Forwarded from DevSecOps Assessment Framework (DAF)
Новый релиз DAF!
Всем привет! Спешим поделиться важным событием: очередной релиз DAF случился. В нем мы многое пересмотрели, изменили и улучшили.
Что добавилось и изменилось:
1. Появился маппинг на ПЗ ЦБ - очень важное дополнение DAF для финансовых организаций. Общее количество маппингов достигло 6!
2. Добавили автомаппинг на ГОСТ 56939-2024 (новая вкладка). Это было нелегко, но мы справились, теперь можно проводя аудит по DAF и сразу же получать результат относительно 4х фреймворков - ГОСТ 56939, DSOMM, SAMM, PT Table Top!
3. Актуализировали Карту DAF
4. Изменились названия вкладок:
— Маппинг со стандартами -> Практики
— Heatmap -> Результаты аудита
5. Во вкладке "Результаты аудита" появилась сводная информация по % выполненных практик доменов и поддоменов, а также вычисление текущего уровня зрелости Компании по DAF
6. Добавилась вкладка "Общее, домены, поддомены", концептуально описывающая "что надо защищать" с декомпозицией от общего к частному
7. Во вкладке "Кирилламида" добавился новый вид Кирилламиды с отображением % выполнения практик каждого уровня
8. Исправили битые ссылки, опечатки, прочие косяки с визуаломи добавили новые
Что перенесено на следующий релиз:
1. Новые способы расчета и оформление вкладки "FTE DevSecOps"
Отдельным релизом в октябре выйдет перевод DAF на английский язык. В связи с чем у нас к вам, дорогие друзья, есть просьба: если вы или ваши коллеги\знакомые можете написать и опубликовать материалы (статья, обзор, анонс и пр.) по английской версии DAF на каких-либо зарубежных площадках для англоговорящего коммьюнити Appsec\DevSecOps - дайте нам знать, пожалуйста (можно комментарием под этим постом).
Ну и на сладкое 🍰
Планируем сделать небольшие видеоролики о том, что такое DAF, как он устроен и как правильно им пользоваться. Ждите анонсов!
Всем привет! Спешим поделиться важным событием: очередной релиз DAF случился. В нем мы многое пересмотрели, изменили и улучшили.
Что добавилось и изменилось:
1. Появился маппинг на ПЗ ЦБ - очень важное дополнение DAF для финансовых организаций. Общее количество маппингов достигло 6!
2. Добавили автомаппинг на ГОСТ 56939-2024 (новая вкладка). Это было нелегко, но мы справились, теперь можно проводя аудит по DAF и сразу же получать результат относительно 4х фреймворков - ГОСТ 56939, DSOMM, SAMM, PT Table Top!
3. Актуализировали Карту DAF
4. Изменились названия вкладок:
— Маппинг со стандартами -> Практики
— Heatmap -> Результаты аудита
5. Во вкладке "Результаты аудита" появилась сводная информация по % выполненных практик доменов и поддоменов, а также вычисление текущего уровня зрелости Компании по DAF
6. Добавилась вкладка "Общее, домены, поддомены", концептуально описывающая "что надо защищать" с декомпозицией от общего к частному
7. Во вкладке "Кирилламида" добавился новый вид Кирилламиды с отображением % выполнения практик каждого уровня
8. Исправили битые ссылки, опечатки, прочие косяки с визуалом
Что перенесено на следующий релиз:
1. Новые способы расчета и оформление вкладки "FTE DevSecOps"
Отдельным релизом в октябре выйдет перевод DAF на английский язык. В связи с чем у нас к вам, дорогие друзья, есть просьба: если вы или ваши коллеги\знакомые можете написать и опубликовать материалы (статья, обзор, анонс и пр.) по английской версии DAF на каких-либо зарубежных площадках для англоговорящего коммьюнити Appsec\DevSecOps - дайте нам знать, пожалуйста (можно комментарием под этим постом).
Ну и на сладкое 🍰
Планируем сделать небольшие видеоролики о том, что такое DAF, как он устроен и как правильно им пользоваться. Ждите анонсов!
GitHub
Release 2025.09.30 · Jet-Security-Team/DevSecOps-Assessment-Framework
Список изменений:
Появился маппинг на ПЗ ЦБ - очень важное дополнение DAF для финансовых организаций. Общее количество маппингов достигло 6!
Добавили автомаппинг на ГОСТ 56939-2024 (новая вкладка)...
Появился маппинг на ПЗ ЦБ - очень важное дополнение DAF для финансовых организаций. Общее количество маппингов достигло 6!
Добавили автомаппинг на ГОСТ 56939-2024 (новая вкладка)...
15🔥18❤🔥5👏3👍1🤡1
Kubernetes Architecture Diagrams
Всем привет!
Мы уже несколько раз писали про средства автоматизации создания графического представления взаимосвязи ресурсов кластера Kubernetes – diagrams as code.
По ссылке можно найти Awesome-подборку, в котором собрано много материалов по теме.
Например:
🍭 Набор иконок
🍭 Средства для создания диаграмм «в ручном режиме»
🍭 Средства для автоматизированного создания диаграмм
Для каждой из рассматриваемых утилит приводится общая информация: лицензия, популярность (звезды, forks), активность. Поддерживаемые ресурсы k8s и не только.
Дополнительно представлены данные о сравнении рассматриваемых утилит по разным критериям.
Точно есть из чего выбрать! 😊
Всем привет!
Мы уже несколько раз писали про средства автоматизации создания графического представления взаимосвязи ресурсов кластера Kubernetes – diagrams as code.
