Episoder
-
Достигнув больших масштабов, систему сложно покрыть одними пентестами. И тогда компании объявляют Bug Bounty. В этом выпуске мы разбираемся во всех тонкостях процесса.
Мы пригласили руководителя направления VK Bug Bounty и профессионального пентестера. Они рассказали, когда компаниям пора объявлять конкурс по поиску уязвимостей и сколько платят багхантерам. А также поделились забавными случаями из опыта.
Гости выпуска:— Петр Уваров — руководитель направления VK Bug Bounty из команды информационной безопасности VK.
— Сергей Зыбнев — пентестер в компании Бастион. Спикер на профильных конференциях, автор канала Похек — о том, как похекать всё, что движется и не движется.
Ведущий — Алексей Федулаев. Руководитель направления Cloud Native Security, MTC Web Services. Автор канала Ever Secure на YouTube и в Telegram.Сайт конференции SafeCode: https://jrg.su/Xtb5NJ
Подписывайтесь на Telegram-канал, чтобы следить за новостями: https://jrg.su/XrgaNe
Слушайте выпуск на других платформах:
— YouTube — https://jrg.su/QfUb9v
— ВКонтакте — https://jrg.su/pBGSe9 -
Сломали вебчик, а что дальше? Мы оказываемся в контейнере внутри K8s. Что злоумышленник может сделать дальше и может ли вообще что-либо сделать? Об этом мы узнаем в новом выпуске подкаста. А гости расскажут крутые истории из практики.
Говорим про:— отличия пентеста контейнеров от пентеста веба и инфраструктуры;
— компетенции специалиста, который этим занимается;
— уязвимости и способы защитить контейнеры.
Гости выпуска:— Сергей Канибор — R&D / Container Security в Luntry. Bughunter. Редактор Telegram-канала k8s (in)security.
— Вадим Шелест — руководитель группы анализа защищенности Wildberries. Автор Telegram-канала PurpleBear.
Ведущий — Алексей Федулаев. Руководитель направления Cloud Native Security, MTC Web Services, Автор канала Ever Secure на YouTube и в Telegram. -
Что строят архитекторы безопасности, кроме серьезного лица? Какой строительный вуз нужно закончить, чтобы стать таким архитектором? Как собрать свою бригаду безопасников? Отвечаем на эти вопросы в подкасте.
Для этого мы пригласили специалистов этой сферы. Они расскажут, чем отличается работа архитекторов ИБ в разных компаниях, и поделятся забавными случаями из опыта, когда архитекторы могут спасти ситуацию.
Гости выпуска:— Владимир Поглазов — инженер информационной безопасности, Rakuten Mobile. Живет и работает в Японии, руководит секцией оценки безопасности.
— Роман Панин — руководитель направления архитектуры ИБ, МТС. Автор Telegram-канала Пакет Безопасности, ментор и ваш дружелюбный безопасник.
Ведущий — Алексей Федулаев. Руководитель направления Cloud Native Security, MTC Web Secvices, Автор канала Ever Secure в YouTube и Telegram. -
На SafeCode 2024 мы уже поговорили, что делать разработчикам, когда к ним «постучались» — и как специалистам по безопасности «стучаться» правильно.
В подкасте более развернуто отвечаем на вопросы:— какие аргументы использовать обеим сторонам, чтобы найти компромисс?
— как избежать незапланированных изменений и непонятных задач в духе «исправить сейчас же»?
— у кого должен быть рубильник, который останавливает релиз?
В студии снова встретились:— Дмитрий Шмойлов — руководитель AppSec-подразделения в Kaspersky.
— Алексей Смирнов — основатель платформы композиционного анализа CodeScoring, организатор трека и конференции Code Mining в сообществе ODS․ai.— Андрей Дмитриев — директор департамента производства в JUG Ru Group.
-
Позвали трех людей, знающих, что такое Application Security не понаслышке.
