За последнюю неделю сразу две российских ИБ-компании поделились своим виденьем концепции DevSecOps:
Positive Technologies, "Безопасная разработка: какую часть Sec занимает в DevSecOps", https://habr.com/ru/company/pt/blog/595955/
Swordfish Security, "DevSecOps by Swordfish Security", https://habr.com/ru/company/swordfish_security/blog/596817/ и https://habr.com/ru/company/swordfish_security/blog/596961/
Positive Technologies, "Безопасная разработка: какую часть Sec занимает в DevSecOps", https://habr.com/ru/company/pt/blog/595955/
Swordfish Security, "DevSecOps by Swordfish Security", https://habr.com/ru/company/swordfish_security/blog/596817/ и https://habr.com/ru/company/swordfish_security/blog/596961/
Хабр
Безопасная разработка: какую часть Sec занимает в DevSecOps
Всем привет! Меня зовут Тимур Гильмуллин , я руководитель направления по построению процессов безопасной разработки в компании Positive Technologies. Раньше я работал в DevOps-отделе, где инженеры...
Disclosing Shamir’s Secret Sharing vulnerabilities and announcing ZKDocs
Trail of Bits is publicly disclosing two bugs that affect Shamir’s Secret Sharing implementation of Binance’s threshold signature scheme library (tss-lib) and most of its active forks.
https://blog.trailofbits.com/2021/12/21/disclosing-shamirs-secret-sharing-vulnerabilities-and-announcing-zkdocs/
Trail of Bits is publicly disclosing two bugs that affect Shamir’s Secret Sharing implementation of Binance’s threshold signature scheme library (tss-lib) and most of its active forks.
https://blog.trailofbits.com/2021/12/21/disclosing-shamirs-secret-sharing-vulnerabilities-and-announcing-zkdocs/
The Trail of Bits Blog
Disclosing Shamir’s Secret Sharing vulnerabilities and announcing ZKDocs
Trail of Bits is publicly disclosing two bugs that affect Shamir’s Secret Sharing implementation of Binance’s threshold signature scheme library (tss-lib) and most of its active forks. Here is the full list of affected repositories: Binance’s tss-lib Clover…
Tencent Cloud Code Analysis
Tencent Cloud Code Analysis (TCA for short, code-named CodeDog inside the company early) is a code comprehensive analysis platform, which includes three components: server, web and client. It supports the integration of common code analysis tools in the industry. Its main function is to ensure the code quality under agile iterations of multiple engineering projects, and Support the team to inherit the code culture.
https://github.com/Tencent/CodeAnalysis
Tencent Cloud Code Analysis (TCA for short, code-named CodeDog inside the company early) is a code comprehensive analysis platform, which includes three components: server, web and client. It supports the integration of common code analysis tools in the industry. Its main function is to ensure the code quality under agile iterations of multiple engineering projects, and Support the team to inherit the code culture.
https://github.com/Tencent/CodeAnalysis
GitHub
GitHub - Tencent/CodeAnalysis: Static Code Analysis - 静态代码分析
Static Code Analysis - 静态代码分析. Contribute to Tencent/CodeAnalysis development by creating an account on GitHub.
The JNDI Strikes Back – Unauthenticated RCE in H2 Database Console
Very recently, the JFrog security research team has disclosed an issue in the H2 database console which was issued a critical CVE – CVE-2021-42392. This issue has the same root cause as the infamous Log4Shell vulnerability in Apache Log4j (JNDI remote class loading).
https://jfrog.com/blog/the-jndi-strikes-back-unauthenticated-rce-in-h2-database-console/
Very recently, the JFrog security research team has disclosed an issue in the H2 database console which was issued a critical CVE – CVE-2021-42392. This issue has the same root cause as the infamous Log4Shell vulnerability in Apache Log4j (JNDI remote class loading).
https://jfrog.com/blog/the-jndi-strikes-back-unauthenticated-rce-in-h2-database-console/
JFrog
The JNDI Strikes Back - Unauthenticated RCE in H2 Database Console
Critical JNDI-based vulnerability exploiting the same root cause of Log4Shell. Read more from the JFrog Security Research Team describing the attack vector >
WebSpec: Towards Machine-Checked Analysis of Browser Security Mechanisms
The complexity of browsers has steadily increased over the years, driven by the continuous introduction and update of Web platform components, such as novel Web APIs and security mechanisms. Their specifications are manually reviewed by experts to identify potential security issues. However, this process has proved to be error-prone due to the extensiveness of modern browser specifications and the interplay between new and existing Web platform components. To tackle this problem, we developed WebSpec, the first formal security framework for the analysis of browser security mechanisms, which enables both the automatic discovery of logical flaws and the development of machine-checked security proofs.