По ссылке можно найти Awesome-подборку, в котором собрано много материалов по теме.
Например:
🍭 Набор иконок
🍭 Средства для создания диаграмм «в ручном режиме»
🍭 Средства для автоматизированного создания диаграмм
Для каждой из рассматриваемых утилит приводится общая информация: лицензия, популярность (звезды, forks), активность. Поддерживаемые ресурсы k8s и не только.
Дополнительно представлены данные о сравнении рассматриваемых утилит по разным критериям.
Точно есть из чего выбрать! 😊
GitHub
GitHub - philippemerle/Awesome-Kubernetes-Architecture-Diagrams: Awesome Kubernetes Architecture Diagrams
Awesome Kubernetes Architecture Diagrams. Contribute to philippemerle/Awesome-Kubernetes-Architecture-Diagrams development by creating an account on GitHub.
🔥5👍2😱1
Реализация multi-tenancy в Kubernetes
Всем привет!
Представим, что кластером Kubernetes одновременно пользуются несколько команд и надо реализовать multi-tenancy.
Одной из сложностей, с которой можно столкнуться, является изоляция: вычислительные ресурсы, сетевое взаимодействие, хранилища и т.д.
По умолчанию, в Kubernetes нет такой опции «из коробки», однако! Есть возможности, которые позволят это реализовать.
В статье Автор разбирает:
🍭 Использование Namespaces и RBAC
🍭 Создание сетевых политик
🍭 Работа с Security Policies (Kyverno, OPA Gatekeeper и их аналоги)
🍭 Виртуальные кластеры и не только
Используя все это можно сделать надежное разграничение всего для корректной работы множества пользователей.
Автор разбирает ключевые сложности, с которыми можно столкнуться и способы их решения.
В результате имеем хорошую, большую и достаточно подробную статью по теме.
Всем привет!
Представим, что кластером Kubernetes одновременно пользуются несколько команд и надо реализовать multi-tenancy.
Одной из сложностей, с которой можно столкнуться, является изоляция: вычислительные ресурсы, сетевое взаимодействие, хранилища и т.д.
По умолчанию, в Kubernetes нет такой опции «из коробки», однако! Есть возможности, которые позволят это реализовать.
В статье Автор разбирает:
🍭 Использование Namespaces и RBAC
🍭 Создание сетевых политик
🍭 Работа с Security Policies (Kyverno, OPA Gatekeeper и их аналоги)
🍭 Виртуальные кластеры и не только
Используя все это можно сделать надежное разграничение всего для корректной работы множества пользователей.
Автор разбирает ключевые сложности, с которыми можно столкнуться и способы их решения.
В результате имеем хорошую, большую и достаточно подробную статью по теме.
Medium
🔒 Kube Roommates: Securing and Isolating Your Multi-Tenant Cluster with Open Source
Introduction 🚀
Новый Trivy Operator Dashboard!
Всем привет!
Нет, это не обновление дашборда для Grafana, который позволяет визуализировать метрики, получаемые с Trivy Operator’a.
Это отдельный проект, разработанный группой энтузиастов, когда они поняли, что «нет ничего подходящего».
Он позволяет:
🍭 Отображать информацию по уязвимостям, SBoM, аудитам конфигураций, секретов и т.д.
🍭 Фильтровать данные для отображения релевантной информации
🍭 Выгружать данные (в CSV-формате)
🍭 Показывать «граф отчетов» для анализируемого ресурса
🍭 Сравнивать отчеты между собой (в том числе между разными namespace) и не только
Устанавливается максимально просто: нужен кластер с установленным на нем Trivy Operator, а дальше
Что делать дальше описано в инструкции по эксплуатации. Крайне рекомендуем ее прочитать, т.к. там много всего интересного.
Выглядит как то, что хочется попробовать!
Всем привет!
Нет, это не обновление дашборда для Grafana, который позволяет визуализировать метрики, получаемые с Trivy Operator’a.
Это отдельный проект, разработанный группой энтузиастов, когда они поняли, что «нет ничего подходящего».
Он позволяет:
🍭 Отображать информацию по уязвимостям, SBoM, аудитам конфигураций, секретов и т.д.
🍭 Фильтровать данные для отображения релевантной информации
🍭 Выгружать данные (в CSV-формате)
🍭 Показывать «граф отчетов» для анализируемого ресурса
🍭 Сравнивать отчеты между собой (в том числе между разными namespace) и не только
Устанавливается максимально просто: нужен кластер с установленным на нем Trivy Operator, а дальше
helm install и готово.Что делать дальше описано в инструкции по эксплуатации. Крайне рекомендуем ее прочитать, т.к. там много всего интересного.
Выглядит как то, что хочется попробовать!
GitHub
GitHub - raoulx24/trivy-operator-dashboard: Trivy Operator Dashboard: A comprehensive tool for Trivy Operator. Offers various dashboards…
Trivy Operator Dashboard: A comprehensive tool for Trivy Operator. Offers various dashboards and interactive pages where you can browse and inspect Trivy Reports. Built with C#, .NET 9 (backend), A...
❤5
От 2500 до 20 Warning с использованием CodeQL
Всем привет!
В рамках аудита OpenVPN2 команда Trail of Bits столкнулась с нюансом: компилятор выдавал порядка 2500 сработок (warnings) о неявных преобразованиях типа.
Это достаточно большой объем для «ручной разметки» и надо было что-то делать. Не все из указанных сработок явно влияли на информационную безопасность и были вполне себе «доброкачественными».
