Czy złe praktyki deweloperskie staną się kolejną katastrofą bezpieczeństwa w branży technologicznej?

Mówi się, że najsłabszym ogniwem bezpieczeństwa IT są ludzie. Czynnik ludzki, bardziej ufny niż komputer i mniej skłonny do przestrzegania zasad pod presją, jest często pomijany w procesie zapewniania bezpieczeństwa.

Tradycyjnie do błędów ludzkich podchodzono nonszalancko. Wiemy, że powodują problemy, ale nigdy w pełni ich nie rozwiązujemy, często koncentrując się na obszarach takich jak narzędzia zamiast opracowywać solidne ramy bezpieczeństwa dla ludzi. Jednak wraz z tym, jak rozwija się tworzenie oprogramowania, ewoluują również zagrożenia wymierzone w ten obszar, a uchybienia w tym zakresie mogą osłabić nawet najbardziej zaawansowane środki bezpieczeństwa.

Niewłaściwe praktyki programistyczne stają się istotnym problemem dla bezpieczeństwa organizacji, a postęp technologiczny nie jest w stanie go złagodzić. Algorytmy szyfrowania, automatyczne zarządzanie poprawkami i skanowanie pod kątem luk w zabezpieczeniach są przydatnymi elementami ochrony stosu technologicznego, ale znaleźliśmy się w epoce beztroski w zakresie wyposażania naszych programistów w odpowiednie środki, a wynikające z tego niewłaściwe praktyki narażają zgodność z przepisami.

Co prowadzi do niewłaściwych praktyk programistycznych?

Programiści, historycznie działający pod presją czasu, mają na swoich barkach coraz więcej obowiązków. Dysponują szerokim arsenałem narzędzi, co pozwala im szybciej uzyskiwać rezultaty. Częstsze wdrażanie i aktualizacje oprogramowania zmieniły oczekiwania klientów i użytkowników, a ich spełnienie spoczywa w dużej mierze na programistach — którzy muszą szybko wprowadzać nowe rozwiązania. Z punktu widzenia bezpieczeństwa jest to przepis na katastrofę. 

Szybkie żądania wdrożeń i rosnący nacisk na ciągłą integrację oraz ciągłe dostarczanie (CI/CD) sprawiają, że programiści nadmiernie ufają mechanizmom automatyzacji w swoich potokach CI/CD, narażając się na zagrożenia bezpieczeństwa i naruszenia. Metodyka zwinna, tak popularna w środowisku programistycznym, zachęca programistów do nadawania priorytetu szybkości i wydajności, co z kolei prowadzi do naturalnego odsuwania na dalszy plan środków bezpieczeństwa. Teoretycznie mechanizmy automatyzacji w CI/CD powinny zapewniać kontrole bezpieczeństwa, ale programiści, którym brakuje czasu, nie mają możliwości regularnego przeprowadzania ich audytów i utrzymywania ich w dobrym stanie.

Kolejnym czynnikiem przyczyniającym się do niewłaściwych praktyk programistycznych jest złożoność dzisiejszych środowisk oprogramowania. Z czasem programiści często zyskują niepotrzebne uprawnienia administratora i muszą zarządzać architekturami firm trzecich oraz złożonymi zależnościami. Kluczem do sukcesu organizacji jest zgodność z przepisami, jednak wielu programistów ma podwyższone uprawnienia na potrzeby wdrożeń. 

Praktyka ta ujawnia całą gamę problemów, ponieważ przyznaje każdemu, kto ma uprawnienia administratora, możliwość dokonywania nieautoryzowanych zmian, utrudniając audyty i działania związane ze zgodnością oraz tworząc dodatkowe obciążenie dla programistów, którzy muszą ustalać charakter tych zmian. Co bardziej niepokojące, praktyka ta naraża środowiska programistyczne na naruszenia bezpieczeństwa, jeśli osoba atakująca uzyska dostęp do konta z rozszerzonymi uprawnieniami administratora. 

