Коллеги, приветствую.
Состоялась первая офлайн+онлайн встреча сообщества специалистов в области динамического анализа, посвященная выработке стратегии коллективного анализа интерпретаторов/виртуальных машин языков с управляемой памятью. В совокупности присутстовало более чем 40 человек от 15+ организаций, в числе которых Представители Айдеко, Аладдин, ИВК/Базальт, ИСП РАН, Код Безопасности, Лаборатория Касперского (отдельная благодарность коллегам из ЛК за офлайн+онлайн хостинг встречи!), ИЛ Фобос-НТ и д.р (не все присутствующие онлайн было опознаны). Число присутствовавших и активность общения, особенно в офлайн-части, внушает осторожный оптимизм - поднимавшиеся темы явно близки сообществу, особенно с учетом повышения требований со стороны Регуляторов и трансформации сертификационных процессов в направлении выявления уязвимостей архитектуры и кода. Соответственно есть все шансы на то, что дело будет жить и приносить ожидаемые плоды.

Краткое резюме прошедшей встречи:
0) Встреча признана успешной, задекларирована готовность работать на реальный результат (повышение качество тестирования кода и архитектуры), а не на "бумаги".
1) следующая встреча состоится через 3 недели (1 апреля, в четверг, предварительно в 17.00). Режим прежний - офлайн+онлайн. Желающие участвовать очно - пожалуйста напишите мне где-то за неделю, чтобы мы могли оценить число участников и организовать помещение, если наберется много желающих.
2) Ссылка на видеозапись трансляции будет размещена в чате по динамике и в организационном чате.
3) Объединение усилий в направлении анализа интерпретаторов/виртуальных машин языков с управляемой памятью это первая ласточка. Аналогичный подход может быть применен для разделения усилий по всем популярным опенсорс-пакетам.
4) В офлайн-части активно обсуждался вопрос о создании централизованного репозитория патчей для популярных опенсорс-пакетов. В ходе второй части следующей встречи данный вопрос также будет обсуждать в ходе общего трека.
5) Представлена концепция развития Crusher в направлении повышения степени автоматизации покрытия кода, подлежащего анализу, фаззинг-тестами.
6) Для решения общих организационных вопросов, связанных с объединением усилий по развитию средств и методик анализа, создана публичная группа @sdl_community. Дальнейшая часть резюме размещена в ней.

Опубликовали видео с круглого стола по Кибербезопасности на isparasopen 2020. Плеер и хронометраж прикреплены приблизительно в середине странички https://www.isprasopen.ru/2020/

Подробности в @sdl_community

Добрый день, коллеги! Небольшой пресс релиз.

ИСП РАН предоставляет ресурсы для развертывания набора репозиториев содержащих доверенные версии opensource пакетов, в первую очередь - интерпретаторов.

А также обеспечивает организационно-техническую поддержку инфраструктуры.
Вопросы связанные с аудитом кода целевых пакетов, исправлением ошибок, поддержанием целостности,
работоспособности и взаимодействия с сообществом открытого кода возлагаются на главных мейнтейнеров пакета.
Список пакетов и список ответственных мейнтейнеров формируются сообществом. Объем задействованных мощностей будет пропорционален объему целей.
Варианты работы (подписывание коммитов, вопросы доверия, обмена ключами и т.д.) вырабатываются сообществом и реализуются ИСП РАН в рамках упомянутой
инфраструктуры.
Примерная дорожная карта развития инфраструктуры
На текущем этапе выполняется:
- анализ потребности разработчиков в тех или иных opensource-пакетах в первую очередь - интерпретаторах;
- определение поверхности атаки на указанные пакеты в типовых сценариях их применения;
- накопление сведений о методах и подходах к анализу.
На первом этапе интеграцию со средством статического анализа SVACE.
Для каждого пакета будет производится анализ и накопление и перенос разметки между версиями ПО
Разметка предупреждений выполняется силами сообщества
На втором этапе интеграцию с различными инструментами динамического анализа (Crusher, LibFuzzer, AFL forks...)
будет производится накопление и минимизация корпуса
Обнародованием достигаемых результатов динамического анализа и интеграцией их со Svace
Фаззинг тесты формируются совместно участниками сообщества
Фаззинг осуществляется на мощностях активных участников сообщества с последующей подачей корпуса входных данных и результатов дополнительных средств анализа в единый репозиторий
На инфраструктуре ИСП РАН производится анализ дедупликация и верификация достигаемого тестового покрытия
Централизованный репозиторий файлов различных форматов составляющих корпус начальных входных данных
Будет производится сборка проекта, запуск встроенного в пакет набора тестов и фаззинг тестированиедля роста покрытия и поиска ошибок с последующим обновлением централизованного репозитория