Поэтому ребята решили написать собственную CodeQL Query, которая могла бы сократить количество данных для анализа.
Именно этому и посвящена статья! После небольшой вводной об ИБ-проблематике неявного преобразования типов Авторы описывают алгоритм, который позволил им сократить итоговую выборку до 20 штук.
Он состоит из шагов:
🍭 Анализ существующих CodeQL Query. Ни одна не подошла ввиду повышенной «шумности»
🍭 Найти все «проблемные» преобразования типов
🍭 Оптимизация результатов, полученных на предыдущем шаге
🍭 Использование taint tracking для того, чтобы сфокусироваться на данных, на которые может повлиять пользователь
На всех этапах описана CodeQL Query и как она видоизменялась, представлены комментарии Авторов почему они решили сделать именно так.
Полученная Query общедоступна и располагается вот тут на случай, если вы хотите ее использовать для анализа своего проекта.
Помимо этого, есть еще Case Study (~ 37 страниц), в котором Авторы более детально описывают реализованный ими подход к анализу.
Всем привет!
В рамках аудита OpenVPN2 команда Trail of Bits столкнулась с нюансом: компилятор выдавал порядка 2500 сработок (warnings) о неявных преобразованиях типа.
Это достаточно большой объем для «ручной разметки» и надо было что-то делать. Не все из указанных сработок явно влияли на информационную безопасность и были вполне себе «доброкачественными».
Поэтому ребята решили написать собственную CodeQL Query, которая могла бы сократить количество данных для анализа.
Именно этому и посвящена статья! После небольшой вводной об ИБ-проблематике неявного преобразования типов Авторы описывают алгоритм, который позволил им сократить итоговую выборку до 20 штук.
Он состоит из шагов:
🍭 Анализ существующих CodeQL Query. Ни одна не подошла ввиду повышенной «шумности»
🍭 Найти все «проблемные» преобразования типов
🍭 Оптимизация результатов, полученных на предыдущем шаге
🍭 Использование taint tracking для того, чтобы сфокусироваться на данных, на которые может повлиять пользователь
На всех этапах описана CodeQL Query и как она видоизменялась, представлены комментарии Авторов почему они решили сделать именно так.
Полученная Query общедоступна и располагается вот тут на случай, если вы хотите ее использовать для анализа своего проекта.
Помимо этого, есть еще Case Study (~ 37 страниц), в котором Авторы более детально описывают реализованный ими подход к анализу.
The Trail of Bits Blog
Taming 2,500 compiler warnings with CodeQL, an OpenVPN2 case study
We created a CodeQL query that reduced 2,500+ compiler warnings about implicit conversions in OpenVPN2 to just 20 high-priority cases, demonstrating how to effectively identify potentially dangerous type conversions in C code.
👍5
Безопасная разработка на CyberCamp 2025!
Всем привет!
Совсем скоро (20 – 25 октября 2025 года) пройдет самое масштабное online-мероприятие, посвященное практической информационной безопасности - CyberCamp 2025😎 !
Доклады, разные задания: от "квизов" до мозгодробящих задачек на специально подготовленной ИТ-инфраструктуре!!! Все на месте. Много. Интересно.
РБПО, AppSec, DevSecOps,TriceratOPS не остались в стороне! В этом году нас ждем очень много докладов и практики.
Что-то уже доступно сегодня, а что-то станет доступно в ближайшее время:
🤩 Антон Конопак, «DevSecOps в каждый дом! Простыми словами о непростой области ИБ» // Инфосистемы Джет
🤩 Дмитрий Полторак, «MLSecOps: замок для ящика Пандоры» // Инфосистемы Джет
🤩 Роман Корчагин, «Реализуем Sec в DevSecOps с помощью подхода Shift-Down» // Лаборатория Числитель
🤩 Данила Леонтьев, «Как писать правила для CodeQL и не сойти с ума» // Независимый эксперт
По докладам, которые будут проходить в дни мероприятия мы сделаем отдельный пост и расскажем вам обо всем завтра!
Больше про мероприятие можно узнать на официальном сайте, TG-канале или чате сообщества CyberCamp.
Уверены, что будет интересно! До встречи!👋 👋 👋
Всем привет!
Совсем скоро (20 – 25 октября 2025 года) пройдет самое масштабное online-мероприятие, посвященное практической информационной безопасности - CyberCamp 2025
Доклады, разные задания: от "квизов" до мозгодробящих задачек на специально подготовленной ИТ-инфраструктуре!!! Все на месте. Много. Интересно.
РБПО, AppSec, DevSecOps,
Что-то уже доступно сегодня, а что-то станет доступно в ближайшее время:
По докладам, которые будут проходить в дни мероприятия мы сделаем отдельный пост и расскажем вам обо всем завтра!
Больше про мероприятие можно узнать на официальном сайте, TG-канале или чате сообщества CyberCamp.
Уверены, что будет интересно! До встречи!
Please open Telegram to view this post
VIEW IN TELEGRAM
15👍12❤6🔥5🤩1
Безопасная разработка на CyberCamp 2025: часть 2!
Всем привет!
Продолжение вчерашнего поста про CyberCamp 2025!
Сегодня мы расскажем вам о том, какие выступления можно послушать в дни мероприятия.