https://arxiv.org/abs/2201.01649
The complexity of browsers has steadily increased over the years, driven by the continuous introduction and update of Web platform components, such as novel Web APIs and security mechanisms. Their specifications are manually reviewed by experts to identify potential security issues. However, this process has proved to be error-prone due to the extensiveness of modern browser specifications and the interplay between new and existing Web platform components. To tackle this problem, we developed WebSpec, the first formal security framework for the analysis of browser security mechanisms, which enables both the automatic discovery of logical flaws and the development of machine-checked security proofs.
https://arxiv.org/abs/2201.01649
Researchers Find Bugs in Over A Dozen Widely Used URL Parser Libraries
A study of 16 different Uniform Resource Locator (URL) parsing libraries has unearthed inconsistencies and confusions that could be exploited to bypass validations and open the door to a wide range of attack vectors.
https://thehackernews.com/2022/01/researchers-find-bugs-in-over-dozen.html
A study of 16 different Uniform Resource Locator (URL) parsing libraries has unearthed inconsistencies and confusions that could be exploited to bypass validations and open the door to a wide range of attack vectors.
https://thehackernews.com/2022/01/researchers-find-bugs-in-over-dozen.html
Forwarded from Positive Events
Без лишних слов: Positive Hack Days состоится 18–19 мая!
А это значит, что на одной площадке снова соберутся хакеры, звёзды отечественной и зарубежной информационной безопасности, инфлюенсеры, представители бизнеса и госструктур, молодые ученые и журналисты.
И сейчас мы ищем докладчиков!
Выступить на PHDays может каждый — и признанный эксперт, и начинающий специалист. Если у вас есть важный доклад по одной из проблем ИБ, интересный своей актуальностью и новизной, — смело подавайте заявку. Мы рассмотрим все обращения до 1 марта и обязательно ответим до 1 апреля. Ждём ваших докладов: https://cfp.phdays.com/login
Positive Hack Days — это международный форум по практической безопасности, который организует компания Positive Technologies. Среди побывавших у нас хедлайнеров — легендарный криптограф Брюс Шнайер, один из разработчиков USB-эмулятора FaceDancer Трэвис Гудспид, соавтор концепции криптографии с открытым ключом Уитфилд Диффи, Founder & CEO в BINARLY Александр Матроcов.
А это значит, что на одной площадке снова соберутся хакеры, звёзды отечественной и зарубежной информационной безопасности, инфлюенсеры, представители бизнеса и госструктур, молодые ученые и журналисты.
И сейчас мы ищем докладчиков!
Выступить на PHDays может каждый — и признанный эксперт, и начинающий специалист. Если у вас есть важный доклад по одной из проблем ИБ, интересный своей актуальностью и новизной, — смело подавайте заявку. Мы рассмотрим все обращения до 1 марта и обязательно ответим до 1 апреля. Ждём ваших докладов: https://cfp.phdays.com/login
Positive Hack Days — это международный форум по практической безопасности, который организует компания Positive Technologies. Среди побывавших у нас хедлайнеров — легендарный криптограф Брюс Шнайер, один из разработчиков USB-эмулятора FaceDancer Трэвис Гудспид, соавтор концепции криптографии с открытым ключом Уитфилд Диффи, Founder & CEO в BINARLY Александр Матроcов.
Безопасность web3: уязвимости на стыке блокчейна и веб-технологий ✨Арсений Реутов
https://youtu.be/J4tZHDyM7rA
https://youtu.be/J4tZHDyM7rA
YouTube
Безопасность web3: уязвимости на стыке блокчейна и веб-технологий ✨Арсений Реутов
«Безопасность WEB3: уязвимости на стыке блокчейна и веб-технологий»
Спикер: Арсений Реутов
Подробный конспект доклада с полезными ссылками: https://cyberacademy.dev/blog/31-bezopasnost-web3-uyazvimosti-na-styke-blokcheyna-i-veb-tehnologiy
Монополия Facebook…
Спикер: Арсений Реутов
Подробный конспект доклада с полезными ссылками: https://cyberacademy.dev/blog/31-bezopasnost-web3-uyazvimosti-na-styke-blokcheyna-i-veb-tehnologiy
Монополия Facebook…
Компания «Positive Technologies» подвела итоги прошлого года по кибербезопасности и дала свои прогнозы на 2022 год
Эксперты «Positive Technologies» рассказали об угрозах и атаках в различных областях в 2021 году, а также поделились своими прогнозами в плане новых угроз, противодействия им и в целом развития кибербезопасности в 2022 году.
