Viimati vaadatud 4. novembril 2026 selles postituses lingitud allikate suhtes.
Pull-request näeb korralik välja. Kodeerimisassistent kirjutas suurema osa sellest, testid läbivad ja see lisab teeki, millest keegi meeskonnas pole kuulnud. Ühenda need ja võid saata paketi, mida eelmisel nädalal polnud olemas, või lõpp-punkti, mis jätab juurdepääsukontrolli vahele. See on lünk, mida arendajate turvakoolitus peab täitma. OWASP-i Top 10:2025 seab vigase juurdepääsukontrolli esikohale ja teatab, et... 100%-l testitud rakendustest oli mingisugune ligipääsukontrolli viga.
See nimekiri on mõeldud insenerijuhtidele ja turvaekspertidele. Saate 10 valmiskursust 3 rühmas, kus on kirjas, mida igaüks neist parandab ja kuidas neid kasutusele võtta. Iga rühm lõpeb järgmisega: Meie valikÜks juriidiline punkt kirjeldab USA föderaalreeglit, seega kasutage seda õppekava, mitte otsusena.
Kõik 10 kursust lühidalt
| Kursus | Mida see hõlmab | Pikkus | Seadus selle taga? |
|---|---|---|---|
| Turvaline tehisintellekti abil tarkvaraarendus | Kodeerimisassistendid, agendid ja turvaline tehisintellekti kodeerimisahel | 45 min | Ei |
| Mälukindlad C ja C++ vastavalt CERT ja MISRA standarditele | Eluajad, osutid, levinud vead ja staatiline analüüs | 45 min | Ei |
| Samaaegsuse ohutus | Lõimed, lukud, võidujooksu tingimused ja ummikseis | 40 min | Ei |
| Ettevõtte platvormi arendaja sisseelamine | Esimene turvaline muudatus, laiendused ja muudatuste kontroll | 45 min | Ei |
| Andmete klassifitseerimine ja käitlemine | Andmete tasemed, salvestamine, jagamine ja hävitamine | 25 min | Ei |
| Tehisintellekti turvalisus kõigile | Varjutehisintellekt, kiire süstimine ja tundmatu koodi paketid | 30 min | Ei |
| Turvateadlikkuse põhialused | Rünnaku etapid ja põhiharjumused | 35 min | Jah (USA-s hõlmatud finantsasutused) |
| Andmepüük ja sotsiaalne manipuleerimine | Ohumärgid, kontrollimine ja aruandlus | 30 min | Ei |
| Paroolid, pääsukoodid ja mitmefaktoriline autentimine | Turvalised sisselogimised, MFA, pääsukoodid ja taastamine | 30 min | Ei |
| Sotsiaalne manipuleerimine, pettus ja süvavõltsingud | Telefoni-, makse- ja isikuandmete pettused | 35 min | Ei |
Ainult turvateadlikkuse kursus põhineb USA föderaalsel eeskirjal ja ainult mõnede organisatsioonide puhul: FTC kaitsemeetmete eeskiri ütleb, et hõlmatud finantsasutused peavad esitama turvateadlikkuse koolitus oma töötajateleSee ei sea kurssi kõigile teistele.
Turvaline ja kindel arendus
Turvaline tehisintellektiga toetatud tarkvaraarendus: riskivabad kodeerimisassistendid ja -agendid
See 45-minutiline kursus algab hallutsinatsioonidega paketiga, mis muutub rünnakuks, seejärel käsitletakse kuut viisi, kuidas kodeerimisassistendid ja -agendid ebaõnnestuvad, turvalist tehisintellektiga kodeerimistsüklit (küsi, kontrolli, testi, avalikusta), kliendiandmete halli ala, shelli käske ja testimata pull requeste ning heakskiidetud tööriistu, millel on tehisintellekti kasutamise sildid pull requestidel. See lõpeb 12 küsimusega, mis hõlmab 80% läbimist. „Leia viga” voor sobib hästi ka vastuse valimise slaidina. Ülevaatepoole kohta vaata Meie tehisintellekti loodud koodi ülevaatamise koolituse juhend.
Mälukindlad C ja C++ vastavalt CERT ja MISRA standarditele
Mälu turvalisuse vead on C ja C++ tuntud haavatavuste klass. See 45-minutiline kursus algab ühe eksleva pointeri põhjustatud krahhiga, seejärel käsitleb pinu, kuhja ja eluiga, pointereid ja massiive, levinud vigu, nagu kasutamine pärast vabaks tegemist, kodeerimisreeglite rakendamine praktikas ja staatilise analüüsi ülevaade. Küsimus „nimeta viga” on meeskonna koodiülevaate sessiooni loomulik vastusevalik.