Для этого мы сделали небольшую подборку:
🧑💻 21.10 Влад Азерский, «Первое правило CI/CD-клуба: компрометация начинается с доверия» // F6
🧑💻 23.10 Дмитрий Евдокимов, «1000 и 1 способ избавиться от уязвимостей в контейнерных приложениях» // Luntry
🧑💻 23.10 Михаил Парфенов, «Моделирование угроз для frontend-приложения: делаем каждый релиз Secure By Design» // DPA Analytics
🧑💻 23.10 Дима Саленый, «Найди меня, если сможешь» // ЕДИНЫЙ ЦУПИС
🧑💻 23.10 Алина Сагирова, «~$ whoami AppSec BP» // Альфа-Банк
Больше про мероприятие можно узнать на официальном сайте, TG-канале или чате сообщества CyberCamp.
Уверены, что будет интересно! До встречи!👋 👋 👋
Всем привет!
Продолжение вчерашнего поста про CyberCamp 2025!
Сегодня мы расскажем вам о том, какие выступления можно послушать в дни мероприятия.
Для этого мы сделали небольшую подборку:
Больше про мероприятие можно узнать на официальном сайте, TG-канале или чате сообщества CyberCamp.
Уверены, что будет интересно! До встречи!
Please open Telegram to view this post
VIEW IN TELEGRAM
16👍16❤6🔥5❤🔥1
Безопасность web-приложений с Falcoya!
Всем привет!
Нет, вам не показалось ☺️ Falcoya – некоторое «логический» преемник Falco в части безопасности web-приложений. И да! Open-source!
Если просто, то она анализирует Nginx Access Logs в режиме реального времени с использованием Falco для обнаружения атак.
Алгоритм работы следующий:
🍭 Входящий запрос попадает на Nginx
🍭 Создается запись в
🍭 Falcoya анализирует новую строку
🍭 В случае обнаружения чего-то подозрительного создается оповещение
На текущий момент с ее помощью можно идентифицировать SQLi, XSS и Command Injection, Directory Traversal и другие.
Больше подробностей о Falcoya можно узнать на официальном сайте или GitHub-репозитории проекта.
Важно: проект пока что находится в prototype release stage.
Всем привет!
Нет, вам не показалось ☺️ Falcoya – некоторое «логический» преемник Falco в части безопасности web-приложений. И да! Open-source!
Если просто, то она анализирует Nginx Access Logs в режиме реального времени с использованием Falco для обнаружения атак.
Алгоритм работы следующий:
🍭 Входящий запрос попадает на Nginx
🍭 Создается запись в
/var/log/nginx/access.log🍭 Falcoya анализирует новую строку
🍭 В случае обнаружения чего-то подозрительного создается оповещение
На текущий момент с ее помощью можно идентифицировать SQLi, XSS и Command Injection, Directory Traversal и другие.
Больше подробностей о Falcoya можно узнать на официальном сайте или GitHub-репозитории проекта.
Важно: проект пока что находится в prototype release stage.
falcoya.dev
falco-plugin-nginx - リアルタイムWebセキュリティ監視
NginxアクセスログをリアルタイムでFalcoが監視し、Webアプリケーションへの脅威を即座に検知。
CyberCamp 2025: консультации от Спикеров
Всем привет!
На CyberCamp 2025 доступна новая механика – консультации от Спикеров! У любого участника есть возможность написать свой вопрос и, возможно, именно его выберет Спикер.
Дальше все просто – организуется сессия на 30 минут, где вы тет-а-тет общаетесь по выбранной теме👨💻 .
С кем и о чем можно поговорить:
😎 Дмитрий Евдокимов. Kubernetes Security / Container Security / DevSecOps
😎 Михаил Парфенов. Безопасная разработка FE приложений / Обнаружение утечек в браузерных FE приложениях и не только
😎 Дима Саленый. Автоматизация процессов / Безопасная разработка / DevSecOps
😎 Антон Конопак. Инструменты и процессы DevSecOps / Комплаенс в DevSecOps / Поэтапная реализация стратегии DevSecOps
😎 Дмитрий Полторак. MLSecOPs / Безопасность ИТ-инфраструктуры
😎 Роман Корчагин. Внедрение SCA/SAST / Защита от попадания непроверенных артефактов в продуктовые среды
😎 Данила Леонтьев. SAST / DAST / Веб-фаззинг / SCA / Container Security / Построение SSDLC
И это еще не все! Полный перечень Спикеров и их темы консультаций можно найти на сайте CyberCamp 2025.
Важно (!): количество консультаций у каждого Спикера ограничено😈 . Окончание приема заявок - 17 октября. Поэтому не стоит откладывать, если вы хотели что-то уточнить лично 🥰
Всем привет!
На CyberCamp 2025 доступна новая механика – консультации от Спикеров! У любого участника есть возможность написать свой вопрос и, возможно, именно его выберет Спикер.
Дальше все просто – организуется сессия на 30 минут, где вы тет-а-тет общаетесь по выбранной теме
С кем и о чем можно поговорить:
И это еще не все! Полный перечень Спикеров и их темы консультаций можно найти на сайте CyberCamp 2025.
Важно (!): количество консультаций у каждого Спикера ограничено
Please open Telegram to view this post
VIEW IN TELEGRAM
❤8🔥4😍3
Autoswagger: анализ API
Всем привет!
Autoswagger – open-source инструмент, который позволяет находить простые проблемы с авторизацией в API.
Да, это достаточно «простая» уязвимость, однако, она все еще часто встречается. Кроме того, для ее эксплуатации не надо обладать какими-то редкими компетенциями, что делает ее еще опасней.
Autoswagger использует OpenAPI schema для получения представления об API. На основе собранных данных он сканирует API и находит endpoints, в которых нет проверки токена.
