InfoSec

Всем привет! У нас тут скоро будет главная конференция для пользователей ArcSight User Group 2021 Russia & CIS, приглашаю всех действующих и потенциальных клиентов! Только реальные кейсы и обмен опытом без джинсы и рекламы...ну почти. Зарегистрироваться можно по ссылке Но сейчас не об этом, специально для конференции я сделал мобильное приложение, с программой, спикерами, чатом и комментариями. Скачивайте по ссылке, устанавливайте себе как приложение, там будут появляться все материалы конференции и не только с нее! https://actual-magic-9931.glideapp.io/ Увидимся на конференции 28 апреля!

https://www.anti-malware.ru/analytics/Technology_Analysis/SOC-essential-element-of-corporate-cyber-resilience Вячеслав обобщил подход к построению SOC как ключевому элементу киберустойчивости организации. Завтра на вебинаре подробнее и с картинками. Подключайтесь!

Важное объявление! Во время карантинов наше мероприятие будет виртуальным и бесплатным для всех, читайте как на него попасть, присоединяйтесь! https://zen.yandex.ru/media/id/5d62e37543fdc005395e9408/micro-focus-universe-2020-5e70f2023a53684f619cd1d5

Ну и на последок, толковая книга по DevSecOps. А теперь обьявляю квартал тем Security Operation

Выложены доклады с DevSecCon London 2019 https://www.youtube.com/playlist?list=PLKWDDWZ_ETtBgVJEHQUAGeVA-lXwcbDfI Список докладов https://www.devseccon.com/london-2019/ Понравилось что много каких-то практических штук показывают, демо и т.д. Для себя отметил три доклада Jan Harrie - How to Secure OpenShift Environments https://www.youtube.com/watch?v=pa4uZICJRRA Matt Carroll - A Kernel of Truth Intrusion Detection and Attestation https://www.youtube.com/watch?v=K6ZRAz58fiA Brian Vermeer - Live Exploiting Your Open Source Dependencies https://www.youtube.com/watch?v=irrN4YSRDkg

Итак, что мы имеем по DevSecOps? Начали мы с подборки материалов, практик и понимания того, как изменился мир создания ПО и как это влияет на ИБ. 1. После жарких споров смогли определить, что такое DevSecOps. 2. Разобрались с тем как начать. Главное создать правильную команду чемпионов и выстроить процессы! 3. Поняли как работает статический анализ кода SAST, с чем интегрируется Fortify и как в нем применяется ML для снижения ложных срабатываний. 4. Разобрались с динамическим тестированием веб приложений DAST. 5. Не забыли про контроль Open Source компонент. 6. И, конечно, моя любимая тема - геймификация и обучение. 7. Провели конференцию по DevSecOps. Материалы. Все ссылки кликабельны.

Динамическое тестирование WEB приложений https://zen.yandex.ru/media/id/5d62e37543fdc005395e9408/dast-dinamicheskoe-testirovaniem-prilojenii-5ddbccdc9923d90f1e8439bd

Пара слов про наш Fortify Audit Assistant https://zen.yandex.ru/media/id/5d62e37543fdc005395e9408/machine-learning-v-sast-5dc1edfdb477bf00acd180f6

Open Source! Современное ПО не пишется с нуля, оно собирается из множества разных кусочков готового кода. Разработчики используют известные и малоизвестные библиотеки и репозитарии для ускорения создания ПО. Короче, с угрозами в СПО надо считаться! https://zen.yandex.ru/media/id/5d62e37543fdc005395e9408/open-source-i-appsec-5dbded8dd5bbc300b275a056

Интересный обзор от GitLab о современных тенденциях в DevSecOps: 1. Изменение способа компоновки и исполнения ПО: Open Source, cloud computing, cloud native App, dockers, orchestrators, Serverless applications такие как AWS Lambda изменили ландшафт. 2. DevOps и парадигма CI/CD изменили способ создания и управления циклом разработки. Continuous Security с применением SAST, DAST решений на самых ранних стадиях становится обязательной. Внедрение в процесс разработки безопасности, против перекладывания ответственности. 3. Нормативные требования и SecDevOps все больше пересекаются. GDPR, PCI DSS И так дале А также множество ссылок на отчёты и советы как с этим жить