https://habr.com/ru/post/651735/
Эксперты «Positive Technologies» рассказали об угрозах и атаках в различных областях в 2021 году, а также поделились своими прогнозами в плане новых угроз, противодействия им и в целом развития кибербезопасности в 2022 году.
https://habr.com/ru/post/651735/
Хабр
Компания «Positive Technologies» подвела итоги прошлого года по кибербезопасности и дала свои прогнозы на 2022 год
Эксперты «Positive Technologies» рассказали об угрозах и атаках в различных областях в 2021 году, а также поделились своими прогнозами в плане новых угроз, противодействия им и в целом развития...
Напоминаем, что в рамках данного CFP принимаются также заявки на наш трек для разработчиков.
Forwarded from Positive Events
Как попасть на Positive Hack Days?
👉 Купить билеты или стать докладчиком!
Продлеваем прием заявок на выступление с докладами на форуме до 18 марта включительно.
Мы получили большое количество докладов, но вы еще можете успеть запрыгнуть в последний вагон.
Докладчиками могут стать и признанные эксперты, и начинающие специалисты. Мы приглашаем спикеров выступить с техническими докладами на темы поиска и эксплуатации уязвимостей, защиты от различных атак, практики разработки безопасного программного обеспечения.
🔥 Подать заявку можно здесь
👉 Купить билеты или стать докладчиком!
Продлеваем прием заявок на выступление с докладами на форуме до 18 марта включительно.
Мы получили большое количество докладов, но вы еще можете успеть запрыгнуть в последний вагон.
Докладчиками могут стать и признанные эксперты, и начинающие специалисты. Мы приглашаем спикеров выступить с техническими докладами на темы поиска и эксплуатации уязвимостей, защиты от различных атак, практики разработки безопасного программного обеспечения.
🔥 Подать заявку можно здесь
Минутка вакансий:
Специалист по анализу защищенности кода, ПАО “Ростелеком”
#Appsec
ЗП: 120.000-180.000 гросс + бонусы и премии
Задачи:
Требования:
• Опыт проведения анализа защищенности веб-приложений (динамический анализ; чёрный ящик);
• Опыт поиска и эксплуатации уязвимостей;
• Опыт нахождения уязвимостей в коде
• Понимание основных протоколов авторизации: SAML, OAuth и др.;
• Знание основных методик тестирования: OWASP, PCI DSS, PTES и др.;
• Знание основных скриптовых языков: Python, Bash и др.;
Будет плюсом:
• Участие в программах bug bounty;
• Участие в CTF;
• Наличие сертификатов OSCP, OSCE, OSWE и т.д.;
• Опыт разработки приложений;
• Знание базового стека Java (J2EE, Spring Framework, REST API и т.д.);
• Опыт работы с docker, docker-compose, k8s.
Контакты: Telegram,
89604959259 Татьяна @TatianaRTK
Специалист по анализу защищенности кода, ПАО “Ростелеком”
#Appsec
ЗП: 120.000-180.000 гросс + бонусы и премии
Задачи:
• Участвовать в создании цикла безопасной разработки; • Обеспечивать защиты разрабатываемых и используемых приложений компании; • Проводить аудит кода в части недостатков ИБ; • Моделировать угрозы и формировать требования к безопасности веб-приложений; • Консультировать разработчиков и контролировать устранение выявленных уязвимостей; • Участие в Red Teaming; • Оформление сопутствующей документации (рекомендации по устранению уязвимостей и др.);Требования:
• Опыт проведения анализа защищенности веб-приложений (динамический анализ; чёрный ящик);
• Опыт поиска и эксплуатации уязвимостей;
• Опыт нахождения уязвимостей в коде
• Понимание основных протоколов авторизации: SAML, OAuth и др.;
• Знание основных методик тестирования: OWASP, PCI DSS, PTES и др.;
• Знание основных скриптовых языков: Python, Bash и др.;
Будет плюсом:
• Участие в программах bug bounty;
• Участие в CTF;
• Наличие сертификатов OSCP, OSCE, OSWE и т.д.;
• Опыт разработки приложений;
• Знание базового стека Java (J2EE, Spring Framework, REST API и т.д.);
• Опыт работы с docker, docker-compose, k8s.