Tworzenie oprogramowania już samo w sobie jest złożonym obszarem, a wraz z rozwojem technologii zmieniały się również to środowisko i strategie biznesowe. Gdy firmy z listy Global 2000 konsolidują swoją działalność wokół kompleksowych, zintegrowanych platform, takich jak Pega, ServiceNow, SalesForce i inne, rodzaj aplikacji, które trzeba tworzyć i obsługiwać, różni się od tradycyjnych aplikacji opracowywanych z użyciem pro-kodu. 

Ponadto należy dostosować uprawnienia, potoki dostarczania oraz praktyki programistyczne, takie jak metodyka zwinna i ciągłe dostarczanie, które są częścią DevOps. W obliczu tego trendu związanego z platformami nawet najbardziej doświadczeni programiści i administratorzy mogą nieumyślnie wprowadzać zagrożenia bezpieczeństwa.

Jak pojedyncza linia kodu może sparaliżować działalność

Bezpieczeństwo jest nieustannym źródłem problemów dla organizacji, a technologia umożliwiła pojawianie się zagrożeń z dowolnego miejsca. Udany atak może spowodować niezliczone problemy, zarówno finansowe, jak i prawne, oraz szybko zahamować innowacje.

Jednym z najważniejszych obszarów podatnych na zagrożenia jest etap programowania, obejmujący ataki takie jak:

• Wstrzyknięcia SQL polegają na wstrzyknięciu przez osobę atakującą kodu, który może zniszczyć rekordy lub schematy bazy danych. Techniki te służą do usuwania, kradzieży lub zmiany poufnych danych w organizacjach i należą do najczęściej stosowanych technik hakerskich. Niedawno etyczni hakerzy zademonstrowali możliwość ominięcia kontroli TSA za pomocą wstrzyknięć SQL. 
• Skrypty między witrynami (XSS) są wymierzone w zaufane aplikacje lub strony internetowe, co oznacza, że szkody dla reputacji mogą być poważne. Ataki polegają na dodaniu złośliwych skryptów do witryny firmy, które następnie wykonują się po załadowaniu witryny przez użytkownika. Zwykle skrypt jest dołączony na końcu adresu URL i ofiarę zachęca się do jego kliknięcia, ale może też mieć bardziej złożoną postać ataku polegającego na wstrzyknięciu kodu do kodu firmy.
• Przepełnienia bufora występują, gdy program próbuje wprowadzić do bufora więcej danych, niż jest on w stanie pomieścić. Ponieważ nie ma dokąd się udać, nadmiarowe dane przelewają się do pamięci, stwarzając ryzyko uszkodzenia lub nadpisania kluczowych informacji w tym obszarze. Ten błąd w kodzie oprogramowania pozwala hakerom wykorzystywać luki w zabezpieczeniach, kraść lub zmieniać dane oraz uzyskiwać dostęp do poufnych informacji klientów lub firmy.

Te rodzaje ataków są coraz popularniejsze, a tym samym są dobrze rozumiane przez programistów. Można im w dużej mierze zapobiegać poprzez przestrzeganie bezpiecznych praktyk programistycznych, ciągłe testowanie i ciągłe monitorowanie. Mimo to organizacje nie mogą popadać w samozadowolenie i muszą regularnie sprawdzać aktualność swoich wytycznych dotyczących programowania oraz edukować programistów w zakresie unikania nowszych form hakowania.