Коллеги, приветствую.
23.04.2021 на базе Кода Безопасности состоялась встреча нашего сообщества специалистов-энтузиастов, посвященная вопросам разделения активностей по анализу типовых open-source пакетов, в первую очередь интерпретаторов. Офлайн присутствовали представители ИСП РАН, Айдеко, Аладдин, ИЛ Атоминформзащита, Беллсофт, Group-IB, Код Безопасности, Лаборатория Касперского, ПостгресПро, ИЛ Фобос-НТ, ИЛ ЦБИ. Подробности в чате @sdl_community.

Коллеги, приветствую.
В Орг. вопросах выложен пресс-релиз о предстоящей большой встрече-конференции в формате: руководители ФСТЭК России + руководители Центра компетенций в области кибербезопасности ФСТЭК России и ИСП РАН + практикующие инженеры-специалисты в области практик безопасной разработки из промышленности, ИЛ и ОС. Приглашаем всех заинтересованных к участию!

Коллеги, приветствую.

В четверг в 16:00 состоится вебинар на тему "Разработка безопасного ПО для предприятий КИИ, АСУ ТП и гос. структур"

На вебинаре мы обсудим, что нужно знать и начать делать для выполнения требований регуляторов ИБ, предъявляемых к разработчикам аппаратно-программных средств, процессам, ПО и "железу".

Более подробное описание и ссылка на подключение к вебинару для заинтересовавшихся: https://events.webinar.ru/21539700/8961641

Коллеги, приветствую.

Если инструмент задавания вопрос по ссылке конференции недоступен - можно писать вопросы на Можно писать вопросы на адрес pr@aladdin.ru. Они будут учтены как при подготовке FAQ, так и при принятии решения о необходимости/отсутствии необходимости организации следующего вебинара.

Ссылка на скачивание презентации "Что нужно знать и начать делать для выполнения требований регуляторов ИБ, предъявляемых к разработчикам аппаратно-программных средств, процессам, ПО и "железу"?"

https://www.aladdin-rd.ru/support/downloads/d75b4f14-1842-42b2-a1bc-18efe2095751/get



Видеозапись вебинара на YouTube канале https://youtu.be/2TCscvm66aA

Коллеги, добрый день! Это не реклама, т.к. я ничего вам не продаю, а наоборот, приглашаю на полезное бесплатное мероприятие.
В рамках конференции PGConf.RU 2021 пройдет круглый стол «Особенности организации SDL-процессов у ответственного разработчика: бизнес, безопасность, регуляторика» на тему безопасной разработки (SDL), рассчитанный на отечественных разработчиков ПО, с участием представителей регулятора и компаний, внедривших SDL, и способных рассказать об этом. Если у вас нет билета на конференцию, в круглом столе всё равно можно поучаствовать, причем бесплатно, при условии предварительной регистрации на reg@pgconf.ru (или можно написать мне). Там можно встретиться и обсудить живьём многое из того, что обсуждается тут.

это будет 26.10 в 16:00, конференц-центр первого меда

Коллеги, приветствую.
2 декабря на площадке конференции ISPRASOPEN 2021 состоятся установочная встреча сообщества участников пилотного проекта "Совместный анализ компонентов с открытым исходным кодом" и руководителей ФСТЭК России, и последующая дискуссия по дорожной карте развития SVACE. Подробности традиционно в Орг. вопросах @sdl_community.

Коллеги, 24 марта на Конференции РусКрипто 2022 состоится круглый стол "Построение доверенных информационных систем" (https://www.ruscrypto.ru/program/sections/s_17.html), в роли модератора выступит Арутюн Ишханович Аветисян, директор ИСП РАН, академик РАН, заместитель президента РАН по цифровой трансформации.

Круглый стол пройдёт в формате живого общения, базовые тезисы содержатся в документе, приложенном к данному сообщению. Приглашаем всех заинтересованных лиц принять участие в круглом столе!

Коллеги, доброго дня!
В публичный доступ выложена первая лекция из цикла лекций к учебной программе №34 НОУ ДПО "ЦПКС ТЗИ" «ТЕХНИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ. СТАТИЧЕСКИЙ АНАЛИЗ ИСХОДНЫХ КОДОВ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ». Леция доступна по ссылке https://ib-bank.ru/bistv/video/991.