Контакты: Telegram,
89604959259 Татьяна @TatianaRTK
👍1
Друзья!
Ни для кого не секрет, что этот чат являлся также и официальным чатом пользовательской группы Positive Development User Group (посвящённой вопросам разработки безопасных приложений), с момента её создания. На этот год мы запланировали множество позитивных изменений, направленных на объединение этих двух групп в единое сообщество, дополнение его новыми форматами и повышение ценности для всех его участников.
Обо всех планах и грядущих изменениях мы расскажем в ближайшие недели, следите за новостями! А для того, чтобы переход прошёл более органично, мы начнём с переименования нашего канала и его чата в новое название объединённого сообщества: Positive Development Community.
Ни для кого не секрет, что этот чат являлся также и официальным чатом пользовательской группы Positive Development User Group (посвящённой вопросам разработки безопасных приложений), с момента её создания. На этот год мы запланировали множество позитивных изменений, направленных на объединение этих двух групп в единое сообщество, дополнение его новыми форматами и повышение ценности для всех его участников.
Обо всех планах и грядущих изменениях мы расскажем в ближайшие недели, следите за новостями! А для того, чтобы переход прошёл более органично, мы начнём с переименования нашего канала и его чата в новое название объединённого сообщества: Positive Development Community.
👍12
Forwarded from SecAtor
Встречайте, Spring4Shell. Правда, если сравнивать обнаруженную RCE в Java Spring Framework с Log4Shell, эффект которой можно назвать бомбой, то новая 0-Day скорее всего на этом фоне будет выглядеть как связка петард.
Уязвимость удаленного выполнения кода была обнаружена в среде Spring вскоре после того, как некий китайский исследователь, который выпустил на GitHub соответствующий PoC, который вскоре после этого удалил вместе со своими аккаунтами.
Spring - достаточно популярная платформа для создания приложений на основе Java EE (Enterprise Edition), которая позволяет быстро и легко их разрабатывать, а затем и разворачивать на серверах, в том числе Apache Tomcat, в виде автономных пакетов со всеми необходимыми зависимостями.
По данным Praetorian, непропатченная уязвимость затрагивает Spring Core в Java Development Kit (JDK) версии 9 и более поздних и является обходом другой уязвимости, отслеживаемой как CVE-2010-1622, что позволяет злоумышленнику, не прошедшему проверку подлинности, выполнять произвольный код в целевой системе.
Дополнительные сведения о новой уязвимости не разглашаются, специалисты по поддержке фреймворка Spring.io, дочерняя компания VMware, вовсю работают над исправлением.
Новая бага отличается от двух предыдущих уязвимостей, раскрытых в структуре приложения на этой неделе, включая DoS-уязвимость выражений Spring Framework (CVE-2022-22950) и уязвимость доступа к ресурсам выражений Spring Cloud (CVE-2022-22963). Spring RCE вызвана небезопасной десериализацией переданных аргументов.
Praetorian также подтвердила, что ошибка зависит от определенных конфигураций для правильного использования. Для эксплуатации требуется конечная точка с включенным DataBinder (например, запрос POST, который автоматически декодирует данные из тела запроса) и сильно зависит от контейнера сервлетов для приложения.
Например, когда Spring развернут на Apache Tomcat, доступен WebAppClassLoader, что позволяет злоумышленнику вызывать геттеры и сеттеры, чтобы в конечном итоге записать вредоносный JSP-файл на диск. Однако, если Spring развернут с использованием встроенного контейнера сервлетов Tomcat, загрузчик классов — это LaunchedURLClassLoader, доступ к которому ограничен.
В некоторых конфигурациях эксплуатация этой проблемы проста, поскольку для этого требуется, чтобы злоумышленник отправил созданный запрос POST в уязвимую систему.
По мнению специалистов Flashpoint, первоначальный анализ новой уязвимости выполнения кода в Spring Core предполагает, что ее влияние может быть несерьезным. Для эксплуатации уязвимости злоумышленникам необходимо будет найти и идентифицировать экземпляры веб-приложений, которые на самом деле используют DeserializationUtils.
