Welcome on board, получается?

CVSS 4.0 прибыло. Уже в предварительной версии, которую показал FIRST все выглядит вкусно!

Во-первых, непонятной time-метрики не будет, зато появятся новые факторы для расчета критичности - требования к атаке (AT) и взаимодействие с пользователем (UI). Еще, будет оценка влияния на ИТ-ландшафт компании.

Звучит круто, а как получится - хто его знает!

В любом случае, следим за обновлениями и ждем апдейтов😉

Ни одно современное общество не может существовать без архитектуры.

Ни одно приложение не сможет существовать долго без безопасной архитектуры... Пару недель назад очень хорошо зашел пост про моделирование угроз. Подумалось, почему бы не превратить его в цикл подборок полезных материалов?
Как минимум, обогащение знаниями, как максимум - получение новых.

Сегодня у нас на повестке одна из самых спорных, на мой взгляд, тем DevSecOps'ового мира - безопасная архитектура. На легендарных DevOps-восьмерках архитектура будет находится сильно рядом с моделированием угроз, еще до начала непосредственной разработки или доработки. И кажется, что такая важная практика (ну самые сливки Shift Left'а, ну) должна быть проработана вдоль и поперек.

Попробуем прояснить:

https://www.security.gov.uk/guidance/secure-by-design/principles/ - общие принципы при проектировании
https://www.cprime.com/resources/blog/security-by-design-7-principles-you-need-to-know/ - тоже общие принципы
https://patchstack.com/articles/security-design-principles-owasp/ - краткое изложение OWASP Security Design
https://cheatsheetseries.owasp.org/cheatsheets/Secure_Product_Design_Cheat_Sheet.html - OWASP'овские рекомендации по части безопасного дизайна
https://about.gitlab.com/handbook/security/architecture/review.html - описание процесса ревью
https://www.opengroup.org/architecture/togaf7-doc/arch/p4/comp/clists/syseng.htm - чеклист проверок
https://access.atis.org/apps/group_public/download.php/55928/cybersec-2020-00066R000.pdf - как работать с рисками во время архитектурного ревью
https://www.linkedin.com/advice/1/how-do-you-handle-security-risks-threats - просто почитать

#presdl

Откуда мы?...

За философским названием спрячется, в общем-то, извечный вопрос: ИТ или ИБ? Задать его можно в разных конфигурациях, например:
Кто сверху?
Кто кого?
Кто у кого?
И так далее. В данный момент применительно к нашему комьюнити - откуда вас занесло в безопасность приложенек?

Я, например, выходец из ИТ, поэтому всегда смотрю на безопасность через призму удобства/бизнеса/UX и т.д. А откуда вы?

P.S. Помимо моего праздного интереса, это поможет лучше узнать, какой формат материала тут нужен. Кроме мемов, конечно. Их не тронем😊

Друзья-товарищи!

Вдруг вам будет скучно в субботу и вы захотите послушать про безопасную разработку?

Приглашаю вас послушать подкаст, в котором будем затирать про DevSecOps:) начнем совсем с основ - что это/куда/зачем, поэтому должно быть хорошо на широкую аудиторию.

P.S. Это вроде первое мое мероприятие такого формата, так что даже интересно, что получится:)

Друзья, приходите! Поболтаем за AppSec😉

Опа, обнаружила, что не делилась с вами интересным документом с описанием аж 60! атак на облачка☁️☁️☁️

По-моему, материал крайне занятный, особенно, если вы уже начали делать хорошее моделирование угроз. Поможет смаппить угрозы, атаки и меры митигации😉

Пользуйтесь на здоровье, как говорится!

#threatmodeling
#guides
#cloudsecurity