איפשהו במחסנית שלך, יש כלי אבטחה למפתחים עם רישיון שאף אחד לא משתמש בו. הוא עבר את תהליך הרכש. הוא עבר את הפיילוט. CISO חתם. ושישה חודשים לאחר מכן, מפתחים עוקפים את זה, משתיקים את ההתראות, או ממשיכים לעבוד בשקט כפי שתמיד עשו. זו לא בעיית הדרכה או בעיה של תרבות תאימות. זוהי בעיית אימוץ אבטחה בקרב מפתחים, והיא הרבה יותר שכיחה, והרבה יותר צפויה, ממה שרוב מנהיגי האבטחה רוצים להודות.
מה המשמעות האמיתית של אימוץ אבטחה למפתחים
אימוץ אבטחה על ידי מפתחים הוא הפער בין פריסת כלי לבין השימוש בו כפי שתוכנן לשימוש יומיומי, מבלי שמישהו יצטרך לאכוף זאת. סורק שפועל ב-CI שמפתחים לעולם לא פותחים, נפרס ולא מאומץ. ממצא שנזנח מיד מכיוון שעשרת האחרונים היו חיוביים שגויות, נפרס ולא מאומץ. אימוץ אבטחה אמיתי על ידי מפתחים נראה משעמם: מפתחים פותחים את הכלי מרצונם, פועלים לפי מה שהוא אומר להם, ולא מחפשים דרכים לעקוף אותו.
הבחנה זו חשובה משום שמדדי רכש ומדדי אימוץ מודדים דברים שונים לחלוטין. צוות אבטחה יכול לדווח על כיסוי פריסה של 100% בעוד שאימוץ אבטחה על ידי מפתחים קרוב לאפס, ושני המספרים יכולים להיות נכונים בו זמנית.
מדוע תוכנות אבטחה מסורתיות למפתחים לא מצליחות להתרגל
רוב כלי האבטחה למפתחים נכשלים באימוץ מאותן סיבות קומץ, שחוזרות על עצמן כמעט בכל ארגון שניסה לפרוס כלי כזה:
- יותר מדי רעש, פחות מדי אמון. הדרך המהירה ביותר להרוס את אימוץ אבטחת המידע בקרב מפתחים היא שיעור גבוה של תוצאות חיוביות שגויות. לאחר שמפתח רודף אחר שלושה ממצאים שהתבררו כלא היו, הוא מפסיק לסמוך על הרביעי, ומפסיק להסתכל על החמישי.
- זה גר במקום שמפתחים לא גרים בו. A dashboard מפתחים צריכים לזכור לפתוח הוא א dashboard הם ישכחו. תוכנת אבטחה שדורשת עזיבת ה-IDE, החלפת הקשר וחזרה מאוחר יותר מאבדת את הרגע שבו תיקון הוא הזול והקל ביותר לביצוע.
- זה מסמן בעיות בלי להציע פתרונות. ממצא שאומר "הזרקת SQL, שורה 42" מבלי להסביר את נתיב הניצול או להציע תיקון, נותן למפתח שיעורי בית, לא עזרה. זהו מס משמעותי על אימוץ אבטחה על ידי מפתחים, משום שהוא הופך כל ממצא לפרויקט מחקר במקום לפרויקט פתרון.cisיון.
- זה חוסם בניינים בלי להסביר למה. אדום pipeline ללא הקשר, זה נחשב למכשול ולא לאות. מפתחים לומדים לראות את שער האבטחה כמשהו שצריך לעבור, לא כמשהו שצריך להקשיב לו.
- זה בנוי עבור רואה החשבון, לא עבור היזם. כלים שנועדו בעיקר לייצר ראיות תאימות מראים זאת לעתים קרובות: דוחות מפורטים, ממצאים עתירי ז'רגון, ללא ניסיון לדבר בשפת האדם שמצופה בפועל לפעול על פיהם.
מבחן מפתח תוכנת אבטחה: האם הם יפתחו אותו בפעם השנייה?
הנה מסנן שימושי להערכת כל תוכנת אבטחה למפתחים לפני רכישתה: האם מפתח, ללא הנחיה, יפתח אותה שוב מחר? לא בגלל שמדיניות דורשת זאת, אלא בגלל שהיא נתנה להם משהו שימושי אתמול. רוב הכלים שנכשלים באימוץ אבטחה על ידי מפתחים ייכשלו במבחן הזה ביום הראשון, וכולם כבר חשדו בכך עוד לפני חתימה על החוזה.
לכלים שעוברים חולקים כמה תכונות משותפות. הם נמצאים בתוך העורך, לא מאחורי loginהם מסבירים ממצא כפי שמהנדס בכיר היה מסביר בסקירת קוד, ולא כפי שדו"ח תאימות היה מסביר. הם מציעים תיקון ספציפי, לא רק אבחון. ובעיקר, הם צודקים לעתים קרובות מספיק כדי שמפתח לא יצטרך לבדוק שוב כל התראה לפני שיבטח בה.
מה באמת מניע את האימוץ
אימוץ נכון של אבטחת מידע למפתחים אינו עניין של הכשרה טובה יותר או מנדט מחמיר יותר. זה מסתכם במספר קטן של תהליכי עיצוב.cisיונים:
- הכירו מפתחים במקום בו הם כבר עובדים. אבטחה משובצת ב-IDE, ה pull request, ו-CLI נמצא בשימוש. אבטחה הדורשת יעד נפרד לא עושה זאת.
- תסביר, אל תסמן סתם. ממצא בשילוב עם הסבר פשוט של נתיב הניצול הופך התראה מסתורית למשהו שמפתח יכול להסיק לגביו הרהורים ולפעול לפיו באופן מיידי.