Samaaegsuse ohutus: niidid, lukud ja võidujooksu tingimused
Võidusõidutingimused põhjustavad vigu, mis läbivad kõik testid kuni tootmisversioonini. See 40-minutiline kursus järgib loendurit, mis oli iga kümnenda käivitamise järel vale, seejärel käsitleb see lõime, protsesse ja asünkrooni, lukke, mutexe ja semafore, võidusõidutingimusi ja ummikseisu, mustreid keele järgi ja ülevaatuse kontrollnimekirja. „Vali tööriist“, mutex või semafor, stsenaarium annab tausta-arendajatele kiire ülevaate oma teadmistest.
Ettevõtte platvormi arendaja sisseelamine: teie esimene turvaline üleminek äriplatvormile
Uued arendajad konfigureeritaval äriplatvormil teevad sageli esimese muudatusega vigu. See 45-minutiline kursus hõlmab esimest muudatust reaalajas konfiguratsioonis, platvormi kontseptsioone, aruandeid ja töötlemist, laiendusi ja konfiguratsioonihoidlat, muudatuste haldamist ning üleandmismärkuse kirjutamist. Kasutage seda uue alustaja esimesel nädalal enne, kui ta puutub kokku tarnija objektiga.
Meie valik: turvaline tehisintellektil põhinev tarkvaraarendus. Paljud meeskonnad kasutavad nüüd assistendi kirjutatud koodi ja see kursus annab neile enne koodi ühendamist ühe tsükli, mida nad peavad järgima.
Andmete ja tehisintellekti tööriistade turvalisus
Andmete klassifitseerimine ja käitlemine
Arendajad kopeerivad tootmisandmeid testsüsteemidesse ja jagavad logisid vestluses. See 25-minutiline kursus käsitleb klassifitseerimise põhjuseid, ettevõtte tasemeid, lubatud ja keelatud andmete sildistamist, salvestamist, jagamist ja hävitamist, ohumärke ja eskaleerimist. See lõpeb 10 küsimusega, mis tuleb sooritada 80% ulatuses. „Kus peaks konfidentsiaalseid andmeid säilitama?“ on kiire vastusevalik.
Tehisintellekti turvalisus kõigile: varitehisintellekt, kiire süstimine ja manipuleeritud väljundid
Kiire süstimine ja tundmatu koodi paketid mõjutavad kodeerimisassistente otseselt. See 30-minutiline kursus hõlmab varitehisintellekti ja ohustatud vestlusrobotit, kiiret süstimist ja mürgitatud sisu, peidetud juhiseid PDF-failides ja meilides, tasuta tehisintellekti laiendusi ja tundmatu koodi pakette ning seda, kuidas teatada intsidendist või taotleda heakskiidetud tööriista. Sõnapilv teemal "millised tehisintellekti tööriistad on teie redaktoris täna?" näitab, mida teie poliitika peaks hõlmama.
Meie valik: andmete klassifitseerimine ja käitlemine. Vestlusrobotisse kleebitud pinujälg on andmeleke ja see lühike kursus teeb tasemed enne selle toimumist selgeks.
Konto ja andmepüügi kaitse
Turvateadlikkuse põhialused
Arendajatel on olemas lähtekood, salasõnad ja juurdepääs rünnakukanalile, seega on nende jaoks olulisem baasteadmised. See 35-minutiline kursus hõlmab põhjuseid, miks inimesi sihtmärgiks võetakse, rünnaku anatoomiat, ohumärke, kuidas ennast kaitsta ning kuidas reageerida ja rünnakust teatada, ning sisaldab 12 küsimusest koosnevat lõppkontrolli, mis peab olema sooritatud 80% tulemuse saavutamiseks. Hõlmatud finantsasutuste jaoks on see valmis viis FTC kaitsemeetmete eeskirja turvateadlikkuse koolituse nõude täitmiseks, kuigi eeskiri ise kursust ei nimeta.
Andmepüük ja sotsiaalne manipuleerimine
Arendajaid vargitakse repositooriumi ja pilve sisselogimisandmete saamiseks. See 30-minutiline kursus selgitab, kuidas rünnakuid üles ehitatakse, millised on ohumärgid, kuidas ennast kaitsta ja kuidas rünnakutest teatada. Kursusel on 12 küsimusega lõppkontroll, mille tulemusel tuleb sooritada 80%. Lisage reaalajas esitlusele näide võltsitud koodimajutuse sisselogimislehest. Teie SOC hindab arendajate teatatud sisu: vaata meie SOC-analüütiku koolitusnimekiri.
