Geliştiricilere güvenli kod yazmayı
kodun kendisiyle öğretin.

İzleyerek değil, yaparak öğrenin.

Güvenlik liderleri bu platformu nasıl değerlendiriyor.

Alıcılar SecureCodingHub'ı tipik olarak nasıl değerlendiriyor

Yapılandırılmış bir değerlendirme yürüten güvenlik mühendisliği liderleri çoğunlukla aynı çerçeveyle gelir: dört ila altı haftalık bir pilot, on beş ile kırk geliştirici arasında bir mühendislik takımı ve SAST veya sızma testi raporlarındaki son bulgularla eşleşen kısa bir zafiyet kategori listesi. Pilot, platformun çalışıp çalışmadığıyla ilgili değildir. Geliştiricilerin platforma katılıp katılmadığı, içeriğin üretim koduyla başa çıkıp çıkmadığı ve ölçüm hikâyesinin bir CISO veya denetçi karşısında savunulabilecek kadar inandırıcı olup olmadığıyla ilgilidir.

Tamamlama yerine doğruluğu ölçmenizi öneririz. Tamamlama oranları zorunlu son tarihlerle kolayca manipüle edilebilir ve bir geliştiricinin kendi servisinde bir injection noktasını tanıyıp tanıyamadığı hakkında çok az şey söyler. 1. Aşama tespitte ilk denemede doğruluk, 2. Aşamada doğru düzeltmeye varma süresiyle birleştiğinde, çeyrek bazında trend takip edebileceğiniz savunulabilir bir sinyal verir. Bu iki metriği geliştirici, konu ve takım/kategori seviyesinde sağlarız.

Pilot sırasında sormaya değer bir diğer soru, dil kapsamının ekibinizin üretimde yazdığı dillerle gerçekten örtüşüp örtüşmediğidir. Kâğıt üzerindeki kapsam, stack'inizin yarısı Python ise ve Python içeriği yüzeyselse pek bir şey ifade etmez. Pilot başlamadan önce takım liderinizle bir içerik inceleme toplantısı yaparız; böylece atanan modüller geliştiricilerinizin kendi repolarından tanıyacağı içeriği yansıtır.

Platformun mevcut SAST ve DAST yanında konumlanışı

SecureCodingHub bir analiz aracı değil, bir eğitim platformudur. SAST, DAST, IAST veya SCA çözümlerinizi değiştirmez. Müşterilerimizin bu uyumu tarif ettiği en net şekil şudur: tarayıcılar geliştiricilere hangi hataları yazdıklarını söyler, SecureCodingHub ise bir sonrakini nasıl yazmayacaklarını öğretir. İki yüzey aynı kelime dağarcığını paylaşır: Semgrep veya Snyk bulgusu bir path traversal noktasını işaretlediğinde, o bulguyu düzelten geliştirici atanmış müfredatındaki path traversal modüllerini çoktan tamamlamış olmalıdır.

Geliştirici güvenlik şampiyonları programı yürüten organizasyonlarda platform şampiyon rolüyle doğal biçimde eşleşir. Şampiyonlar daha derin yolları önce tamamlar, ardından takımları için ilk kod inceleme hattı olarak görev yapar. Onboarding sırasında ayrı bir şampiyon parkuru tanımlayabiliriz; böylece raporlamada belirgin bir kohort olarak görünür.

Platformun bilinçli olarak yapmadıkları

Açıkça belirttiğimiz birkaç husus var. SecureCodingHub bir CTF platformu değildir. Egzersizler yapay bayraklar etrafında değil, üretim kodu desenleri etrafında kurgulanmıştır ve skor tablosu kültürü yoktur. Geliştirici başına satın alınan tek seferlik kursların pazaryeri de değildir. Lisanslama organizasyon veya koltuk seviyesindedir ve katalog, topluluk yüklemelerinden oluşan uzun bir kuyruk yerine tek bir özenle hazırlanmış kütüphanedir. Ve statik analiz yerine geçen bir araç değildir. Değerlendirme kriterleriniz arasında kod tarama yetenekleri varsa, yanlış kategoriye bakıyorsunuzdur ve bunu daha ilk görüşmede söyleriz.

Bunu söylüyoruz çünkü yanlış eşleşme her iki taraf için de maliyetlidir. İlk haftada bitmesi gereken bir tedarikçi değerlendirmesi bir çeyreğe yayıldığında hem sizin hem bizim ekibimizin takvimini boşa harcar. Ürün bilinçli olarak dardır. Tek bir şey yapar — geliştiricilere kendi dillerindeki zafiyet desenlerini tanımayı ve düzeltmeyi öğretir — gerisi stack'inizdeki diğer araçların işidir.