Квартирник по безопасной разработке

В рамках доклада расскажем, как мы оцениваем угрозы безопасности для процесса разработки ПО
и его активов. Покажем, как приоритизируем внедряемые практики на основе реальных проблем безопасности и численных метрик, а не просто рекомендуем «модные» инструменты. Отдельно уделим внимание проведению аудита и оценке цепочек поставок программного обеспечения.

Спикеры:
1. Евгений Тодышев, руководитель направления «Безопасная разработка», УЦСБ

2. Дмитрий Пономарев, заместитель генерального директора испытательной лаборатории НТЦ «Фобос-НТ», сотрудник ИСП РАН, преподаватель МГТУ им. Н. Э. Баумана ИУ10

3. Андрей Лагоденко, директор по кибербезопасности, Домклик

4. Вячеслав Касимов, директор по кибербезопасности, Точка Банк

5. Сергей Деев, руководитель направления, ИСП РАН

Доклад поможет ответить
на вопросы:

• Как достичь оптимального баланса между скоростью разработки и уровнем безопасности?
• Насколько оправдано делегировать автоматическим инструментам проверку и исправление уязвимостей?
• Какие критерии оценки точности и полноты результатов наиболее объективны?
• Какие языковые модели заслуживают доверия, а какие — осторожности?

Часто атаки на цепочку поставок становятся причиной проникновения в компанию-разработчика продукта. Манипулирование зависимостями в SDLC позволяет злоумышленникам массово получать доступ к рабочим станциям разработчиков, интеллектуальной собственности и распространять вредоносный код. Использование LLM усиливает этот тренд и открывает новые возможности для атак.

Мы изучили нетривиальные векторы проникновения в разработку, которые открывают ML-модели и агенты. В докладе на примере реальных кейсов рассмотрим эффективные тактики и инструменты атакующих. В результате определим практические меры, позволяющие разработчику снизить риски для конвейера разработки. А также рассмотрим, как в этой задаче помогает LLM.

Доклад посвящен трансформации восприятия безопасной разработки ПО в функцию, которая помогает если не зарабатывать, то точно экономить.

Фокус будет сделан на экономических аспектах:

• всегда ли дешевле «сдвинуть безопасность влево» (на ранние этапы);
• какова внутренняя цена уязвимости;
• можно ли обойтись компенсационными мерами на этапе внедрения и эскплуатации.

Слушатели узнают о практике внедрения культуры РБПО, какие метрики действительно помогают управлять процессом и говорить с топ-менеджментом на языке бизнеса.

Практика контроля безопасности стороннего кода — одна из самых трудоемких задач. Чтобы снизить нагрузку на разработчиков и специалистов по безопасной разработке, ее можно оптимизировать как на организационном, так и на технологическом уровне.

В докладе рассмотрим стадии обеспечения контроля рисков Open Source с точки зрения эффективности проверок: от инструментария разработчика (IDE) и конвейера сборки до использования стороннего кода в продуктивной среде. Также дадим методические рекомендации.