI で静的解析を実行することによるもう 1 つの副作用は、結果を無視しやすくなることです。

チームが Static Analysis の結果に注目しやすくするために、通常、ビルドプロセスでしきい値メトリクスを設定して、メトリクスを超えた場合にビルドが失敗するように設定できます。たとえば、多数のルールがトリガーされた場合などです。

IDE での静的解析

フィードバックをより早く受け取るために、IDE の静的分析ルールをオンデマンドで、またはコードが変更されたときに定期的に実行する IDE プラグインが多数用意されています。

プログラマがコードを記述しているときに IDE でルール違反を確認できるようになり、ルールを無視しにくくするために、エディタで下線付きのコードとしてレンダリングするように違反を設定できることがよくあります。

個人的には、これはコーディングを改善するのに便利な方法だと思います。特に、Static Analysis ツールでカバーされている新しいライブラリを使用する場合は特にそうです。ただし、誤検出や興味のないルールがあると「ノイズが多い」場合があります。しかし、特定のルールを無視するように静的解析ツールを設定するという追加の手順を踏むことで、この問題を解決できます。

静的分析ルールに基づくコードの修正

ほとんどの静的解析ツールでは、ルールの修正はプログラマーに任されているため、プログラマーはルール違反の原因と修正方法を理解する必要があります。

違反を修正する機能を備えた静的分析ツールはほとんどありません。修正は、多くの場合、チーム、使用するテクノロジー、および合意されたコーディングスタイルに合わせて行われるためです。

デフォルトルール

Static Analysis ツールにデフォルトのルールが用意されていると、ルールの品質に対する誤った信頼が生じる可能性があります。プログラマーが遭遇する可能性のあるすべての問題と、そのルールが適用すべきすべての状況をカバーしていると信じたくなります。ルールを適用すべき状況は微妙で、簡単に見分けることができない場合があります。

静的分析ツールを使用し、ルールと違反をより詳細に調査することで、プログラマーが特定のドメインのコンテキストで問題を検出して回避するスキルを身に付けることが期待されます。

ドメインにコンテキストルールが必要な場合、Static Analysis ツールにはドメインまたはライブラリに一致するルールがない場合があり、さらに、ツールの構成や拡張が難しい場合があります。

煩わしさ

これらの「烦恼わしさ」はどれも乗り越えられないものではありません。

• 偽陽性
• 修正の欠如
• ルールを無視する設定
• コンテキスト固有の規則の追加

しかし、そもそも静的解析ツールの使用を避けるための言い訳としてよく使われます。静的解析は次のような方法として非常に役立つ場合があるため、残念です。

• 若手開発者へのより良いアプローチを強調
• 明確なコーディング違反に関するフィードバックを迅速に取得
• プログラマーがこれまでに遭遇したことのない不明瞭な問題を特定する
• プログラマーが優れたコーディング手法を採用していることを強調する (違反が報告されていない場合)

IDE ベースの静的解析ツール

プロジェクトへの個人寄稿者として、コードに関するフィードバックを迅速に受け取ることができるように、IDE 内から実行される静的分析ツールを使用するのが好きです。

これにより、プルリクエストレビュープロセスや、プロジェクトが持つ可能性のあるCI統合が補完されます。

私は、自分に優位性を与え、個々のワークフローを改善してくれるツールを見つけるようにしています。

ツールを IDE で実行する場合、基本的な GUI と構成アプローチは同じである傾向があるため、同じように表示したくなることがあります。

ツールには重複する機能やルールセットがある場合がありますが、その利点を最大限に活用するために複数のツールをインストールしています。

コーディング時に私が積極的に使用している静的解析IDEツールは以下のとおりです。

• 組み込みの IntelliJ インスペクション-一般的なコーディングパターン
• スポットバグ-よくあるエラー
• SonarLint-一般的な使用パターン
• チェックスタイル-一般的なスタイルパターン
• セキュア・コード・ウォリアーの先生-カスタムルール作成