Paroolid, pääsukoodid ja mitmefaktoriline autentimine töötajatele
Arendajakontod kaitsevad koodi ja protsesse, seega vajavad need tugevat autentimist. See 30-minutiline kursus käsitleb, miks kontod on sihtmärgiks, tugevaid ja unikaalseid sisselogimisi, mitmefaktorilisi ja paroole, võltsitud sisselogimislehti ning jagamise, otseteede ja taastamise halli alasid. Hinnanguskaala küsimusel „kui paljud teie kontodest kasutavad mitmefaktorilist autentimist?“ alustab ausat vestlust.
Sotsiaalne manipuleerimine, pettus ja süvavõltsingud: telefoni-, makse- ja isikuandmete võltsingud
Kellegi teisena esinemise pettused on suunatud inseneridele, kes saavad juurdepääsu või juurutusi kinnitada. See 35-minutiline kursus järgneb veenvale taotlusele, käsitleb taktikat, teadaoleva numbri abil kinnitamist, võltsitud häält ja videot ning seda, miks vanemus ja salastatus on surve, mitte tõend. Stsenaarium „kas annaksite sellele juurdepääsule?“ toimib vastuse valimise vooruna.
Meie valik: paroolid, pääsukoodid ja mitmefaktoriline autentimine töötajatele. Üks varastatud arendaja sisselogimisandmed võivad ulatuda kogu torujuhtmeni ja pääsukoodid on andmepüügile vastupidavad, seega ainuüksi varastatud parool seda enam ei ava.
Kuidas plaani ellu viia
Alusta sealt, kus vigu esineb kõige sagedamini. Kui leitakse rikkis ligipääsukontroll iga rakenduse OWASP-i andmed on testitud, siduge turvalise kodeerimise kursused arvustamisharjumustega, mitte ainult slaididega.
- Uue arendaja esimesel nädalal: turvateadlikkuse põhitõed, paroolid, pääsukoodid ja MFA, andmete klassifitseerimine ning platvormi sisseelamiskursus, kui teie meeskond sellele tugineb.
- Esimese kuu jooksul: turvaline tehisintellekti abil arendamine, tehisintellekti turvalisus kõigile ning mälu turvalisuse või samaaegsuse kursus teie meeskonna kasutatavatele keeltele.
- Igal aastal: iga kursuse kohta kordusviktoriin ja lisaks tehisintellekti kursused iga kord, kui uus assistent või agent heaks kiidetakse.
- Millal see kehtib: Kui olete kaitsealune finantsasutus, hoidke turvateadlikkuse koolitus ajakohasena vastavalt FTC kaitsemeetmete eeskirjale ja küsige oma nõunikult, mis teie riigis või osariigis veel kehtib.
Nende kursuste läbiviimise viisid AhaSlides
Saate ükskõik millise neist ise tempos läbitavaks kursuseks koostada, kasutades AhaSlides kursuse looja, käivitage need reaalajas küsimuste ja vastuste sessioonina või mõlemat, lisades kursusejärgse küsitluse ja 30-päevase kontrolli, et näha, mis on muutunud.
- Vali vastus: Näita kursuselt pärit koodijuppi ja küsi, millist viga see varjab.
- Sõnapilv: küsige „Mida te enne assistendi kirjutatud koodi ühendamist kontrollite?“ ja võrrelge vastuseid turvalise tehisintellekti kodeerimistsükliga.
- Hindamisskaala: Enne ja pärast küsi skaalal 1 kuni 5: „Kui kindel sa oled, et märkad võistlustingimust?“.
- Avatud lõpp: koguda reaalajas seansi lõpus viimasest sprindist anonüümseid peaaegu õnnetusi.
KKK
Millist turvakoolitust arendajad vajavad?
Arendajad vajavad turvalist kodeerimist, sõltuvuste ja salasõnade haldamist ning tehisintellekti kodeerimistööriistade ohutut kasutamist. Ülaltoodud kursused hõlmavad neid elemente ja teadlikkuse põhitõdesid, mida iga töötaja vajab.
Kas tehisintellekti loodud kood on turvaline?
Mitte vaikimisi. See vajab sama ülevaatust, testimist ja skaneerimist nagu iga teine kood ning kontrolli, et iga soovitatud pakett on olemas ja heaks kiidetud.
Mis on mälu turvalisus?
Mälu turvalisus on selliste vigade ennetamine nagu puhvri ületäitumine ja "use after free", mida ründajad ära kasutavad. C ja C++ vajavad selle saavutamiseks reegleid ja staatilist analüüsi.
Kui tihti peaksid arendajad turvalisuse alal ümber õppima?
Kord aastas, lühikeste uuendustega, kui raamistikud, tööriistad või ohud muutuvad.
See postitus on üldine teave, mitte juriidiline nõuanne. Oma töökoha kohta otsuse langetamiseks pidage nõu kvalifitseeritud juristi või regulaatoriga.
