Awesome DevSecOps на русском языке

DevSecOps-Russia

Полная обновляемая подборка материалов по безопасной разработке, DevSecOps и SSDLC на русском языке

Содержание

Каналы
Чаты
Статьи

* Dev * Ops

Доклады

* Dev * Ops * Подкасты * Стандарты и нормативные документы * Курсы * Инструменты * Инструменты для моделирования угроз (Threat modeling) * Статические анализаторы приложений (SAST) * Динамические анализаторы приложений (DAST) * Поиск секретов * Анализаторы сторонних компонентов (SCA) * Анализаторы open-source компонентов (OSA) * Тестирование по принципам Behaviour Driven Development * Сканеры Docker образов * Проверка Docker / Kubernetes на соответствие * Безопасность Kubernetes * Container Runtime * Коммерческие комплексные решения Cloud Native Security Platform * Runtime Security * IAST * Fuzzing * MAST * Vulnerability Management * ASOC * Compliance-as-code * IAC Security * Безопасность AWS * Безопасность GCP * Другие общие подборки по DevSecOps инструментам

Каналы

Чаты

Статьи

Dev

* [2021-05-13] DevSecOps. PT Application Inspector в разработке ПО: блокировка релиза,Тимур Гильмуллин, PT * [2021-02-09] CodeQL: SAST своими руками (и головой), часть 1, Павел Канн, Swordfish Security * [2021-01-14] Лучшие практики при написании безопасного Dockerfile, Денис Якимов, Swordfish Security * [2020-12-22] DevSecOps: как мы внедряли PT Application Inspector в наш продуктовый конвейер,Тимур Гильмуллин, PT * [2020-10-01] Как написать правила для Checkmarx и не сойти с ума, Юрий Шабалин, Swordfish Security * [2020-09-18] Pysa: как избежать проблем безопасности в коде Python,перевод Graham Bleaney, Sinan Cepel,SkillFactory * [2020-09-17] Строим безопасную разработку в ритейлере. Опыт одного большого проекта, Иван Старосельский, Solar Security * [2020-09-14] От Threat Modeling до безопасности AWS - 50+ open-source инструментов для выстраивания безопасности DevOps, Денис Якимов, Swordfish Security * [2020-09-10] DevSecOps: организация фаззинга исходного кода, Дмитрий Евдокимов,Никита Кныжов,Павел Князев, Digital Security * [2020-08-26] DevSecOps: принципы работы и сравнение SCA. Часть первая, Денис Якимов, Swordfish Security * [2020-08-20] Безопасность npm пакетов, Слава Фомин, ДомКлик,2,3 * [2020-05-28] (S)SDLC, или Как сделать разработку безопаснее, Ярослав Александров, Ростелеком Solar,2 * [2020-05-26] DevOps vs DevSecOps: как это выглядело в одном банке, Техносерв * [2020-04-22] Как сэкономить время и силы на внедрении стандартов безопасной разработки с помощью OWASP SAMM, OZON * [2020-03-24] Используем Zap Baseline Scan для непрерывного сканирования сайта на уязвимости, Александр Тютин * [2020-02-04] Какая разница между DevOps и DevSecOps? * [2020-02-04] Статическое тестирование безопасности опенсорсными инструментами, Александра Сватикова, Одноклассники, [[доклад]](https://youtu.be/E87YkXhdxAA) * [2020-01-13] Использование сканера уязвимостей в используемых библиотеках Dependency-Check в GitlabCI, Пацев Антон * [2019-12-17] Практические ответы на нетривиальные вопросы, или Как внедрять DevSecOps в организации со сложным IT-ландшафтом, ВТБ * [2019-12-12] «Hello, Checkmarx!». Как написать запрос для Checkmarx SAST и найти крутые уязвимости, Maxim Tyukov, DINS * [2019-04-18] Страх и ненависть DevSecOps, доклад Юрия Шабалин, перевод в текст Александра Титова * [2018-01-11] Как внедрить Secure Development Lifecycle и не поседеть. Рассказ Яндекса на ZeroNights 2017, Яндекс * [2017-09-17] Мечтают ли WAF’ы о статанализаторах, Владимир Кочетков, PT * [2016-07-08] Ищем уязвимости в коде: теория, практика и перспективы SAST, Владимир Кочетков, PT * [2014-05-29] Об анализе исходного кода и автоматической генерации эксплоитов, Владимир Кочетков, PT

