English for Security Champion Programs

Програми чемпіонів безпеки вбудовують експертизу безпеки безпосередньо в команди розробників, перекриваючи розрив між професіоналами з безпеки і інженерами, які пишуть код щодня. Якщо ви працюєте у одній з цих програм або разом з нею, вам потрібна певна англійська лексика для обговорення загроз, перегляду коду, сортування вразливостей і просування культури безпеки без звучання тривожним або нечітким. Цей посібник надає вам мову, яка дозволить вам зробити саме це.

Ключовий словник

** Чемпіон з безпеки ** — розробник у команді продукту, який бере на себе відповідальність за підвищення обізнаності з безпеки і сприяння практики безпеки у цій команді. “Наш менеджер з безпеки координує роботу з командою AppSec і проводить щомісячні семінари з безпечного програмування для команди.”

** Моделювання загроз ** — структурований процес для ідентифікації, кількісного визначення і розв’ язання загроз безпеки для системи. “Перед тем как завершить архитектуру, давайте проведем сеанс моделирования угроз, чтобы определить основные векторы атаки.”

** Поверхня атаки ** — сума всіх потенційних точок входу, з яких атакуючий може спробувати отримати доступ до системи. “Видалення адміністративної кінцевої точки, що звернена до публіки, значно зменшило площу атаки.”

** Триагуляция уязвимостей ** — процес оцінки і приоритизації уразливостей безпеки на основі їхнього ступеня важкості і можливості використання. “Після запуску сканера, ми отримали 47 результатів. Триаже показує, що три є критичним, решта є середнім або низьким.”

** Безпечний перегляд коду ** — ручний або автоматизований перегляд коду з метою виявлення вразливостей безпеки.

• “Чемпіон безпеки провів перегляд безпечного коду модуля автентифікації перед його об’ єднанням.” *

** DAST / SAST ** — Динамічне тестування безпеки програм (запуск у реальному режимі) і Статичне тестування безпеки програм (запуск у початковому коді). “Наш конвеєр CI включає SAST під час збирання, а DAST запускається проти середовища перевірки щоночі.”

Заборгованість з безпеки — накопичені проблеми з безпекою, які було відкладено і ще не виправлено. “Ми накопичили значний борг по безпеці в старій платіжній службі — нам потрібно запланувати спринт по усуненню.”

** Shift left ** — практика пересування дій з безпеки на початок циклу розробки, замість розгляду їх наприкінці. “Зсув ліворуч означає, що наші розробники виявили вразливості під час перегляду коду, а не після розгортання.”

Складні мови для моделювання загроз

Використовуйте їх у майстернях або на оглядах архітектури.

• «Які межі довіри в цьому дизайні — де дані перетинають з довіреної до недовіреної зони?»
• «Хто є ймовірними загрозами, і які їх можливості та мотивації?»
• Використання моделі STRIDE: де в цьому потоці атакуючий може підробляти ідентичність користувача?
• Яким би був радіус вибуху, якби ця служба була пошкоджена?
• «Давайте пройдемося потоком даних і позначимо будь-які точки, де чутливі дані зберігаються або записуються ненавмисно»

Переклад з англійської мови

• «Я помітив, що вхід користувача тут з’єднаний безпосередньо в запит SQL — це потенційна точка введення»
• «Немає кодування виводу в цьому полі, що могло б відкрити нас для відбитої XSS вразливості»
• «Секрети не повинні бути жорстко кодовані — цей API ключ повинен перейти до менеджера секретів»
• “Повідомлення про помилку показує внутрішні дані стека. Ми повинні повернути загальну помилку клієнту.»
• «Ця кінцева точка не має обмеження швидкості, що може зробити її ціль для наповнення унікальних даних»

Уразливість Triage Phrases

• «Це CVSS 9.1 критично — це віддалено експлуатується без автентифікації. Потрібна екстрена допомога»
• “Це середньо-серйозна виявлення є в компоненті без зовнішнього впливу, тому експлуатабельність низька. Ми заплануємо це для наступного спринту»
• «Ми позначаємо це як хибно позитивний — виявлення стосується бібліотечної функції, яку ми насправді не викликаємо»
• «Ми прийняли ризик з цього низькосерйозного питання до компенсаційного контролю»

Професійні поради

1. Відповідайте за ризик, а не за правила. Замість «це порушує правила», скажіть «це створює ризик захоплення облікового запису, що може вплинути на 50 000 користувачів»
2. ** Уникайте звинувачень у перегляді коду. ** Використовуйте пасивні конструкції: « тут існує потенційна точка введення », а не « ви написали вразливість введення »
3. ** Використовуйте ступінь тяжкості послідовно. ** Визначте, що означають критично, високо, середньо і низько у вашому контексті, і дотримуйтесь цих визначення.
4. Відзначайте виправлення, а не лише відкриття. Культура безпеки покращується, коли команди визнаються за виправлення проблем, а не лише звинувачуються за їх введення.