Дополнительно он может находить чувствительную информацию (номера телефонов, адреса, имена и т.д.) и/или секреты (с использованием регулярных выражений).
Подробнее про Autoswagger можно узнать из GitHub-репозитория или из статьи. Кстати, в ней приведены реальные примеры использования утилиты и что получилось найти с ее помощью.
Всем привет!
Autoswagger – open-source инструмент, который позволяет находить простые проблемы с авторизацией в API.
Да, это достаточно «простая» уязвимость, однако, она все еще часто встречается. Кроме того, для ее эксплуатации не надо обладать какими-то редкими компетенциями, что делает ее еще опасней.
Autoswagger использует OpenAPI schema для получения представления об API. На основе собранных данных он сканирует API и находит endpoints, в которых нет проверки токена.
Дополнительно он может находить чувствительную информацию (номера телефонов, адреса, имена и т.д.) и/или секреты (с использованием регулярных выражений).
Подробнее про Autoswagger можно узнать из GitHub-репозитория или из статьи. Кстати, в ней приведены реальные примеры использования утилиты и что получилось найти с ее помощью.
GitHub
GitHub - intruder-io/autoswagger: Autoswagger by Intruder - detect API auth weaknesses
Autoswagger by Intruder - detect API auth weaknesses - intruder-io/autoswagger
VAmPI: еще-одно-заведомо-уязвимое-приложение
Всем привет!
По ссылке можно посмотреть на проект VAmPI – уязвимое API, созданное на базе Flask, включающее в себя уязвимости из OWSAP Top-10.
Например:
🍭 SQLi Injection
🍭Unauthorized Password Change
🍭Broken Object Level Authorization
🍭Mass Assignment
🍭Excessive Data Exposure through debug endpoint
🍭User and Password Enumeration
🍭RegexDOS (Denial of Service)
🍭Lack of Resources & Rate Limiting
JWT authentication bypass via weak signing key
Swagger UI прилагается, чтобы можно было проще взаимодействовать с приложением. Запускается в контейнере и сразу «готово к использованию».
Больше подробностей о проекте можно найти в его GitHub-репозитории.
Всем привет!
По ссылке можно посмотреть на проект VAmPI – уязвимое API, созданное на базе Flask, включающее в себя уязвимости из OWSAP Top-10.
Например:
🍭 SQLi Injection
🍭Unauthorized Password Change
🍭Broken Object Level Authorization
🍭Mass Assignment
🍭Excessive Data Exposure through debug endpoint
🍭User and Password Enumeration
🍭RegexDOS (Denial of Service)
🍭Lack of Resources & Rate Limiting
JWT authentication bypass via weak signing key
Swagger UI прилагается, чтобы можно было проще взаимодействовать с приложением. Запускается в контейнере и сразу «готово к использованию».
Больше подробностей о проекте можно найти в его GitHub-репозитории.
GitHub
GitHub - erev0s/VAmPI: Vulnerable REST API with OWASP top 10 vulnerabilities for security testing
Vulnerable REST API with OWASP top 10 vulnerabilities for security testing - erev0s/VAmPI
❤1👍1
Безопасность GitHub Actions с SonarQube
Всем привет!
По ссылке доступна статья от Авторов SonarQube, в которой они разбирают чем он может быть полезен при анализе GitHub Actions.
После небольшого введения про GitHub Actions, рассматривается несколько сценариев атак.
Например:
🍭 Command Injection, реализуемая через
🍭 Command Injection, реализуемая через
🍭 Code Execution, через выполнение Third Party Action
Для каждого из рассматриваемых примеров приводятся рекомендации по предотвращению, ссылки на полезные материалы по теме и идентификационные номера уязвимостей, которые рассматриваются в статье для дальнейшего изучения.
Всем привет!
По ссылке доступна статья от Авторов SonarQube, в которой они разбирают чем он может быть полезен при анализе GitHub Actions.
После небольшого введения про GitHub Actions, рассматривается несколько сценариев атак.
Например:
🍭 Command Injection, реализуемая через
github.event.issue.title🍭 Command Injection, реализуемая через
pull_request_target🍭 Code Execution, через выполнение Third Party Action
Для каждого из рассматриваемых примеров приводятся рекомендации по предотвращению, ссылки на полезные материалы по теме и идентификационные номера уязвимостей, которые рассматриваются в статье для дальнейшего изучения.
Sonarsource
Securing GitHub Actions With SonarQube: Real-World Examples
This blog introduces SonarQube's enhanced analysis capabilities for GitHub Actions, designed to proactively identify and remediate security vulnerabilities like Command Injection and Code Execution that pose a significant supply chain risk.
❤3
Software Factory Security Framework
Всем привет!
По ссылке можно найти Software Factory Security Framework (SF2), подготовленный командой GitLab.
Ключевая аудитория – руководители, которым необходим комплексный стратегический подход к развитию практик безопасной разработки.
Согласно предложенному подходу сперва необходимо определить «Кто вы?». Есть 4 варианта – Visionaries, Leaders, Niche Players или Challengers.
В зависимости от результата SF2 предлагает свой путь развития и понимания первоочередных задач.
Для каждого пути рассматриваются блоки:
🍭 Strategic Priorities
🍭 Quick Start Checklist
🍭 Investment Roadmap
🍭 Common Pitfalls
🍭 Success Indicator
А внутри каждого блока есть отдельные «деления». Например, в Success Indicators представлены метрики, которые можно достичь за 6, 12 и 24 месяца.