私はそれらをすべて使用しています。なぜなら、それらは互いに補完し合ってうまく連携するからです。

IntelliJ インスペクション

IntelliJを使用している場合は、すでにそのインスペクションを使用していることになります。

これらは IDE でフラグが付けられた静的分析ルールです。その中には、問題に対処するためにコードを書き換える QuickFix オプションがあるものもあります。

ルールはオンとオフを設定でき、IDE で強調表示するエラーレベルも選択できます。

IntelliJの優れたインスペクションはたくさんあります。私はこれを書いている間にそれらに目を通したので、それを知っています。私は IntelliJ インスペクションをデフォルトとして使用していますが、まだ設定していませんが、インスペクションを最大限に活用するには、インスペクションに目を通し、自分のコーディングスタイルに関連するインスペクションを特定し、コード内で気付くように警告レベルを設定する必要があります。

IntelliJのインスペクションの素晴らしいところは、IDEに無料で付属していることと、次のような筋肉の記憶を構築するのに役立つことです。

• コードを書いているときにソース内の警告やエラーに気づく
• フラグの付いたコードにカーソルを合わせると、ルール違反がわかります
• Alt+Enter キーを使用して問題のクイックフィックスを適用する

スポットバグ

ザの スポットバグ IntelliJプラグインは、静的解析を使用してコードのバグを警告します。

SpotBugs は IntelliJ 環境設定からコードをスキャンするように設定できます。実際に使用されるルールは Detector タブにあります。

私はコードを書いてレビューした後にSpotBugsを使う傾向があり、その後「テストソースを含むプロジェクトファイルの分析」を実行します。

これは、バグ、デッドコード、明らかな最適化を特定するのに役立ちます。また、何をすべきかを判断するために、フラグが立てられた違反のいくつかを調査する必要もあります。

SpotBugs は問題を検出しますが、問題を解決するためのクイックフィックスアクションは提供しません。

SpotBugs は設定が簡単で、IDE で参考にする客観的なセカンドオピニオンとして役に立つと思います。

ソナーリント

ザの ソナーリント プラグイン。

SonarLintは、IntelliJの環境設定から設定して、コードの検証対象となるルールを選択できます。

デフォルトでは、SonarLint はリアルタイムで実行され、編集中の現在のコードの問題を表示します。

SonarLintは迅速な解決策を提供していませんが、違反報告に関連する文書は通常明確で十分に文書化されています。

SonarLint は、これまで Java の新しいバージョンで認識していた新しい Java 機能について警告してくれるので便利でした。

チェックスタイル

ザの チェックスタイル プラグインは、フォーマットとコード品質ルールを組み合わせて提供しています。

CheckStyleプラグインには、「サンチェック」と「Googleチェック」がバンドルされています。

これらの定義は簡単にできます オンラインで見つかりました。

CheckStyleは、プロジェクトが時間をかけて独自のルールセットを作成した場合に最大の価値をもたらします。そうすれば、IDE プラグインがそのルールセットを使用するように設定でき、プログラマーはコードを CI にコミットする前にスキャンを実行できます。

CheckStyle は、CheckStyle 違反の数がしきい値を超えた場合に CI プロセスのビルド失敗プラグインとしてよく使用されます。

先生

先生 コードの照合とクイックフィックスの作成に抽象構文木 (AST) に基づく静的解析を使用します。これにより、問題のあるコードを非常に具体的に特定できます。

ASTを使用すると、レシピに関連するQuickFixが周囲のコードを理解できます。たとえば、コードに新しいクラスを追加する場合、そのクラスのインポートはソースファイルに一度だけ追加され、置換のたびに追加されることはありません。

Senseiは、他のツールには存在しない場合や設定が難しいカスタムマッチングルールを簡単に構築できるようにするために作成されました。

設定ファイルを修正する代わりに、すべての設定を GUI で実行できます。新しいレシピを作成する場合、GUI ではレシピがどのコードと一致するかを簡単に確認できます。また、QuickFixを定義すると、コードの前と後の状態をすぐに比較できます。これにより、チームやテクノロジー、さらには個々のプログラマーに固有のレシピなど、非常にコンテクストに即したレシピを簡単に作成できます。

私はSenseiを他の静的解析ツールと組み合わせて使用しています。たとえば、ほとんどの静的解析ツールは問題を検出しますが、修正はしません。Senseiの一般的な使用例は、他のツールの一致検索をSenseiで複製し、クイックフィックスで拡張することです。これには、適用されたカスタムフィックスがプロジェクトのコーディング標準をすでに満たしているという利点があります。

