«Как применять подходы ZeroTrust при построении процесса безопасной разработки»
Газизова Светлана: руководитель направления аудита безопасной разработки в Swordfish Security. За последние годы собрала коллекцию как надо и как не надо делать DevSecOps; поработала с несколькими десятками компаний. Автор и тренер курсов по безопасной разработке. Из тех, кто пришел в безопасность из разработки – так что есть понимание, как коррелировать между интересами разных сторон. Автор канала по безопасной разработке с обзорами последних новостей, полезностями и мемами (без рекламы и духоты 😉) - https://news.1rj.ru/str/AppSecJourney.
Доклад будет посвящен тому, как интегрировать концепцию Zero Trust в безопасную разработку. Пока все предлагают сделать DevSecOps «на минималках» и уже хоть как-то обезопасить приложения, пора признать: надо двигаться дальше. Киберсреда такова, что без адекватных контролей и использования всего потенциала инструментов, гарантировать сохранность информации невозможно.
Вы сможете найти для себя ответы на следующие вопросы:
- Насколько реально подружить две концепции и как это отразится на time to market?
- Кому нужно «не доверять» и почему?
- Как изменится цикл безопасной разработки?
Газизова Светлана: руководитель направления аудита безопасной разработки в Swordfish Security. За последние годы собрала коллекцию как надо и как не надо делать DevSecOps; поработала с несколькими десятками компаний. Автор и тренер курсов по безопасной разработке. Из тех, кто пришел в безопасность из разработки – так что есть понимание, как коррелировать между интересами разных сторон. Автор канала по безопасной разработке с обзорами последних новостей, полезностями и мемами (без рекламы и духоты 😉) - https://news.1rj.ru/str/AppSecJourney.
Доклад будет посвящен тому, как интегрировать концепцию Zero Trust в безопасную разработку. Пока все предлагают сделать DevSecOps «на минималках» и уже хоть как-то обезопасить приложения, пора признать: надо двигаться дальше. Киберсреда такова, что без адекватных контролей и использования всего потенциала инструментов, гарантировать сохранность информации невозможно.
Вы сможете найти для себя ответы на следующие вопросы:
- Насколько реально подружить две концепции и как это отразится на time to market?
- Кому нужно «не доверять» и почему?
- Как изменится цикл безопасной разработки?
Telegram
AppSec Journey
👾
Дневники кибербеза.
Ключевые темы: application security, devsecops, подходы к анализу приложений и что-нибудь еще.
На некоммерческой основе.
by @gazizovasg
Дневники кибербеза.
Ключевые темы: application security, devsecops, подходы к анализу приложений и что-нибудь еще.
На некоммерческой основе.
by @gazizovasg
❤2
«Я реверсер, я так вижу!»
Дмитрий Скляров: Head of Reverse Engineering, Positive Technologies. Ковыряет бинарщину. Ищет всё плохое, чтобы сделать его хорошим...
За те годы, что я занимаюсь Reverse Engineering, я повидал много разного кода, иногда даже в исходниках. Пообщался со многими людьми, имеющими отношение к разработке ПО, зачастую очень умными. Прочитал много статей и книг, местами даже полезных. Наблюдал появление новых техник и технологий для повышения безопасности приложений, вполне себе эффективных...
Но ошибки в коде всё не исчезают. Не то чтобы каждый бинарь содержит критические уязвимости, но шанс найти что-то "плохое" всё ещё очень велик...
В выступлении я хочу донести свой (реверсерский) взгляд на причины проблем с кодом и процессы, которые эти проблемы призваны ликвидировать.
Дмитрий Скляров: Head of Reverse Engineering, Positive Technologies. Ковыряет бинарщину. Ищет всё плохое, чтобы сделать его хорошим...
За те годы, что я занимаюсь Reverse Engineering, я повидал много разного кода, иногда даже в исходниках. Пообщался со многими людьми, имеющими отношение к разработке ПО, зачастую очень умными. Прочитал много статей и книг, местами даже полезных. Наблюдал появление новых техник и технологий для повышения безопасности приложений, вполне себе эффективных...
Но ошибки в коде всё не исчезают. Не то чтобы каждый бинарь содержит критические уязвимости, но шанс найти что-то "плохое" всё ещё очень велик...
В выступлении я хочу донести свой (реверсерский) взгляд на причины проблем с кодом и процессы, которые эти проблемы призваны ликвидировать.
«Язык запросов к коду... не нужен?»
Владимир Кочетков: руководитель направлений экспертизы безопасности приложений и разработки анализаторов кода, Positive Technologies. Организатор POSIdev и трека разработки PHDays.
Сергей Подкорытов: тимлид разработки анализаторов кода, Positive Technologies.
В нашем докладе мы поделимся опытом решения задачи по отчуждению экспертизы в PT Application Inspector, рассмотрим такие популярные инструменты, как Semgrep и CodeQL, и расскажем о непростом пути, пройдённом командой PT AI через несколько версий языка запросов к совершенному иному способу описания базы знаний статического анализатора.