Помимо этого, есть рекомендации о том, как лучше использовать SF2 вместе с NIST SSDF, OWASP SAMM, BSIMM и OWASP ASVS.
В общем – чтения «внутри» крайне много, рекомендуем к изучению! ☺️
Всем привет!
По ссылке можно найти Software Factory Security Framework (SF2), подготовленный командой GitLab.
Ключевая аудитория – руководители, которым необходим комплексный стратегический подход к развитию практик безопасной разработки.
Согласно предложенному подходу сперва необходимо определить «Кто вы?». Есть 4 варианта – Visionaries, Leaders, Niche Players или Challengers.
В зависимости от результата SF2 предлагает свой путь развития и понимания первоочередных задач.
Для каждого пути рассматриваются блоки:
🍭 Strategic Priorities
🍭 Quick Start Checklist
🍭 Investment Roadmap
🍭 Common Pitfalls
🍭 Success Indicator
А внутри каждого блока есть отдельные «деления». Например, в Success Indicators представлены метрики, которые можно достичь за 6, 12 и 24 месяца.
Помимо этого, есть рекомендации о том, как лучше использовать SF2 вместе с NIST SSDF, OWASP SAMM, BSIMM и OWASP ASVS.
В общем – чтения «внутри» крайне много, рекомендуем к изучению! ☺️
Sf2Framework
Software Factory Security Framework (SF²)
Strategic framework for scaling security capabilities while improving business outcomes
🔥2
Security Observability в Kubernetes: не логами едиными!
Всем привет!
Когда говорят про безопасность Kubernetes, то, зачастую, это разговор про анализ образов контейнеров, контроль используемых конфигураций, сетевые политики, защита запущенных контейнеров.
Нюанс в том, что они могут работать «сами по себе» и, в случае реализации инцидента, очень сложно понять общую картину.
Т.е. становится трудно быстро ответить на вопросы:
🍭 Какой pod запрашивал доступ к секретам за последний час?
🍭 Был ли в каком-либо контейнере запущен процесс, которого не должно быть?
🍭 Какие подозрительные API-вызовы делал Service Account
🍭 С какими внешними сервисами осуществлялось взаимодействие?
🍭 Можно ли всю эту информацию как-то связать с пользовательскими действиями?
за условные 60 минут становится просто нереально.
В статье Автор рассматривает подход, который может это исправить.
За «основу» он берет Kubernetes Audit Logs и Falco, рассматривает как можно «комбинировать» получаемые из них данные для повышения общей observability анализируемого кластера.
Завершают статью размышления Автора о том, как можно расширить описанный подход и на сеть при помощи Cilium Hubble.
В итоге имеем очень хорошую статью о том, как можно улучшить мониторинг кластера.
Всем привет!
Когда говорят про безопасность Kubernetes, то, зачастую, это разговор про анализ образов контейнеров, контроль используемых конфигураций, сетевые политики, защита запущенных контейнеров.
Нюанс в том, что они могут работать «сами по себе» и, в случае реализации инцидента, очень сложно понять общую картину.
Т.е. становится трудно быстро ответить на вопросы:
🍭 Какой pod запрашивал доступ к секретам за последний час?
🍭 Был ли в каком-либо контейнере запущен процесс, которого не должно быть?
🍭 Какие подозрительные API-вызовы делал Service Account
🍭 С какими внешними сервисами осуществлялось взаимодействие?
🍭 Можно ли всю эту информацию как-то связать с пользовательскими действиями?
за условные 60 минут становится просто нереально.
В статье Автор рассматривает подход, который может это исправить.
За «основу» он берет Kubernetes Audit Logs и Falco, рассматривает как можно «комбинировать» получаемые из них данные для повышения общей observability анализируемого кластера.
Завершают статью размышления Автора о том, как можно расширить описанный подход и на сеть при помощи Cilium Hubble.
В итоге имеем очень хорошую статью о том, как можно улучшить мониторинг кластера.
Fatih Koç
Security Observability in Kubernetes Goes Beyond Logs
Build security observability in Kubernetes with audit logs, Falco runtime detection, and correlated security telemetry for faster incident response.
👍4❤1
Codeaudit: SAST для Python
Всем привет!
Codeaudit – утилита, которая позволяет анализировать Python-проекты для выявления проблем, связанных с информационной безопасностью.
Он позволяет:
🍭 Получать общую информацию о проекте (файлы, SLOC, AST Nodes, модули, оценка сложности проекта)
🍭 Получать аналогичную информацию для конкретного файла
🍭 Идентифицировать уязвимости в исходном коде
🍭 Предоставляет информацию по уязвимостям, найденных в импортируемых модулях (за основу берется OSV Database).
Помимо этого, Codeaudit может формировать отчетность. Увы, по умолчанию только в HTML. Из плюсов – очень приятный и понятный визуально отчет. Чтобы сгенерировать JSON надо реализовать некоторые манипуляции, о чем детально и с примерами написано в документации.
«Из коробки» доступно более 70 правил, которые позволяют выявлять уязвимости. У проекта есть очень подробная документация, с которой можно ознакомиться по ссылке.
Всем привет!
Codeaudit – утилита, которая позволяет анализировать Python-проекты для выявления проблем, связанных с информационной безопасностью.
Он позволяет:
🍭 Получать общую информацию о проекте (файлы, SLOC, AST Nodes, модули, оценка сложности проекта)
🍭 Получать аналогичную информацию для конкретного файла
🍭 Идентифицировать уязвимости в исходном коде
🍭 Предоставляет информацию по уязвимостям, найденных в импортируемых модулях (за основу берется OSV Database).