10 Najlepsze narzędzia do ciągłego testowania!

1. 1. Datadog — Najlepsze bezkodowe oprogramowanie do ciągłego testowania
2. 2. Functionize — Najlepiej sprawdza się w testowaniu agentowego cyklu SDLC z przekazywaniem zadań agentom kodującym
3. 3. Testsigma — Najlepszy wybór do uzyskiwania informacji o wydaniach produkcyjnych wspomaganych przez AI
4. 4. TestComplete — Najlepszy do automatycznego testowania interfejsu użytkownika w aplikacjach desktopowych i internetowych
5. 5. Digital.ai Continuous Testing — Najlepsze rozwiązanie do testowania zabezpieczonych i gotowych do wdrożenia aplikacji mobilnych
6. 6. Applitools — Najlepsze rozwiązanie do regresji między przeglądarkami opartej na wizualnej sztucznej inteligencji
7. 7. OpenText Functional Testing — Najlepsze rozwiązanie do automatyzacji testów SAP, Oracle i systemów centralnych
8. 8. testRigor — Najlepsze do tworzenia testów w języku naturalnym w CI/CD
9. 9. Mabl — Najlepsze do analizy błędów testów z wykorzystaniem natywnej sztucznej inteligencji
10. 10. QA Wolf — Najlepsze rozwiązanie do całodobowego monitorowania błędów przez ludzi

Ponadto większe uzależnienie od komponentów o otwartym kodzie źródłowym, bibliotek innych firm i generowania kodu wspomaganego przez sztuczną inteligencję może prowadzić do niezamierzonego stosowania przez programistów niebezpiecznych praktyk programistycznych. Programiści mają mało czasu i integrują te komponenty, aby przyspieszyć realizację zadań. W związku z tym możemy spodziewać się większego narażenia na zagrożenia bezpieczeństwa i wykorzystanie luk, ponieważ programiści ufają komponentom o otwartym kodzie źródłowym, bibliotekom i sztucznej inteligencji bez dokładnego sprawdzenia ich wiarygodności. 

W związku z tym istnieje wiele narzędzi automatyzujących ten proces weryfikacji, ale być może nadszedł czas, aby rozpocząć weryfikację tożsamości i autentyczności twórców komponentów o otwartym kodzie źródłowym w celu zmniejszenia ryzyka ze strony szkodliwych podmiotów wspieranych przez państwa. Pojedyncza linia niebezpiecznego kodu w bibliotece może narazić całą aplikację na ryzyko, powodując utratę niezliczonych godzin i zasobów oraz narażając organizację, państwo i społeczeństwo na luki w zabezpieczeniach. Mimo ogromnych postępów sztucznej inteligencji w tworzeniu kodu kod wygenerowany przez AI musi przejść przez ustalone procedury, praktyki i protokoły przed wdrożeniem produkcyjnym.

Ciągła edukacja i podnoszenie kwalifikacji mają kluczowe znaczenie dla utrzymania bezpieczeństwa

Podobnie jak w przypadku każdej technologii lub dziedziny, regularna edukacja ma kluczowe znaczenie, a od programistów często oczekuje się podnoszenia poziomu wykształcenia i doskonalenia umiejętności we własnym czasie. Organizacje, które chcą powstrzymać programistów i administratorów systemów przed stosowaniem niewłaściwych praktyk bezpieczeństwa, muszą inwestować w szkolenia, zamiast wymagać od zespołów IT samodzielnego uzupełniania braków w swoich rozwiązaniach bezpieczeństwa. Luki w wiedzy mają rzeczywisty i istotny wpływ na bezpieczeństwo organizacji, a bez ich wyeliminowania programiści mogą nie być na bieżąco ze zrozumieniem konsekwencji dla bezpieczeństwa wynikających z ich codziennych działań. 

Ponieważ praktyki programistyczne mogą prowadzić do zagrożeń bezpieczeństwa, organizacje muszą również przyjąć całościowe podejście do swoich platform. Na przykład Salesforce i ServiceNow odgrywają kluczową rolę w umożliwianiu nietradycyjnym programistom tworzenia, dostarczania i wdrażania rozwiązań, ale czy ich rola w zapewnianiu bezpieczeństwa jest w pełni zrozumiana? Organizacje muszą nauczyć się utrzymywać bezpieczeństwo podczas korzystania z tych platform i nie pomijać ich potencjału jako otwartego okna dla ataków i naruszeń bezpieczeństwa.

