🍾 Обновление киберполигона Standoff 365

Есть повод вернуться к онлайн-киберполигону: мы добавили новое недопустимое событие!

👨🏻‍💻 Программисты в ходе работы над бэкендом следовали принципам SSDL, но использовали словарные пароли. Получите RCE на сервисе продажи авиабилетов app-ai.hws.stf.

Название НС: обход механизмов обеспечения безопасной разработки и исполнение произвольного кода на сервисе продажи авиабилетов.

Уровень опасности высокий.
Получить 7500 баллов за реализацию → range.standoff365.com/risk/48

«На словах ты ― Лев Толстой, а в релизе...»
… все уже по-другому 🤓

А что, если взять классический пайплайн, внедрить инструменты DevSecOps, найти уязвимости с помощью методов белого и черного ящика, а затем выпустить в продакшен? Уже другое дело 👀

👉🏻 23 марта расскажем подробнее.

🎙Вебинар «Строим пайплайн безопасной разработки с помощью PT Application Inspector и PT BlackBox» состоится в 14:00 (МСК).

🧑‍💻Разработчики, тестировщики, инженеры DevOps и DevSecOps и их тимлиды, регистрируйтесь, будем вам рады 🤗

Мир никогда не стоит на месте, какие-то технологии появляются и быстро исчезают. Какие-то с нами остаются надолго. Кажется, настало время признать, что Kubernetes перешел в разряд технологий, которые с нами надолго и никуда в ближайшем будущем не исчезнут.

Первый продукт Positive Technologies, который работал в Kubernetes, был PT Multiscanner. В 2017 году, осенью, вышла версия 1.0, она несла с собой в дистрибутиве сам Kubernetes, скрипт установки вытягивал с docker-registry Positive Technologies образы необходимые для работы, таким образом осуществлялась установка.
Поначалу мы его использовали как продвинутую систему оркестрации только нашего продукта. Тогда это было немного чересчур, но в самой большой инсталляции на текущий день используется 16 мощных нод и благодаря Kubernetes это по-настоящему отказоустойчивая и масштабируемая история.

Мы искренне верили, что Kubernetes как более современный подход к построению инфраструктуры приложений победит со временем, поэтому непрерывно исследовали вопросы его безопасности. Это не могло не вылиться в продукт.

С 2017 года прошло уже 6 лет. По нашей оценке, то будущее, о котором мы грезили, наступило.
Сейчас даже среди самых консервативных клиентов невозможно найти тех, у кого 1-2-3% инфраструктуры уже не было бы на Kubernetes. Наиболее же продвинутые давно перевели на него всю инфраструктуру.

Многие наши продукты умеют работать в Kubernetes, появляются и те, которые могут его защищать.

Так, продукт PT Container Security уже проходит пилотирование в нескольких клиентах и готовится увидеть коммерческий свет в этом году.

Руководитель его разработки, Никита Ладошкин, из той самой команды продукта Multiscanner-2017, сегодня на конференции VK Kubernetes будет участвовать в дискуссии вместе с Димой Евдокимовым (Luntry), в 18:00. Думаю, будет интересно.

Ссылка на регистрацию — https://mcs.mail.ru/events/vk-kubernetes-conf23

🎙В 14:00 начинаем вебинар "Строим пайплайн безопасной разработки с помощью PT Application Inspector и PT BlackBox"

👉🏻 Подключиться

❓Зачем защищать мобильные приложения?
 
Нет смысла тратить время и силы на проверку приложений. Магазины все равно делают это перед публикацией. А если нет, то и так сойдёт – под требования регуляторов мобилки не попадают и вектор атаки у них узкий. То ли дело серверная сторона…😱
 
👆🏻Вот вам краткое содержание мифов, которые ходят вокруг безопасности мобильных приложений.
 
🎙29 марта на вебинаре команда Стингрей Технолоджиз развеет эти и другие заблуждения, расскажет, как построить эффективный процесс анализа безопасности, и представит новые фишки Стингрей.
 
Всем желающим – быть! Начало в 16:00 (мск). Не забудьте зарегистрироваться🤗

🔎 Насколько эффективен ваш SAST-анализатор кода? Можно проверить с помощью IAMeter

🔊 Мы выложили в открытый доступ на GitHub новую версию IAMeter. Приложение покажет, насколько качественно выявляет уязвимости ваш SAST-инструмент, и все ли хорошо в тестировании методом белого ящика.

🎯Цель IAMeter ― не имитирование случайно допущенных уязвимостей в исходном коде, а целенаправленное использование семантически сложных конструкций.

🧑‍💻 Эксперты команды PT Application Inspector Евгений Букреев, Алексей Новгородов и Владимир Кочетков рассказали в статье на Хабр, как анализируется исходный код SAST-инструментами и как выбранный способ анализа влияет на качество результата.

Плагины Application Inspector для Visual Studio Code и IntelliJ Platform. 🔥

🚀 Представляем новую версию 1.3.0

Что нового:
✅ Добавлен модуль сканирования Python кода

🔗 JetBrains Marketplace
🔗 JetBrains GitHub
🔗 Visual Studio Code Marketplace
🔗 Visual Studio Code GitHub

Пятничные мечики 🤗