Ведущий Алексей Федулаев, DevSecOps Team Lead в Wildberries, и гости выпуска — Виктор Бобыльков, CISO в MTS Web Services, Алексей Морозов, руководитель Application Security в Samokat.tech и Александра Сватикова, системный архитектор команды Identity and Access Management в Yandex Cloud — обсуждают:— что из себя представляет современное веб-приложение и как обеспечивается его безопасность;
— чем занимаются AppSec-инженеры и чем они отличаются от пентестеров;
— и многое другое.
-
Участники обсуждают: «первое знакомство» с безопасностью контейнеров; безопасность рантайма контейнеров; типичные недоработки: отсутствие CVE, привилегированный контейнер и не только; инструменты для проверки уязвимостей; усиление защиты контейнеров.
Гости:
— Артем Бачевский, разрабатывает и автоматизирует процессы AppSec. В свободное время занимается исследованием вопросов кибербезопасности.
— Дмитрий Евдокимов, основатель и CTO Luntry.
— Алексей Федулаев, руководитель направления автоматизации безопасной разработки в Wildberries.
Ведущий:
Сергей Деев, эксперт по кибербезопасности в МТС RED.
-
Будет интересно разработчикам и всем, кто (уже или еще пока не) озабочен безопасностью своего софта.
Участники обсуждают:
— назначение статических анализаторов;
— типы и алгоритмы анализа;
— уровень качества, которые обеспечивают подходы к анализу кода;
— ложноположительные и ложноотрицательные срабатывания;
— контекстные особенности при анализе разных языков программирования;
— способы сравнения SAST-инструментов.
Гости:
— Андрей Белеванцев, ведущий научный сотрудник Института системного программирования им. В.П. Иванникова РАН. Занимается статическим анализом, участвует в разработке анализатора Svace.
— Алексей Смирнов, основатель системы композиционного анализа CodeScoring. Специализируется на обработке текстовых данных в контексте анализа исходных кодов.
— Владимир Кочетков, руководитель направления экспертизы AppSec в Positive Technologies. Эксперт по безопасности приложений.
Ведущий:
Сергей Деев, эксперт по кибербезопасности в МТС RED.
-
Разбираемся в подходе Secure by design (SBD), или конструктивной безопасности в разработке продукта.
Участники обсуждают:
что такое Secure by design;
зачем заниматься SBD и стоит ли применять этот подход для каждого продукта;
чем SBD отличается от безопасной разработки;
что делать, если «уже сделано небезопасно»;
может ли SBD-продукт стать небезопасным;
как стать компетентным в SBD;
существуют ли общие концепции и стандарты.
Гости:
Сергей Рогачев, руководитель отдела разработки безопасной платформы в Лаборатории Касперского.Екатерина Рудина, аналитик в Лаборатории Касперского. Работает в департаменте перспективных технологий в области исследования угроз, моделирования и оценки рисков. Александр Поломодов, руководитель управления разработки цифровых экосистем в Тинькофф.Ведущий:
Алексей Федулаев, руководитель направления автоматизации безопасной разработки в Wildberries.
-
В этом выпуске участники обсуждают:
— кейсы использования AI: от оптимизации SQL-запросов и UI-дизайна до создания плагинов и применения LLM в разработке;
— риски обучения на уязвимом коде;
— естественный язык в Snowflake;
— SecDev (решение задач безопасности) vs DevSec (контроль разработанного)
— «горячую» тему замены ИБ-специалиста ML-решением.
Гости:
— Радда Юрьева, ML-инженер команды AppSec в Positive Technologies.
— Александр Халиков, специалист группы исследований безопасности приложений в Positive Technologies.
— Владимир Кочетков, руководитель направления экспертизы AppSec в Positive Technologies.
Ведущий:
Андрей Дмитриев, сооснователь JUG Ru Group.
-
Этот выпуск о том, что нужно знать разработчикам мобильных приложений про безопасность в современном «мобильном» мире.