Помимо этого, Codeaudit может формировать отчетность. Увы, по умолчанию только в HTML. Из плюсов – очень приятный и понятный визуально отчет. Чтобы сгенерировать JSON надо реализовать некоторые манипуляции, о чем детально и с примерами написано в документации.
«Из коробки» доступно более 70 правил, которые позволяют выявлять уязвимости. У проекта есть очень подробная документация, с которой можно ознакомиться по ссылке.
GitHub
GitHub - nocomplexity/codeaudit: Codeaudit - Modern Python source code analyzer based on distrust.
Codeaudit - Modern Python source code analyzer based on distrust. - nocomplexity/codeaudit
👍2
AI AppSec Team
Всем привет!
А почему бы и нет?Решение вопроса кадрового голода в ИБ. Если без шуток, то в статье Автор описывает очень интересный эксперимент.
Он выделил повседневные активности AppSec-команды и подготовил отдельных агентов для решения каждой из них.
В команду попали:
🍭 Code Reviewer: идентифицирует уязвимости
🍭 Exploiter: создает exploit для найденных уязвимостей
🍭 Mitigation Expert: исправляет уязвимости
🍭 Report Writer: создает детальные отчеты о проделанной работе
За основу была взята LLM - mixtral-8x7b-32768. Далее Автор на примере небольшого куска уязвимого кода «показывает», как работает весь процесс – от используемых prompt до полученных результатов.
Каких именно? Ответы можно найти в статье 😊
P.S. Да, это лишь небольшой PoC на очень простом «примере» и масштабирование такого подхода (если возможно) потребует определенных усилий.
Тем не менее, что-то интересное в этом есть
Всем привет!
А почему бы и нет?
Он выделил повседневные активности AppSec-команды и подготовил отдельных агентов для решения каждой из них.
В команду попали:
🍭 Code Reviewer: идентифицирует уязвимости
🍭 Exploiter: создает exploit для найденных уязвимостей
🍭 Mitigation Expert: исправляет уязвимости
🍭 Report Writer: создает детальные отчеты о проделанной работе
За основу была взята LLM - mixtral-8x7b-32768. Далее Автор на примере небольшого куска уязвимого кода «показывает», как работает весь процесс – от используемых prompt до полученных результатов.
Каких именно? Ответы можно найти в статье 😊
P.S. Да, это лишь небольшой PoC на очень простом «примере» и масштабирование такого подхода (если возможно) потребует определенных усилий.
Тем не менее, что-то интересное в этом есть
Substack
Building an AI AppSec Team
The New Cybersecurity Heroes
👍7❤1🔥1
DevSecOps Pipeline Security Checklist
Всем привет!
Небольшой пятничный пост, в котором можно найти еще один checklist по DevSecOps, в котором собраны рекомендации о том, как, что и когда надо делать.
Он структурирован по этапам жизненного цикла разработки ПО:
🍭 Plan & Design Security (Threat Modelling, Security Requirements & Architecture Review)
🍭 Code & Commit Security (Coding Practices, Secret Management, SAST, SCA)
🍭 Build & Artifact Security (Secure Build Environment, Container Security, Supply Chain Security)
🍭 Test & Validate Security (DAST, IAST, Penetration Testing, Fuzz Testing)
🍭 Deploy & Runtime Security (IaC Security, RASP, Configuration Management, Secrets Injection)
🍭 Operate & Monitor Security (Logging and Monitoring, Incident Response Integration, Vulnerability Management, Compliance & Auditing)
Для каждого раздела приводится несколько рекомендаций о том, что надо делать.
Дополнительно в статье есть ссылки на полезные материалы по теме.
Всем привет!
Небольшой пятничный пост, в котором можно найти еще один checklist по DevSecOps, в котором собраны рекомендации о том, как, что и когда надо делать.
Он структурирован по этапам жизненного цикла разработки ПО:
🍭 Plan & Design Security (Threat Modelling, Security Requirements & Architecture Review)
🍭 Code & Commit Security (Coding Practices, Secret Management, SAST, SCA)
🍭 Build & Artifact Security (Secure Build Environment, Container Security, Supply Chain Security)
🍭 Test & Validate Security (DAST, IAST, Penetration Testing, Fuzz Testing)
🍭 Deploy & Runtime Security (IaC Security, RASP, Configuration Management, Secrets Injection)
🍭 Operate & Monitor Security (Logging and Monitoring, Incident Response Integration, Vulnerability Management, Compliance & Auditing)
Для каждого раздела приводится несколько рекомендаций о том, что надо делать.
Дополнительно в статье есть ссылки на полезные материалы по теме.
Hetmehta
Comprehensive DevSecOps Pipeline Security Checklist
Cybersecurity research, and personal experiences by Het Mehta.
👍8❤3
Supply Chain: ретроспектива за 2024/2025 года
Всем привет!
По ссылке можно найти агрегированную информацию о нашумевших атаках на цепочку поставки ПО, реализованных за 2024/2025 года.
В выборку попали: XZ Utils. Shai-Hulud, MavenGate, Ultralytics и многие другие. Для каждой их них Автор приводит ссылку для более детального изучения.
Помимо этого, Автор описывает наиболее «популярные» векторы:
🍭 Phishing
🍭 Control Handoff
🍭
🍭 Long-lived Credentials Exfiltration и не только
Для каждого из них в статье можно найти рекомендации по противодействию.
Очень хороший обзорный материал, который мы рекомендуем к ознакомлению!
Всем привет!