Доклад будет полезен не только тем, кто давно хотел получить возможность практически произвольным образом расширять логику статического анализатора, но и интересующимся техническими аспектами выделения экспертной составляющей программного продукта.
Владимир Кочетков: руководитель направлений экспертизы безопасности приложений и разработки анализаторов кода, Positive Technologies. Организатор POSIdev и трека разработки PHDays.
Сергей Подкорытов: тимлид разработки анализаторов кода, Positive Technologies.
В нашем докладе мы поделимся опытом решения задачи по отчуждению экспертизы в PT Application Inspector, рассмотрим такие популярные инструменты, как Semgrep и CodeQL, и расскажем о непростом пути, пройдённом командой PT AI через несколько версий языка запросов к совершенному иному способу описания базы знаний статического анализатора.
Доклад будет полезен не только тем, кто давно хотел получить возможность практически произвольным образом расширять логику статического анализатора, но и интересующимся техническими аспектами выделения экспертной составляющей программного продукта.
❤4🔥1
Сегодня, в 19:00, в рамках фестиваля PHDays и PyConf Moscow, в ресторане «Времена года» (парк Горького), состоится закрытая вечеринка разработчиков. Приглашаем принять в ней участие всех слушателей, получивших билеты на мероприятие через форму регистрации на наш трек. Для того, чтобы попасть туда, обратитесь до 19 часов к команде нашего трека, в конце зала, чтобы получить у них стикер-инвайт на бейдж.
❤1
Forwarded from Positive Technologies
🆘 К чему может привести
Неавторизованный злоумышленник может использовать уязвимость обхода директорий для чтения произвольных файлов при условии существования публичного проекта управляемого как минимум пятью группами пользователей. Успешная эксплуатация может привести к раскрытию кода проектов, утечке учетных данных пользователей и другой чувствительной информации.
Предположительно, проблема связана с тем, как именно GitLab работает с путями прикрепленных файлов, вложенных в несколько уровней иерархии групп. В связи с критически опасным уровнем уязвимости вендор настоятельно рекомендует выполнить обновление как можно быстрее.
✅ Рекомендации
Мы также рекомендуем выполнить оперативное обновление. Пока оно не будет произведено, необходимо контролировать публичные проекты, чтобы не допустить возможность эксплуатации уязвимости.
💻 Информации о существовании публично доступного PoC или об эксплуатации уязвимости в хакерских атаках пока нет.
#PositiveTechnologies
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5👍1
Поздравляю всех с покорением отметки 1000 подписчиков! Не будем сбавлять темп и продолжим рост :)
🔥16🎉8
В честь преодоления отметки в 1000+ подписчиков, мы собрали в один плейлист <почти> все видео (доклады, интервью, эфиры), созданные нашим сообществом в рамках, как PHDays, так и сторонних мероприятий и митапов.
Приятного просмотра 🤗
P.S: 88 видео... может, добьём до сотни в этом году? 😊
Приятного просмотра 🤗
P.S: 88 видео... может, добьём до сотни в этом году? 😊
🔥16❤2
Как обходили PT Application Inspector на Standoff 11 🔥
На кибербитве Standoff 11, которая проходила в мае, хакеры обошли статический анализатор Positive Technologies.
Как они это сделали? И причем тут Heavy Logistics, читайте в нашем отчёте на Habr.
❗️Во время кибербитвы ни один реальный PT Application Inspector не пострадал 😎 Ситуация была смоделирована специально для Standoff . Только одна команда красных — True0xA3 смогла обойти PT Application Inspector. И им далеко не просто это далось.
#PTAI #positiveпродукты
На кибербитве Standoff 11, которая проходила в мае, хакеры обошли статический анализатор Positive Technologies.
Как они это сделали? И причем тут Heavy Logistics, читайте в нашем отчёте на Habr.
❗️Во время кибербитвы ни один реальный PT Application Inspector не пострадал 😎 Ситуация была смоделирована специально для Standoff . Только одна команда красных — True0xA3 смогла обойти PT Application Inspector. И им далеко не просто это далось.
#PTAI #positiveпродукты
🔥23❤🔥2
Всем привет!
🎉🎉 Вышла новая версия 2.0 плагинов PT Application Inspector для IDE Visual Studio Code и JetBrains IntelliJ.
В этой версии помимо небольших исправлений и улучшений появилась долгожданная функция командной работы с помощью интеграции в AI Enterprise 4.4 и новее 👏
Сами плагины доступны в маркетах:
JetBrains
VS Code
🎉🎉 Вышла новая версия 2.0 плагинов PT Application Inspector для IDE Visual Studio Code и JetBrains IntelliJ.
В этой версии помимо небольших исправлений и улучшений появилась долгожданная функция командной работы с помощью интеграции в AI Enterprise 4.4 и новее 👏
Сами плагины доступны в маркетах:
JetBrains
VS Code
JetBrains Marketplace
PT Application Inspector - IntelliJ IDEs Plugin | Marketplace
Overview The PT Application Inspector plugin finds vulnerabilities and undocumented features in application code while it is being written (supported languages: PHP...
🔥13👍1