時にはセキュリティも…

歴史を見てみると、テクノロジー業界ではセキュリティが長年にわたって懸念されてきたことがわかります。ただし、コードを保護するために独自のプロトコルやガイドに従っている企業は多くありません。

テクノロジー業界ではこんなことは滅多に起こらないと言う人もいるかもしれないが、注意していれば、Uber の最新の問題について聞いたことがあるかもしれない。18 歳の少年は、侵入者が Uber の雇用者に偽の Uber サイトにログインするよう指示するソーシャル エンジニアリングを実行しました。これにより、入力された認証情報がリアルタイムですぐに取得され、本物の Uber サイトにログインするために使用されました。

ハックと学んだ教訓

当時、Uber は MFA を有効にして、ログイン時に従業員がスマートフォンでアラート ボタンを押すよう促すアプリの形式を導入していました。ハッカーがこの保護を回避するために行ったのは、資格情報の入力でした。実際のサイトに複数回アクセスします。従業員は混乱したのか、疲れていたのか、結局ボタンを押した。従業員がボタンを押したとき、ハッカーはすでに侵入していました。

さて、Uber が何もできなかった会社だと想像してください。MFA を使用していても、ハッカーはある程度の損害を与えることができ、創造的にこの会社から何らかの情報を入手したり停止したりすることができました。これが起こる可能性がある場合、コードを保護しないと何が起こるかを想像する必要があります。

コードを保護するにはどうすればよいですか?

あなたが技術コミュニティの一員であれば、スタック オーバーフローでコードと答えを何回探しますか? その場合は、実稼働環境の実際のブランチにコードをコピーして貼り付ける前に、コードをチェックする方法としてこのツールを使用することをお勧めします。このツールはSnykのCode Checkerと呼ばれます。

さて、あなたはおそらくSnyk が私に何をしてくれるだろうかと疑問に思うでしょう。このツールは、あらゆるプラットフォームのコードをチェックするのに役立つだけでなく、現在のリポジトリに問題がある可能性があることについての洞察も提供します。

下の図を見ると、 Snyk が私のGitHubアカウントに接続されていることがわかります。

これにより、どの依存関係が更新されていないのか、何がコードを破損しているのか、何を更新する必要があるのか​​を確認する、複数のタスクを行う余地が生まれます。
下の図を見てください。レポートが表示され、低、中、重大な脆弱性があるものが記載されています。これで、脆弱性を無視するか修正できるようになります。

DevSecOpsとして、私は常に、重大な脆弱性をターゲットにし、スコアカードを見て、これがすぐに修正できるものであるかどうかを判断する必要があると言い続けます。なぜこんなことを言うのでしょうか？なぜなら、ソフトウェア エンジニアに何が起こっているのかを知らせ、現在のスプリントで更新と修正を行う箇所を見つけられるかどうかを確認する必要があるからです。他のチームも同日に修正を決定する予定だ。このツールは、後で決定したり PR を作成したりできるため、あらゆる決定に役立ちます。

この脆弱性を修正をクリックすると、次の内容が表示されます。

上の図では、いくつかの問題があることがわかりますが、これらすべてが何を意味するのか疑問に思うかもしれません。そうですね、あなたが常に疑問に思っているタイプの人であれば、これらの脆弱性のいずれかをクリックすることをお勧めします。この場合、修正が必要な問題の下にある正規表現サービス拒否 (ReDoS) をクリックします。

これにより、扱っている内容の完全なコンテキストが得られます。これが事実でない場合は、[間違いが見つかりましたか?] をクリックすることで、いつでも間違いとして報告できます。このとき、別の画面が表示されるので、詳細を共有する必要があります。

ここで読んでいることがよくわからない場合は、さらに詳しく知るためのオプションがあります。このために、これについて学び始めるための対話型モードが用意されています。次のリンクhttps://learn.snyk.io/lessons/redos/javascript/をクリックしてください。

自信がついたので、PR の作成に進みます。GitHubの内部は次のようになります。

その後、新しい PR と新しいブランチをすべての修正とマージするオプションが表示されます。

マージを選択した場合は、次のように表示されます。

リポジトリで何が変更されたかを知りたい場合は、GitHub内で変更されたファイルを確認する必要があります。

ここでわかるように、最新の状態にするためにいくつかの更新を行う必要がありました。ここで、戻ってSnykのダッシュボードをチェックし、すべてが修正されているかどうかを確認する必要があります。経営陣にレポートを送る必要がある場合は、その人たちをあなたのSnykアカウントに追加し、この種のレポートを共有することをお勧めします。

さらに、これについてさらに詳しく知りたい場合は。提案はこのリンクにありますhttps://learn.snyk.io/。動画コンテンツに興味がある場合は、Youtube チャンネルを探してください。https://www.youtube.com/c/Snyksec。

Snykアンバサダーからのサポートが必要な場合は、お気軽にここで検索してください。https://snyk.io/blog/newest-snyk-ambassadors-mar-2022/

無料でコーディング方法を学びましょう:
次のリンクをクリックしてください: Boot.dev

続きを読む:
Cypress パイプラインの最終テスト| どうすればエンジニアとして就職できますか？| UX開発者| 私はあなたが探しているエンジニアです| iMessage アプリを使用してターミナル経由で複数のメッセージを送信します。

私に連絡して：

リンクトイン| ツイッター| ギットハブ