Ops

Доклады

Dev

* [2020-08-26] SAST, борьба с потенциальными уязвимостями, Андрей Карпов, PVS-Studio * [2020-08-26] Внедрение SAST: теория vs практика, Ярослав Александров, Ростелеком-Solar * [2020-07-30] DevSecOps. Чего нам не хватает. Сергей Белов, Acronis * [2020-07-30] Мы начинаем DevSecOps, Юрий Шабалин, Swordfish Security * [2020-06-01] DevSec. Встраивание ИБ в конвейер разработки, Александр Садыков,Станислав Косарев,Антон Гаврилов, «Инфосистемы Джет» * [2020-05-12] DevSecOps. Общее погружение, Антон Гаврилов,Александр Краснов, «Инфосистемы Джет» * [2019-12-25] DevSecOps или как встроить проверки информационной безопасности в микросервисы, Антон Башарин, Swordfish Security * [2019-12-24] DevOps-SecOps, Анатолий Карпенко * [2019-12-24] DevSecOps: tips and tricks, Юрий Шабалин, Swordfish Security * [2019-08-23] AppSec как код, Антон Башарин и Юрий Шабалин, Swordfish Security * [2019-07-03] SAST и Application Security: как бороться с уязвимостями в коде, Сергей Хренов, PVS-Studio * [2019-07-03] Как построить безопасность SDLC без SDLC, Иван Афанасьев, BI.Zone * [2018-09-23] Страх и ненависть DevSecOps, Юрий Шабалин, Swordfish Security, DevOps Moscow meetup, [[слайды]](https://speakerdeck.com/devopsmoscow/strakh-i-nienavist-devsecops) * [2018-09-23] Security Compliance & DevOps, Степан Носов, IPONWEB, DevOps Moscow meetup, [[слайды]](https://speakerdeck.com/devopsmoscow/security-compliance-and-devops) * [2018-02-24] Теория и практика формального моделирования уязвимостей, Владимир Кочетков, PT,слайды

Ops

* [2020-12-04] Ломаем прил-е в Docker и строим безопасный пайплайн Gitlab, Денис Якимов, Павел Канн, Swordfish Security * [2020-11-30] Защита Kubernetes со всех сторон, Даниил Бельтюков, Digital Security * [2020-05-27] Облачный пентест: Методики тестирования Amazon AWS, Вадим Шелест, Digital Security * [2020-05-27] Использование seccomp для защиты облачной инфраструктуры, Антон Жаболенко, Яндекс.Облако * [2020-05-26] SecOps. Защита кластера. Юрий Семенюков, Анастасия Дитенкова, Виктор Пучков, «Инфосистемы Джет» * [2020-04-22] Обеспечение безопасности микросервисной архитектуры в Kubernetes, Олег Маслеников, ЦИАН * [2020-01-16] У вас есть кластер Kubernetes, но нет майнера на подах? Тогда мы идем к вам! Антон Булавин, Semrush * [2019-12-10] Заделываем дыры в кластере Kubernetes, Павел Селиванов, Southbridge * [2019-05-17] Непрерывный статический анализ, Иван Пономарев * [2019-02-27] Безопасность в Kubernetes, Дмитрий Лазаренко, Mail.Ru Cloud Solutions * [2019-02-08] Управление секретами при помощи Hashicorp Vault в Авито, Сергей Носков, Авито * [2018-10-30] Мониторинг безопасности сайтов, Григорий Земсков, Ревизиум * [2018-10-05] Безопасность в Kubernetes. Проект Kaniko. Лаборатория ПИТ * [2018-07-23] Статический анализ: ищем ошибки... и уязвимости? Сергей Васильев, PVS-Studio * [2017-04-22] Хайлоад и безопасность в мире DevOps: совместимы ли? Юрий Колесов, security-gu.ru * [2016-07-04] Проникновение в Docker с примерами, Дмитрий Столяров, Flant

Подкасты

Стандарты и нормативные документы

Модели зрелости

Стандарты

Курсы

Инструменты

Инструменты для моделирования угроз (Threat modeling)

Моделирование угроз в контексте Secure Development Lifecycle представляет из себя процесс анализа архитектуры ПО на предмет наличия в ней потенциальных уязвимостей и небезопасных технологий. Чтобы сократить расходы на добавление дополнительного функционала с точки зрения безопасности, решением может являться внедрение процесса проверок ИБ еще на этапе проектирования архитектуры. На этом же этапе формируются требования со стороны специалистов по безопасности приложений, которые в дальнейшем пойдут в backlog