Гости выпуска обсуждают:
— зачем злоумышленникам взламывать мобильные приложения;
— какие факторы заставляют обращать больше внимания на мобильную безопасность, чем на веб: от размера аудитории до особенностей дистрибуции приложений;
— насколько аудиты в сторах проверяют наличие уязвимостей и безопасность приложения в целом;
— как выстроить процесс безопасной разработки мобильных приложений. Подходы к тестированию, инструменты, СI/CD;
— как вендоры мобильных платформ помогают и мешают обеспечивать безопасность;
— защищает ли обфускация от всех проблем;
— как защитить интеллектуальную собственность и приватные данные на устройстве.
Гости:
— Сергей Нечаев, Application Security-инженер в Одноклассниках.
— Юрий Шабалин, генеральный директор Стингрей Технолоджиз.
Ведущие:
— Александра Сватикова, системный архитектор в команде Identity and Access Management Yandex Cloud.
— Андрей Дмитриев, сооснователь JUG Ru Group.
-
В этом выпуске разбираемся в ролях, связанных с безопасностью, и кого и как искать, если регулятор поставил условие, что «должна быть безопасность».
Гости выпуска обсуждают:
— чем занимаются специалисты по безопасности;
— кто такой security-чемпион и как им стать, если ты — разработчик;
— кто такой AppSec Business Partner;
— какие возможности у найма с рынка — основные проблемы и подводные камни;
— как проводить собеседование;
— что спрашивать у работодателя, если ты ищешь работу;
— как удержать сотрудников после того, как нашли;
— как взращивать компетенции внутри компании.
Гости:
— Светлана Газизова, Head of Audit в Swordfish Security. Знает, как делать хороший AppSec.
— Алексей Антонов, коммерческий директор Вебмониторэкс.
Ведущий:
Сергей Деев, эксперт по кибербезопасности в МТС RED.
-
Гости выпуска обсуждают спортивное состязание хакеров — Capture the Flag (CTF).
Подробно рассматривают:
— CTF в целом и Task-Based CTF (Jeopardy) в частности;
— пример типового захвата флага, какие могут быть задачи в процессе, и как CTF помогает лучше понять пентесты и реверс-инжиниринг;
— интересные и неожиданные уязвимости;
— важность навыка работы над задачей в условиях неопределенности и тимбилдинг во время командного CTF в компании;
— CTF в сравнении со спортивным программированием;
— заработок на поиске уязвимостей через Bug Bounty.
Гости выпуска:
— Алексей Федулаев, руководитель направления автоматизации безопасной разработки в Wildberries. В ИБ с 2011 года, DevSecOps-евангелист.
— Лев Хакимов, руководитель команды разработки и администрирования сервисов ИБ в Wildberries. Магистр факультета ИКТ ИТМО, участник CTF-команды ONO. Вольный реверсер.
— Даниил Сигалов, исследователь безопасности в компании SolidSoft. Аспирант факультета ВМК МГУ. Участник CTF-команды Bushwhackers.
Ведущий:
Андрей Дмитриев, сооснователь JUG Ru Group.
-
В этом выпуске поговорим о том, как сделать ваше решение более безопасным с помощью инженерных практик.
С чего начинается небезопасная разработка? Многие подумают, что с уязвимостей, которые допускают программисты в коде: переполнение массива в C++, cross-site scripting, торчащие наружу API. На самом деле подавляющее большинство эвине программистов, а по причине непродуманной архитектуры, недостатка документации, неконтролируемого изменения кода и деплоя.
В этом выпуске поговорим о том, как сделать ваше решение более безопасным с помощью инженерных практик. Не будем погружаться в виды уязвимостей, а сосредоточимся на понятных действиях на уровне команды разработки.
Целевая аудитория: программист, аналитик, тестировщик, ит-специалист любого профиля.
![[SafeCode Live] БагБаунти от А до Z' <script>alert()</script>](https://is1-ssl.mzstatic.com/image/thumb/Podcasts116/v4/aa/35/38/aa3538e6-e904-fb60-1560-fd83ec5c3029/mza_16361554995341635891.jpg/80x80bb.jpg)