Практичні вправи

1. Розробник надсилає код, який з’ єднує введення користувача у запит SQL. Напишіть коментар перегляду коду (3- 4 речення), який буде фактичним, не буде звинувачувати, і пояснить ризик.
2. У вашої команди 20 відкритих уразливостей. Напишіть 4- 5 речень, у яких описуєте, як ви б їх сортували, і поясніть логіку приоритизації інженерному менеджеру.
3. Вас просять пояснити « переміщення ліворуч » менеджеру продукту, який не має досвіду у безпеці. Напишіть пояснення з трьох речень простою мовою.

Національні мови: рідна мова для ненаціональних меншин

Бути чемпіоном безпеки вимагає не тільки технічної експертизи, але і здатності чітко формулювати ризики, пропонувати рішення і ефективно співпрацювати з командами розробників. Для не рідних носіїв англійської мови, оволодіння точним словником, використовуваним в обговореннях безпеки, може бути особливо складним. Легко впасти в шаблони, що звучать незграбно або неточно, що може підірвати вашу репутацію і затримати важливі розмови. Однією з найчастіших проблем є визначення ступеня впевненості – перехід від простих відповідей «так» або «ні» до нюансованого опису потенційного впливу. Розглянемо ситуацію під час перегляду коду: розробник може відповісти на коментар « Ця функція може бути уразливою до втручання SQL » простим « Добре ». Хоча це технічно правильно, але це не вирішує проблеми, яку підняв переглядач. Ефективніша відповідь була б визнати вразливість, а також описати * чому * це турбує і які кроки робляться. Фрази на кшталт «Я розумію, що це представляє потенційний ризик через несанітарний вхід користувача», або «Давайте розглянемо, як ми можемо зменшити цю точку введення» демонструють залученість і активне вирішення проблем - навички, необхідні для чемпіона безпеки.

Іншою областю, де тонкі відмінності у формулюванні можуть викликати плутанину, є термінологія, пов’язана з рівнями безпеки і класифікаціями. Концепція «критичного» проти «високого» або «середнього» ризику не завжди можна перекласти безпосередньо, і використання неправильного прикметника може радикально змінити сприйняту невідкладність. Наприклад, сказати «Це велика проблема» може бути інтерпретовано як незначні незручності, а не серйозну загрозу. Використання більш точної мови - “Це представляє собою вразливість високої тяжкості з потенційними ризиками витоку даних” - негайно передає серйозність проблеми і спонукає до більш фокусованої відповіді. Аналогічно, при створенні PR-описів, уникнення надмірно випадкового вимови є ключовим. Замість того, щоб сказати « Виправлено ваду », спробуйте сказати « Впроваджено латку для виправлення помилки переповнення буфера у модулі розпізнавання ». Такий рівень деталізації показує технічне розуміння і підкреслює вашу роль як досвідченого захисника безпечного коду. Це про передачу інформації, а не просто про те, що ви зробили.

І, нарешті, не бійтеся прохання про пояснення. Набагато краще визнати, що ви не до кінця розумієте термін або фразу, ніж ризикувати неправильно її інтерпретувати і, можливо, ескальювати ситуацію. Запитання на кшталт «Чи можете ви розібратися в наслідках цієї конкретної вразливості?» або «Чи можете ви надати приклад того, як це може проявитися в виробництві?» показує інтелектуальну цікавість і прихильність до навчання - якості, які високо цінуються в командах безпеки. Пам’ятайте, ефективне спілкування - це двостороння дорога.

# Example: Using `gvm` (Google Vulnerability Manager) to assess a dependency's vulnerability status
gvm check --severity critical my-project/my-dependency

Ця команда демонструє використання інструменту, такого як gvm (гіпотетичний CLI для управління вразливістю) — поширений сценарій, де використовується точний словник для опису потенційних ризиків і кроків по відновленню. Вивід, ймовірно, буде детально описувати тяжкість, вражені версії і рекомендовані виправлення, всі вони будуть повідомлені ясною і технічною мовою.