Intensionレポートが作成したコンテキストと完全に一致しないか、IntelliJが提供するQuickFixが使用したいコードパターンと一致しないことが原因で、IntelliJのIntensionsセットにすでに存在するSenseiレシピを定期的に作成しています。

既存のツールを完全に置き換えようとするのではなく、既存のツールを補強します。

Senseiは、共通ルールのコンテキストバリアントを特定する場合にも非常に役立ちます。たとえば、Static AnalysisツールでサポートされていないSQLライブラリを使用しているが、Static Analysisエンジンの共通SQLルールが引き続き適用される場合は、Senseiを使用してそれらのルールのライブラリ固有のバリアントを作成できます。

Senseiは、前述の静的分析ツールのように一般的なレシピをすぐに提供しているわけではありません。その強みは、特定のコーディングスタイルやユースケースに合わせて構成されたQuickFixを使用して、新しいレシピを簡単に作成できることです。

注:現在、一般的なユースケースに対応するために、レシピの公開リポジトリを作成中です。 ここで見つけることができます。

サマリー

私は、連携して動作し、設定可能で、特定のコンテキストに合わせて簡単に拡張できるツールを選ぶ傾向があります。問題を特定したり、使用しているプログラミング言語やライブラリについて理解を深めたりするために、IDE の静的解析ツールを長年使用してきました。

上記のすべてのツールを組み合わせて使用します。

• IntelliJ Intentionsは、よくあるコードの問題をすぐに報告するのに役立ちます。多くの場合、関連するクイックフィックスを使います。
• SpotBugs は見逃したかもしれない単純なバグを見つけて、パフォーマンスの問題を知らせてくれます。
• SonarLint は、私が気付いていなかった Java の機能を特定し、コードをモデル化する他の方法を教えてくれます。
• CheckStyleは、CI中にも適用される合意されたコーディングスタイルに準拠するのに役立ちます。
• Senseiは、静的分析ツールで見られる一般的なシナリオを補強したり、別のツールでは構成が難しい特定のプロジェクトやテクノロジーレシピを作成したりするためのクイックフィックスの作成を手伝ってくれます。

---

「環境設定\ プラグイン」(Mac) または「設定\ プラグイン」(Windows) を使用してIntelliJ内からSenseiをインストールし、「senseiセキュアコード」を検索してください。

一般的なユースケースのサンプルコードとレシピのリポジトリは、Secure Code Warrior GitHub アカウントの「sensei-blog-examples」プロジェクトにあります。

https://github.com/securecodewarrior/sensei-blog-examples

先生についてもっと知る

改善组织安全态势的一个可靠方法是让开发人员掌握安全编码的最佳实践，并在一个包含基线和基准的框架内提供开发人员所需的特定学习途径。然而，安全编码不是一次性就能解决的问题，它必须成为一种生活方式，融入组织的基因。开发人员不仅要向左转，或从左开始，而且要一直向左转。 

仅仅提供培训是不够的。企业需要确认开发人员是否完全吸收了培训内容，并在软件开发生命周期（SDLC）的初期就遵循最佳实践，将其作为日常工作的一部分。您需要跟踪开发人员的绩效，并根据内部标准和行业基准衡量他们的进步，从而有效衡量投资培训的投资回报率。

Secure Code Warrior信任分值"可提供单个开发人员绩效的可见性，并将数据汇总以提供组织整体绩效的assessment 。它可以显示提高技能计划的有效性，同时确定需要改进的领域。此外，它还有助于确保符合一系列监管合规要求，无论是《通用数据保护条例》（GDPR）、《支付卡行业数据安全标准》（PCI DSS）、《加利福尼亚州消费者隐私法案》（CCPA）还是其他要求。

我们的研究表明，安全代码培训是有效的。信任分数》采用一种算法，从 600 多个组织的 25 万多名学员的工作中提取了 2 000 多万个学习数据点，揭示了该算法在减少漏洞方面的有效性，以及如何使这一举措更加有效。

如果开发人员接受培训，培训就能提高安全性 

多年来，在软件开发流程（SDLC）的开始阶段使用安全最佳实践在软件行业似乎只是一种愿望--有朝一日能实现就好了，但并不是当前的首要任务。但是，随着软件开发速度的不断加快，以及复杂而具有破坏性的网络威胁（通常建立在针对软件漏洞的基础上）步伐的加快，安全编码变得至关重要。网络安全和基础设施安全局(CISA) 通过其 "安全设计"计划将安全代码放在最重要的位置，该计划正在发展成为一项国际运动。 

