Codificação segura, por que todos devs precisam conhecer?

Olá! Se você chegou até este artigo, então imagino que tenha um pouco de curiosidade e interesse em saber mais sobre Segurança de Aplicações. Você precisa conhecer um dos seus princípios básicos: a segurança deve ser integrada desde o começo do processo de desenvolvimento. Mas o que isso quer dizer?

Quer dizer que, ao criar um software, você não pode deixar a segurança de lado ou como sendo exclusiva apenas de um time... Você tem que considerar todos os aspectos do seu projeto, como os fluxos de informações, requisitos, funcionalidades, arquitetura, stacks e tecnologias etc. A segurança deve fazer parte de todas essas esferas, e não ser apenas um complemento.

Dessa forma, ao construir uma aplicação, logo na etapa de desenvolvimento, uma das primeiras preocupações que temos como desenvolvedores é em criar o código, compilar e executar a funcionalidade que estamos desejando construir. Muitas vezes, nós desenvolvedores temos a tentação de “fazer gambiarra” e escrever milhares de linhas de código sem seguir nenhuma boa prática de “code clean”. E isso é um problema?

Bom, a Segurança de Aplicações não quer limitar a sua criatividade ou impor regras rígidas no seu processo. Pelo contrário, AppSec quer te orientar e te ajudar a usar a sua criatividade para construir código mais seguro. Como?

Por meio das capacitações em “codificação segura”, que são treinamentos que podem ser realizados por vídeo chamadas ou por plataformas com exercícios prontos em ambientes virtualizados que usam a gamificação para motivar os participantes com pontos. Uma espécie de Duolingo para a resolução de problemas de segurança em um código fictício, mas parecido com casos reais.

A codificação segura é essencial para os desenvolvedores porque atua como um facilitador em vários aspectos, como:

• Shift-left: inserindo segurança no início do ciclo de desenvolvimento
• Conscientização em AppSec
• Resolução de problemas em tempo real
• Agilidade na hora de inserir segurança na esteira
• Colaboração entre times de segurança e de desenvolvimento

Na Conviso, a codificação segura funciona como parte do processo de gestão de vulnerabilidades. Ou seja, na plataforma, quando você identifica uma vulnerabilidade, você recebe uma trilha de exercícios para treinar e aprender como corrigi-la.

Caso tenha ficado curioso, recomendo olhar esta documentação.

Existem outras plataformas que oferecem esse tipo de treinamento, como o Secure Flag, Security Journey, AppSec Engineer e muitas outras!

Ficou curioso em resolver problemas de código inseguro? Acompanhe a hashtag #CodeFighters da conta do Twitter da Conviso, onde publicamos código com vulnerabilidade para desafiar o público geral.

Espero que esse texto tenha te inspirado a iniciar os estudos em AppSec! Até a próxima.