Pokonaj wyzwania związane z bezpieczeństwem, aby wspierać programistów

Aby zapobiec temu, by niewłaściwe praktyki programistyczne stały się kolejnym polem walki o bezpieczeństwo, konieczne jest wieloaspektowe podejście. 

Po pierwsze, organizacje muszą rozwijać kulturę, w której bezpieczeństwo jest priorytetem, i zadbać o jej zakorzenienie w procesie tworzenia oprogramowania. Może to obejmować zautomatyzowane środki kontroli jakości i bezpieczeństwa, w tym wbudowane kontrole jakości, bramki zatwierdzania oraz narzędzia do ciągłego testowania, dzięki którym każde wdrożenie spełnia standardy zgodności organizacji. 

Organizacje powinny również stosować zasadę najmniejszych uprawnień, zapewniając programistom dostęp wyłącznie do wdrożeń i struktur kodu, których potrzebują, zamiast dopuszczać do powszechnego rozrostu uprawnień administratora. Niezależnie od tego, z jakiej platformy lub usługi organizacja korzysta podczas wdrażania, ważne jest wykorzystanie zautomatyzowanych ścieżek i ciągłego monitorowania, które oferują te rozwiązania, aby identyfikować problemy, zanim staną się krytyczne.

Po drugie, organizacje muszą inwestować w szerszą edukację swoich programistów, zamiast pozostawiać ich samym sobie w starciu z coraz bardziej wyrafinowanymi atakującymi i zagrożeniami bezpieczeństwa. Niezwykle ważne jest, aby programiści na wszystkich poziomach, zwłaszcza programiści obywatelscy, mieli wiedzę pozwalającą identyfikować nietypowe wzorce i przezwyciężać zagrożenia bezpieczeństwa. Forma tych działań będzie różnić się w zależności od organizacji, ale muszą one być regularne, zgodne z wymaganiami i testowane, aby zwiększać świadomość bezpieczeństwa wśród programistów.

Wreszcie organizacje, które chcą wyposażyć swoich programistów w narzędzia do walki o lepsze bezpieczeństwo, powinny korzystać wyłącznie z rozwiązań wspierających bezpieczne praktyki programistyczne. Obejmuje to narzędzia do analizy kodu, zautomatyzowane procesy zarządzania zależnościami oraz systemy zarządzania konfiguracją (CMS) służące do egzekwowania wyższych standardów bezpieczeństwa. Wykorzystanie tych narzędzi zapewnia większą spójność, zgodność i możliwość śledzenia zmian we wdrożeniach organizacji, pomagając utrzymać kulturę, w której bezpieczeństwo jest priorytetem.

Jeśli jednak praca jest zlecana na zewnątrz, budowanie kultury, w której bezpieczeństwo jest priorytetem, często może rozpocząć się od współpracy z firmą zajmującą się tworzeniem oprogramowania w modelu nearshoringu lub firmą zajmującą się tworzeniem niestandardowego oprogramowania.

Odwróć losy kolejnego punktu zapalnego w dziedzinie bezpieczeństwa

Niewłaściwe praktyki programistyczne mogą stać się kolejnym poważnym problemem bezpieczeństwa w tworzeniu oprogramowania, ale nie musi tak być. Choć prawdą jest, że atakujący i operacje hakerskie stają się coraz bardziej wyrafinowane, mamy możliwość odwrócenia tego trendu oraz poszerzenia wiedzy i zasobów, do których mają dostęp programiści. Dzięki temu ludzie mogą uniknąć stania się najsłabszym ogniwem i współpracować z technologią, aby wzmocnić bezpieczeństwo organizacji. Wdrażając już dziś podejście do bezpiecznego tworzenia oprogramowania, sprawimy, że poziom bezpieczeństwa oprogramowania jutra będzie wyższy.

Zapisz się do newslettera The CTO Club, aby poznać więcej najlepszych praktyk programistycznych.