«Казнить нельзя помиловать, уязвимости из-за ошибок в бизнес-логике»

Змичеровская Ксения: Более 6 лет практического опыта в ИБ в таких направления как фарма, gamedev, разработка ПО, в том числе в роли системного и бизнес аналитика

Шаров Илья: Более 6 лет опыта в системной интеграции, финансовой и фин.тех отраслях. Последние три года занимался развитием, масштабированием и популяризацией практик безопасной разработки, в роли эксперта, архитектора и руководителя

При использовании веб-приложений стоит помнить, что значительная часть критических уязвимостей связана с недостатками на уровне бизнес-логики. С виду легитимная активность пользователя может оказаться критичной "дырой", а набор уязвимостей при этом является уникальным для каждого приложения.

Мы расскажем о подходах борьбы с логическими уязвимостями, разберём, как применять их на практике и дадим полезные советы по внедрению безопасной разработки в компаниях.

«Как разработчики анализатора исходного кода с одной экспонентой боролись»

Александрия Георгий: чародей 3 круга, колдун 6 ранга, и ныне преподающий теорию и практику заклинаний в магической башне Positive Technologies, раскроет вам несколько полезных мистических заговоров, позволяющих облегчить работу магического аппарата. Но будьте осторожны, не обманитесь простотой слова "заговор", они отнюдь не просты и будут содержать в себе определенные формулы и символы, требующие их понимания и знания... ну или усидчивости их переварить.

При абстрактной интерпретации (это такая магическая штука, анализирующая исходный код) возникает довольно большое кол-во путей ветвления, развилок судьбы, которые наш магический аппарат так или иначе должен обрабатывать. Пусть аппарат наш и магический, но он отнюдь не всесильный, и чем больше ему подсовывать реагентов, тем дольше он будет их преобразовывать. А мы, существа, наделенные магической силой, – жутко нетерпеливый народ, всего хотим побыстрее, да еще вчера, что вынуждает нас подкручивать и подшаманивать нашу машину, чтобы она работала быстрее.

Прослушав данное выступление, вы, товарищи маги, вероятно откроете возможности для ускорения вашей шайтан машины, сэкономив себе кучу времени и магических сил.