- הציעו את הפתרון, לא רק את הבעיה. תיקון אוטומטי שמפתח יכול לבדוק ולקבל תוך שניות מכבד את זמנו באופן שדיווח על באג לעולם לא עושה.
- שמור על יחס אות לרעש גבוה. סינון אגרסיבי של חיובי שגוי אינו דבר נחמד שיש, זהו המנוף המשמעותי ביותר האם אימוץ אבטחה למפתחים ישרוד מעבר לחודש הראשון.
- שמרו בלוקים קשים למה שחשוב באמת. Guardrails שישבור את הבנייה מעל כל מפתחי רכבת בעלי חומרה נמוכה שמוצאים ממורמרים על השער. Guardrails שחוסמים רק בעיות קריטיות באמת וניתנות לתיקון, מאמנים מפתחים לבטוח בהם.
כיצד Xygeni ניגשת לעיצוב תוכנות אבטחה למפתחים
תוסף Xygeni IDE פועל במקום שבו מפתחים כבר נמצאים, בתוך ה-IDE, סורק קוד שנוצר על ידי בני אדם ובינה מלאכותית ברציפות תוך כדי כתיבתו, ללא צורך בהנחיות. כאשר הוא מוצא משהו, הוא מסביר את נתיב הפריצה המלא בשפה פשוטה ומציע תיקון שהמפתח יכול לבדוק וליישם, במקום להשאיר אותם להבין זאת רק באמצעות מזהה CVE.
מיון בינה מלאכותית מפעיל את אותו סינון חיובי כוזב על פני SASTסודות, IaCוממצאי תוכנות זדוניות ברחבי הפלטפורמה, כך שבעיית הרעש שהורגת את אימוץ האבטחה של מפתחים במקומות אחרים מטופלת עוד לפני שממצא מגיע לתור של מפתח. guardrails לאכוף מדיניות ב pipeline ברמה, אך באופן סלקטיבי, תוך חסימה של בעיות קריטיות באמת וניתנות לתיקון במקום להתייחס לכל ממצא כמפריע באותה מידה. הבחנה זו היא מה שמונע ממפתחים ללמוד כיצד לעקוף את השער.
שום דבר מכל זה לא מחליף את המציאות שיזמים הם בדרך כלל מנוף, ולא הקונה הכלכלי, ב... enterprise AppSec decisיון. א CISO חותם על החוזה; סגן נשיא להנדסה אכפת לו אם הכלי יוצר חיכוך עבור הצוות שלו. אבל אימוץ אבטחת מידע למפתחים הוא בדיוק מה שהופך את המנוף הזה למינוף: כלי שמפתחים משתמשים בו בפועל סוגר פגיעויות אמיתיות, וכלי שהם מעבירים סביבו לא סוגר אף אחד, ללא קשר למי שאישר את הזמנת הרכש.
מדידת האימוץ, לא רק הפריסה
אם אתם רוצים לקבל מידע אמין על אימוץ אבטחת מידע על ידי מפתחים בתוך הארגון שלכם, כיסוי פריסה אינו המדד הנכון. איתותים טובים יותר כוללים:
- באיזו תדירות מפתחים פותחים את הכלי מבלי שהתבקשו לעשות זאת.
- איזה שיעור התיקונים המוצעים מתקבלים לעומת נדחים.
- האם זמן התיקון בפועל יורד, לא רק האם הממצאים נרשמים.
- בין אם מפתחים מבקשים את הכלי בפרויקט חדש, או מחכים שיגידו להם להתקין אותו.
ספירת רישיונות מראה לך מה רכשת. מספרים אלה אומרים לך האם אימוץ אבטחה על ידי מפתחים אכן התרחש.
שאלות נפוצות
מה המשמעות של "אימוץ אבטחה על ידי מפתחים"?
זהו הפער בין פריסת כלי אבטחה לבין השימוש בו בפועל כפי שתוכנן, מרצונו החופשי, מדי יום, ללא אכיפה. כיסוי פריסה גבוה ואימוץ אבטחה נמוך על ידי מפתחים יכולים, ולעתים קרובות אכן קיימים, להתקיים יחד.
מדוע מפתחים מתעלמים מכלי אבטחה גם לאחר הכשרה?
אימון לא מתקן כלי שמייצר יותר מדי תוצאות חיוביות שגויות, נמצא מחוץ לתהליך העבודה של המפתח, או מסמן בעיה מבלי להציע תיקון. אלו הן בעיות עיצוב, לא פערי ידע, ושום כמות של אימון לא משנה את החיכוך הבסיסי.
מהו הגורם המשמעותי ביותר באימוץ אבטחה על ידי מפתחים?
בטחו באיתות. ברגע שמפתחים מפסיקים לבטוח שממצא אמיתי, הם מפסיקים לפעול על סמך כולם, כולל אלה שחשובים. סינון אגרסיבי של תוצאות חיוביות כוזבות הוא בדרך כלל הפתרון בעל המינוף הגבוה ביותר הזמין.
במה שונה תוכנת אבטחה למפתחים מכלי AppSec מסורתיים?
תוכנת האבטחה הטובה ביותר למפתחים מתייחסת למפתח כאל המשתמש העיקרי, ולא רק כיעד תאימות: היא פועלת בתוך ה-IDE, מסבירה ממצאים בשפה פשוטה ומציעה תיקונים, במקום להפיק דוח שמישהו אחר יפרש מאוחר יותר.
צריך א CISהאם אכפת לכם מאימוץ אבטחת מידע למפתחים אם הם אלה שקונים את הכלי?
כן, ישירות. כלי עם כיסוי תאימות חזק אך אימוץ אבטחה חלש למפתחים לא באמת מפחית את הסיכון, הוא רק מייצר דוחות. הפחתת הסיכון CISקניית O מתממשת רק אם מפתחים משתמשים בכלי.