我们的研究证明了这一点--"按设计确保安全 "方法与减少软件漏洞之间的相关性是显而易见的。我们分析了 SCW 26% 客户群的漏洞减少数据，发现开发人员培训导致软件漏洞减少了 22% 到 84%。这一范围是由各种变量造成的，如相关公司的规模（规模较小、开发人员相对较少的公司产生的结果范围更大），以及学习小组是否专注于某个特定问题，在这种情况下，他们消除的漏洞比例更高。

大公司的结果相当一致。拥有 7,000 名或更多开发人员的公司预计，由于开发人员提高了安全技能，漏洞将减少 47% 至 53%。例如，据统计，一家拥有 10,000 多名开发人员的平均水平公司（既不是平台上的佼佼者，也不是基准最高的公司）的漏洞减少了 53%。 

当然，最有效的培训并不是笼统的、一刀切的方法。培训应根据开发人员的工作环境和开发类型量身定制。

公司应首先确定开发人员必须掌握的基本技能，使他们能够像编写代码一样自然地编写安全代码。提高技能计划应包括在真实世界场景中进行的实践性敏捷培训，这些场景应与开发人员的工作类型和使用的语言相匹配。此外，培训还应该足够灵活，以便将培训课程与他们的工作时间安排相匹配。 

对于开发人员来说，技能组合涉及的不仅仅是编写代码。他们需要能够检查人工智能助手和第三方（如开源软件库）创建的软件。开发人员热衷于使用生成式人工智能模型，他们普遍称赞这种模型能帮助他们更快地创建更多代码。然而，尽管在Snyk的一项调查中，76% 的受访者表示人工智能生成的代码比人类生成的代码更安全，但仍有 56.4% 的受访者表示人工智能有时或经常会引入错误。同一调查还发现，80% 的开发人员跳过了应用人工智能代码安全策略，这表明人工智能代码中的代码问题并未得到解决。

在 "按设计确保安全 "方法中，开发人员将与安全团队合作，而不是与他们分开，在 SDLC 的早期阶段解决这些问题，在代码投入生产之前发现并修复缺陷。

信任分数衡量个人和企业绩效

此外，持续培训也至关重要。公司需要采用一种安全第一的文化，这种文化适用于从公司最高层到下级的所有地方。这种文化应注重持续改进，并在整个 SDLC 中应用最佳安全实践。技术和网络罪犯不会停止发展，网络安全也不应该停止发展。对于生产软件的企业来说，经过安全培训的开发人员是基础。

这就是为什么证明培训已经有效地开展起来与培训本身同样重要的原因。Trust Score 不仅能提供开发人员个人和组织整体绩效的可见性，还能让组织深入了解绩效数据，关注特定语言、开发人员团队或软件类别。来自个人和综合绩效结果的数据还有助于确定需要改进培训的领域--例如，如果培训没有对开发人员的日常绩效产生预期效果。

Trust Score 使企业能够评估开发人员的绩效，并确认他们是否已经掌握并正在使用必要的安全技能，从而确保他们获得编码许可。它使企业能够放心地让合格的开发人员访问其最敏感的数据和关键软件项目，同时拒绝让那些尚未准备好的工具开发人员访问。

不断变化的安全文化的证明

网络安全不再仅仅是一个安全问题。它是一个商业问题，影响着许多组织最宝贵的资产--数据的完整性。严重的漏洞会影响组织的运营、声誉，甚至可能影响其生存能力。监管机构并没有忽视网络安全的重要性，它们一直在实施越来越严格的法规，并愿意对 CISO 以及其他可能的高层管理人员提起诉讼，甚至提出刑事指控，如Uber和SolarWinds 的案例。 

在当今的环境中，采用全企业范围的安全文化至关重要。由于公司的价值主要体现在数据、应用程序和服务上，因此安全编码是这种文化的核心要素。作为文化思想的一部分，有针对性的培训和技能提升，再加上证明培训有助于改变文化的证据，可以让企业走上加强安全态势的道路。 

开发人员驱动的安全计划是有价值的。信任分数就是最好的证明。