Кроме того, несмотря на общедоступность эксплойтов, Rapid7 утверждают, что в настоящее время неясно, какие реальные приложения используют уязвимую функциональность. ISAC заявили, что еще не завершили свои тесты и не могут однозначно подтвердить действительность PoC для ошибки RCE.
Вместе с тем, согласно заключению аналитика Уилла Дорманна из CERT/CC, эксплойт Spring4Shell в дикой природе все же функционирует и существуют реальные уязвимые приложения. Вообще, по данным источников BleepingComputer, уязвимость активно используется в атаках.
Поскольку для этой уязвимости в настоящее время нет исправления, настоятельно рекомендуется как можно скорее реализовать меры по смягчению атак, связанных с ограничениями функционала Spring Core DataBinder.
Уязвимость удаленного выполнения кода была обнаружена в среде Spring вскоре после того, как некий китайский исследователь, который выпустил на GitHub соответствующий PoC, который вскоре после этого удалил вместе со своими аккаунтами.
Spring - достаточно популярная платформа для создания приложений на основе Java EE (Enterprise Edition), которая позволяет быстро и легко их разрабатывать, а затем и разворачивать на серверах, в том числе Apache Tomcat, в виде автономных пакетов со всеми необходимыми зависимостями.
По данным Praetorian, непропатченная уязвимость затрагивает Spring Core в Java Development Kit (JDK) версии 9 и более поздних и является обходом другой уязвимости, отслеживаемой как CVE-2010-1622, что позволяет злоумышленнику, не прошедшему проверку подлинности, выполнять произвольный код в целевой системе.
Дополнительные сведения о новой уязвимости не разглашаются, специалисты по поддержке фреймворка Spring.io, дочерняя компания VMware, вовсю работают над исправлением.
Новая бага отличается от двух предыдущих уязвимостей, раскрытых в структуре приложения на этой неделе, включая DoS-уязвимость выражений Spring Framework (CVE-2022-22950) и уязвимость доступа к ресурсам выражений Spring Cloud (CVE-2022-22963). Spring RCE вызвана небезопасной десериализацией переданных аргументов.
Praetorian также подтвердила, что ошибка зависит от определенных конфигураций для правильного использования. Для эксплуатации требуется конечная точка с включенным DataBinder (например, запрос POST, который автоматически декодирует данные из тела запроса) и сильно зависит от контейнера сервлетов для приложения.
Например, когда Spring развернут на Apache Tomcat, доступен WebAppClassLoader, что позволяет злоумышленнику вызывать геттеры и сеттеры, чтобы в конечном итоге записать вредоносный JSP-файл на диск. Однако, если Spring развернут с использованием встроенного контейнера сервлетов Tomcat, загрузчик классов — это LaunchedURLClassLoader, доступ к которому ограничен.
В некоторых конфигурациях эксплуатация этой проблемы проста, поскольку для этого требуется, чтобы злоумышленник отправил созданный запрос POST в уязвимую систему.
По мнению специалистов Flashpoint, первоначальный анализ новой уязвимости выполнения кода в Spring Core предполагает, что ее влияние может быть несерьезным. Для эксплуатации уязвимости злоумышленникам необходимо будет найти и идентифицировать экземпляры веб-приложений, которые на самом деле используют DeserializationUtils.
Кроме того, несмотря на общедоступность эксплойтов, Rapid7 утверждают, что в настоящее время неясно, какие реальные приложения используют уязвимую функциональность. ISAC заявили, что еще не завершили свои тесты и не могут однозначно подтвердить действительность PoC для ошибки RCE.
Вместе с тем, согласно заключению аналитика Уилла Дорманна из CERT/CC, эксплойт Spring4Shell в дикой природе все же функционирует и существуют реальные уязвимые приложения. Вообще, по данным источников BleepingComputer, уязвимость активно используется в атаках.
Поскольку для этой уязвимости в настоящее время нет исправления, настоятельно рекомендуется как можно скорее реализовать меры по смягчению атак, связанных с ограничениями функционала Spring Core DataBinder.