По ссылке можно найти агрегированную информацию о нашумевших атаках на цепочку поставки ПО, реализованных за 2024/2025 года.
В выборку попали: XZ Utils. Shai-Hulud, MavenGate, Ultralytics и многие другие. Для каждой их них Автор приводит ссылку для более детального изучения.
Помимо этого, Автор описывает наиболее «популярные» векторы:
🍭 Phishing
🍭 Control Handoff
🍭
pull_request_target и issue_comment🍭 Long-lived Credentials Exfiltration и не только
Для каждого из них в статье можно найти рекомендации по противодействию.
Очень хороший обзорный материал, который мы рекомендуем к ознакомлению!
words.filippo.io
A Retrospective Survey of 2024/2025 Open Source Supply Chain Compromises
Project compromises have common root causes we can mitigate: phishing, control handoff, and unsafe GitHub Actions triggers.
👍5
Kite: еще-один-Kubernetes-UI!
Всем привет!
Да, все так! Kite – open-source проект, который позволяет визуализировать состояние кластера Kubernetes.
Если кратко, то он умеет:
🍭 Предоставлять информацию о ресурсах (Deployments, StatefulSets, DaemonSets и т.д.)
🍭 Управлять ресурсами (создавать, масштабировать, удалять и т.д.)
🍭 Предоставлять информацию о потребляемых ресурсах
🍭 Отображать логи ресурсов
🍭 «Подключать» к контейнеру через терминал и много всего еще
Kite позволяет работать сразу с несколькими кластерами Kubernetes одновременно.
Функционал разграничения прав доступа пользователей также присутствует.
Если вы хотите немного поработать с ним, но не хочется устанавливать, то можно воспользоваться вот этим ресурсом.
Ну и самое главное!Темная тема на месте! 😊
Всем привет!
Да, все так! Kite – open-source проект, который позволяет визуализировать состояние кластера Kubernetes.
Если кратко, то он умеет:
🍭 Предоставлять информацию о ресурсах (Deployments, StatefulSets, DaemonSets и т.д.)
🍭 Управлять ресурсами (создавать, масштабировать, удалять и т.д.)
🍭 Предоставлять информацию о потребляемых ресурсах
🍭 Отображать логи ресурсов
🍭 «Подключать» к контейнеру через терминал и много всего еще
Kite позволяет работать сразу с несколькими кластерами Kubernetes одновременно.
Функционал разграничения прав доступа пользователей также присутствует.
Если вы хотите немного поработать с ним, но не хочется устанавливать, то можно воспользоваться вот этим ресурсом.
Ну и самое главное!
GitHub
GitHub - zxh326/kite: 🪁 A modern, lightweight Kubernetes dashboard.
🪁 A modern, lightweight Kubernetes dashboard. . Contribute to zxh326/kite development by creating an account on GitHub.
❤1
DevSecOps University
Всем привет!
По ссылке можно найти перечень полезных материалов по DevSecOps. В нем представлены видео, книги, статьи, блоги и т.д. Как платные, так и бесплатные.
По темам выделены следующие:
🍭 Git, CI/CD
🍭 Artifact Management
🍭 Infrastructure as Code
🍭 Threat Modelling
🍭 SAST, DAST
🍭 Security as Code, Compliance as Code
Подборка может быть полезна, если вы только начинаете свое приключение. Возможно, что те, кто уже в пути, смогут найти что-то полезное и для себя.
Всем привет!
По ссылке можно найти перечень полезных материалов по DevSecOps. В нем представлены видео, книги, статьи, блоги и т.д. Как платные, так и бесплатные.
По темам выделены следующие:
🍭 Git, CI/CD
🍭 Artifact Management
🍭 Infrastructure as Code
🍭 Threat Modelling
🍭 SAST, DAST
🍭 Security as Code, Compliance as Code
Подборка может быть полезна, если вы только начинаете свое приключение. Возможно, что те, кто уже в пути, смогут найти что-то полезное и для себя.
Practical DevSecOps
DevSecOps University ( DevSecOps learning resources) - Practical DevSecOps
A one stop shop for all your DevSecOps Needs.
👍8❤3
Container-Security-Liz-Rice.pdf
4.7 MB
Container Security от Liz Rice (второе издание)
Всем привет!
В приложении можно скачать второе издание книги «Container Security» от Liz Rice.
Liz достаточно известна в мире безопасности контейнеризации. Она работала в Aqua, Isovalent, является спикером множества конференций и одним из авторов CIS Benchmark для Docker.
Книга структурирована по разделам:
🍭 Container Security Threats
🍭 Linux System Calls, Permissions and Capabilities
🍭 Control Groups
🍭 Container Isolation, Virtual Machines
🍭 Supply Chain Security
Breaking Container Isolation и не только
Очень хороший материал с подробным описанием, примерами и набором тем, который охватывает множество областей защиты контейнеров.
Рекомендуем!
Всем привет!
В приложении можно скачать второе издание книги «Container Security» от Liz Rice.
Liz достаточно известна в мире безопасности контейнеризации. Она работала в Aqua, Isovalent, является спикером множества конференций и одним из авторов CIS Benchmark для Docker.
Книга структурирована по разделам:
🍭 Container Security Threats
🍭 Linux System Calls, Permissions and Capabilities
🍭 Control Groups
🍭 Container Isolation, Virtual Machines
🍭 Supply Chain Security
Breaking Container Isolation и не только
Очень хороший материал с подробным описанием, примерами и набором тем, который охватывает множество областей защиты контейнеров.
Рекомендуем!
🔥10❤2👍2