Коллеги, вторая лекция готова https://ib-bank.ru/bistv/video/993

Цифра международная

14-15 апреля в Москве состоится научно-практическая конференция «Цифровые международные отношения 2022». Организаторами выступают МГИМО, Министерство иностранных дел России и Институт системного программирования им. В.П. Иванникова Российской академии наук.

Цель конференции — организовать конструктивное обсуждение и творческое осмысление лучших мировых практик цифровой трансформации в сферах международных отношений, управления, экономики и образования, а также обеспечить выработку на их основе рекомендаций для цифрового развития Российской Федерации.

В числе главных задач – анализ актуальных тенденций в области международной информационной безопасности, оценка влияния процессов цифровой трансформации на различные аспекты дипломатической службы, исследование потенциала технологий искусственного интеллекта в области международных отношений.

Президент РАН Александр Сергеев эксклюзивно для «Научно-образовательной политики»:

«В современных реалиях нам необходимо развивать научную дипломатию, использовать науку как интегрирующий фактор для международного диалога. Важным инструментом безбарьерности научной мысли может стать тема цифровизации – мы можем самостоятельно формировать глобальный цифровой мир. Кроме того, сейчас, когда есть ограничения в международном взаимодействии, становится особенно важна научная кооперация внутри страны, взаимодействие институтов и университетов. Все эти темы активно развиваются в рамках совместной работы Академии наук с МИД и МГИМО и будут, вне сомнения, обсуждаться на конференции».

Мероприятие пройдет в МГИМО в очном формате с возможностью дистанционного подключения.

В пленарной сессии примут участие представители правительства и академического сообщества. Выступят глава МИД России Сергей Лавров, ректор МГИМО МИД России Анатолий Торкунов, директор ИСП РАН Арутюн Аветисян и другие.

Секции и круглые столы конференции охватят широкий ряд тем: от кибербезопасности и машинного анализа естественного языка до чат-ботов и цифровой трансформации индустрии туризма.

Участие в конференции бесплатное. При посещении не менее четырех секций или круглых столов участники могут получить сертификат МГИМО МИД России о прохождении программы повышения квалификации по цифровой проблематике.

Подробнее о конференции – на официальном сайте: https://digital2022.mgimo.ru/.

Коллеги, всем привет.

В ближайшее время стартует очередная фаза развития репозитория сообщества (стандартизация структуры с учетом пожеланий сообщества, высказанных на апрельской встрече, и опыта работы в Центре анализа ядра Линукс; увеличение числа движков динамического анализа; развитие портала аналитики и многое-многое другое) – формирование Центра компетенций по анализу безопасности критичных компонентов.

Помимо развития собственно инфраструктуры, дополнительные ресурсы будут вкладываться в непосредственное развитие динамического (и статического) анализа модулей и участков кода, составляющих поверхность атаки в типовых анализируемых средствах. Потребуются помощь и участие и мейнтейнеров (менторов), и непосредственно экспертов (разметка, создание целей). Наработки, полученные в ходе данных проектов, можно и нужно будет использовать и переиспользовать в процессах испытаний.

Для более точного определения того, какие именно пакеты представляют сейчас для сообщества наибольший интерес, просим снова принять участие в сборе статистики. Укажите, пожалуйста, наиболее значимые для вашей организации пакеты с открытым исходным кодом и краткую информацию.

Можете заполнять непосредственно в документе по ссылке (https://disk.yandex.ru/i/6umhwEWuka-Oew - ссылка даёт всем права на редактирование), либо присылайте мне в личку в ТГ (желательно следовать приведённому формату).

Заранее благодарим всех за участие 🙂

::

Коллеги, добрый день.

15го июня состоится традиционный Certification Day на базе Лаборатории Касперского. В этом году мероприятие планируется ещё более масштабным чем обычно, но это не единственное изменение - впервые будет организована интернет-трансляция, ссылка на которую будет также выложена в Орг. вопросах непосредственно в день мероприятия.

К сообщению приложена программа мероприятия - традиционно актуальные темы и компетентные докладчики - подключайтесь к трансляции, будет интересно!

Большая просьба ко всем оффлайн-участникам - в связи с аншлагом как можно скорее ответить на запрос-подтверждение, который Карина Олеговна и её команда выслали вам на ту почту, с которой вы отправляли заявку на участие.