Praetorian
Spring Core on JDK9+ is vulnerable to remote code execution
Update: March 31, 2022 A patch has officially been released. https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement https://tanzu.vmware.com/security/cve-2022-22965 Overview Spring Core on JDK9+ is vulnerable to remote code execution due…
👍2
This media is not supported in your browser
VIEW IN TELEGRAM
🟥 Приглашаем на релиз новой версии PT Application Inspector 4.0.
Как выйти на уровень безопасной разработки
➡️ 82% всех уязвимостей инфраструктуры содержатся в коде приложения.
Каждая пятая из них грозит компании серьезными последствиями.
Для того, чтобы находить слабые места еще на стадии разработки нужен анализатор кода, такой, как PT Application Inspector.
Он комбинирует технологии SAST, DAST, IAST и SCA. Встраивается в процессы компании, помогает раз и навсегда подружить ИБ и разработку.
7 апреля эксперты Positive Technologies проведут митап для разработчиков и инженеров DevOps и DevSecOps, где расскажут:
🔻 Про методы анализа и абстрактную интерпретацию как способ повысить качество анализа
🔻Как посчитать выгоду DevSecOps для компании и подружить ИБ с разработкой
🔻Новые фичи PT Application Inspector версии 4.0
Зарегистрироваться
Как выйти на уровень безопасной разработки
➡️ 82% всех уязвимостей инфраструктуры содержатся в коде приложения.
Каждая пятая из них грозит компании серьезными последствиями.
Для того, чтобы находить слабые места еще на стадии разработки нужен анализатор кода, такой, как PT Application Inspector.
Он комбинирует технологии SAST, DAST, IAST и SCA. Встраивается в процессы компании, помогает раз и навсегда подружить ИБ и разработку.
7 апреля эксперты Positive Technologies проведут митап для разработчиков и инженеров DevOps и DevSecOps, где расскажут:
🔻 Про методы анализа и абстрактную интерпретацию как способ повысить качество анализа
🔻Как посчитать выгоду DevSecOps для компании и подружить ИБ с разработкой
🔻Новые фичи PT Application Inspector версии 4.0
Зарегистрироваться
🔥5
🎙Мы начинаем онлайн-митап «PT Application Inspector 4.0 Как выйти на уровень безопасной разработки» 😎 Нажмите "подключиться", чтобы следить за трансляцией в Телеграм
Подключиться 👈🏻
Подключиться 👈🏻
Telegram
PT Product Update
Всё самое важное о продуктах и сервисах Positive Technologies. Удобно, оперативно и достоверно ;)
🔥2
📌 Спасибо всем за участие в онлайн-релизе PT Application Inspector 4.0.
Для тех, кто не смог посмотреть трансляцию, мы опубликовали запись и презентацию
💎 Обладателями мерча от PT Application Inspector стали:
1. Михаил Черкашин, за лучший вопрос: появится в PT AI возможность анализа yaml-файлов для docker/kubernetes? Будет ли возможность проверки OpenAPI/Swagger файлов в решении? Появится ли возможность анализа разрабатываемых API интерфейсов
Ответ: Да, в планах есть, уже исследуем и прорабатываем вопросы и проверки конфигураций контейнеров, и работа с API. Для API планируется реализация и для статического анализа, и для динамического. Это проверять не только конфигурацию API, реализацию в коде, но и работу в режиме чёрного для развёрнутого сервиса.
2. Евгений Борисов, с за лучший вопрос: можно ли самому запускать абстрактную интерпретацию куска кода? Например, есть функция и я хочу понять при каких входных условиях она достигает определенной
точки исполнения.
Ответ: Мы сейчас активно работаем над расширением возможностей по заданию собственных правил и дополнению встроенной базы знаний на стороне пользователя. В том числе мы хотим реализовать что-то вроде песочницы, где можно будет проверять работоспособность создаваемых правил. В рамках этой фичи хотим добавить и работу с нашей моделью данных, что позволит проверять собственные гипотезы с помощью абстрактной интерпретации.
📩 Победителям напиcали на почту, указанную при регистрации.
Ждем всех 14 апреля на вебинаре "Безопасная разработка: плагины для IDE"
Зарегистрироваться 📝
Для тех, кто не смог посмотреть трансляцию, мы опубликовали запись и презентацию
💎 Обладателями мерча от PT Application Inspector стали:
1. Михаил Черкашин, за лучший вопрос: появится в PT AI возможность анализа yaml-файлов для docker/kubernetes? Будет ли возможность проверки OpenAPI/Swagger файлов в решении? Появится ли возможность анализа разрабатываемых API интерфейсов
Ответ: Да, в планах есть, уже исследуем и прорабатываем вопросы и проверки конфигураций контейнеров, и работа с API. Для API планируется реализация и для статического анализа, и для динамического. Это проверять не только конфигурацию API, реализацию в коде, но и работу в режиме чёрного для развёрнутого сервиса.
2. Евгений Борисов, с за лучший вопрос: можно ли самому запускать абстрактную интерпретацию куска кода? Например, есть функция и я хочу понять при каких входных условиях она достигает определенной
точки исполнения.
Ответ: Мы сейчас активно работаем над расширением возможностей по заданию собственных правил и дополнению встроенной базы знаний на стороне пользователя. В том числе мы хотим реализовать что-то вроде песочницы, где можно будет проверять работоспособность создаваемых правил. В рамках этой фичи хотим добавить и работу с нашей моделью данных, что позволит проверять собственные гипотезы с помощью абстрактной интерпретации.
📩 Победителям напиcали на почту, указанную при регистрации.
Ждем всех 14 апреля на вебинаре "Безопасная разработка: плагины для IDE"
Зарегистрироваться 📝
ptsecurity.com
PT Application Inspector 4.0. Как выйти на уровень безопасной разработки
82% всех уязвимостей инфраструктуры содержатся в коде приложения. Каждая пятая из них грозит компании серьезными последствиями.
Для того, чтобы находить слабые места еще на стадии разработки нужен анализатор кода, такой, как PT Application Inspector. Он…
Для того, чтобы находить слабые места еще на стадии разработки нужен анализатор кода, такой, как PT Application Inspector. Он…
🔥6👍1
Спасибо всем, кто проявил интерес и участвовал в вебинаре "Безопасная разработка: плагины для IDE" от 14.04.2022. Запись вебинара доступна по ссылке
На всякий случаем продублируем ещё раз полезные ссылки:
Плагины можно качать по ссылкам
https://github.com/POSIdev-community/AI.Plugin.IntelliJ/releases/tag/1.0.0
https://github.com/POSIdev-community/AI.Plugin.VSCode/releases/tag/1.0.0
На следующей неделе мы сообщим результаты по выбору лучшего вопроса 😉
На всякий случаем продублируем ещё раз полезные ссылки:
Плагины можно качать по ссылкам
https://github.com/POSIdev-community/AI.Plugin.IntelliJ/releases/tag/1.0.0
https://github.com/POSIdev-community/AI.Plugin.VSCode/releases/tag/1.0.0
На следующей неделе мы сообщим результаты по выбору лучшего вопроса 😉
ptsecurity.com
Вебинары Positive Technologies
Более 80% всех уязвимостей веб-приложений содержится в коде. Устранять последствия их эксплуатации после выхода в продакшен — слишком дорого. Дешевле и проще анализировать безопасность кода на стадии разработки.
Находить уязвимости как можно раньше помогают…
Находить уязвимости как можно раньше помогают…
🔥4
Мы определили победителей лучших вопросов с вебинара "Безопасная разработка: плагины для IDE". Ими стали:
📌 TS Nikita, с вопросом
Планируется ли механизм корреляции событий SCA и SAST на предмет использования
уязвимых функций?
📌 Александр Кремлёв, с вопросом
Теги supress будут работать в дальнейшем, когда весь проект будет проверяться
перед релизом? Как предотвратить злоупотребления тегом?
Мерч от Application Inspector 4 найдёт своих героев в email (либо напишите здесь в комментариях, запросим данные для отправки подарков).
Если у вас остались вопросы по плагинам, или появились новые, задавайте их в комментариях 👇🏻
📌 TS Nikita, с вопросом
Планируется ли механизм корреляции событий SCA и SAST на предмет использования
уязвимых функций?
📌 Александр Кремлёв, с вопросом
Теги supress будут работать в дальнейшем, когда весь проект будет проверяться
перед релизом? Как предотвратить злоупотребления тегом?
Мерч от Application Inspector 4 найдёт своих героев в email (либо напишите здесь в комментариях, запросим данные для отправки подарков).
Если у вас остались вопросы по плагинам, или появились новые, задавайте их в комментариях 👇🏻
👍5
🔥 18 и 19 мая пройдет самая масштабная в России конференция в сфере кибербеза Positive Hack Days 💥
Традиционно мы организовываем трек по безопасной разработке.
Ниже представляем в значительной степени сформированную программу. Финальную сетку докладов выложим в ближайшее время.
📝 SAST против атаки на цепочку поставок: кто кого?
Владимир Кочетков
📝 Безопасная разработка в вашей IDE.
Андрей Лядусов
📝 Анализ клиентского JavaScript-кода для обнаружения HTTP-эндпоинтов.
Даниил Сигалов
📝 Фреймворк безопасной разработки от компании Swordfish Security.
Светлана Газизова
📝 Самооценка зрелости направлений и процессов AppSec.
Шаров Илья
📝 Поставить или положить. Атаки на цепочки поставок.
Евгений Полонский
📝 Актуальные вызовы композиционному анализу ПО.
Алексей Смирнов
📝 Пишем самый лучший livepatch ядра Linux.
Елена Быковченко
📝 Уязвимое мобильное приложение Allsafe глазами аналитика исходного кода для начинающих.
Куцовол Татьяна
📝 Игры в безопасность.
Алексей Бабенко
📝 Network Policy - родной межсетевой экран Kubernetes.
Дмитрий Евдокимов
📝 Application Inspector vs embedded malware.
Дмитрий Рассадин
📝 Новый подход к автоматизированной генерации эксплойтов для больших веб-приложений.
Даниил Садырин
Планируете в этом году посетить конференцию?
Традиционно мы организовываем трек по безопасной разработке.
Ниже представляем в значительной степени сформированную программу. Финальную сетку докладов выложим в ближайшее время.
📝 SAST против атаки на цепочку поставок: кто кого?
Владимир Кочетков
📝 Безопасная разработка в вашей IDE.
Андрей Лядусов
📝 Анализ клиентского JavaScript-кода для обнаружения HTTP-эндпоинтов.
Даниил Сигалов
📝 Фреймворк безопасной разработки от компании Swordfish Security.
Светлана Газизова
📝 Самооценка зрелости направлений и процессов AppSec.
Шаров Илья
📝 Поставить или положить. Атаки на цепочки поставок.
Евгений Полонский
📝 Актуальные вызовы композиционному анализу ПО.
Алексей Смирнов
📝 Пишем самый лучший livepatch ядра Linux.
Елена Быковченко
📝 Уязвимое мобильное приложение Allsafe глазами аналитика исходного кода для начинающих.
Куцовол Татьяна
📝 Игры в безопасность.
Алексей Бабенко
📝 Network Policy - родной межсетевой экран Kubernetes.
Дмитрий Евдокимов
📝 Application Inspector vs embedded malware.
Дмитрий Рассадин
📝 Новый подход к автоматизированной генерации эксплойтов для больших веб-приложений.
Даниил Садырин
Планируете в этом году посетить конференцию?
phdays.com
Positive Hack Days Fest
Международный киберфестиваль для всех, кто хочет погрузиться в мир кибербезопасности. Любой желающий может узнать, как устроен цифровой мир, повысить уровень своей защищенности и круто провести время
🔥12👍1
Билеты на трек по разработке в рамках форума Positive Hack Days!
Уже по традиции мы открываем сбор заявок на участие в треке по разработке. Билеты бесплатные, но их количество ограничено.
Для того чтобы подать заявку на бесплатное участие заполните, пожалуйста, анкету. Сбор заявок продлится до 6 мая.
Информация по билетам придет на эл.почту.
Уже по традиции мы открываем сбор заявок на участие в треке по разработке. Билеты бесплатные, но их количество ограничено.
Для того чтобы подать заявку на бесплатное участие заполните, пожалуйста, анкету. Сбор заявок продлится до 6 мая.
Информация по билетам придет на эл.почту.
Google Docs
Трек разработки на PHDays 11: регистрация
Даты: 18–19 мая, 2022 г.
Адрес: Центр международной торговли, Москва, Краснопресненская наб., д. 12
Трек докладов, посвященных разработке, на площадке международного форума Positive Hack Days 11.
Количество мест ограничено, регистрация закрывается 6 мая.…
Адрес: Центр международной торговли, Москва, Краснопресненская наб., д. 12
Трек докладов, посвященных разработке, на площадке международного форума Positive Hack Days 11.
Количество мест ограничено, регистрация закрывается 6 мая.…
👍5🔥1