Квартирник по безопасной разработке

В рамках доклада расскажем, как мы оцениваем угрозы безопасности для процесса разработки ПО
и его активов. Покажем, как приоритизируем внедряемые практики на основе реальных проблем безопасности и численных метрик, а не просто рекомендуем «модные» инструменты. Отдельно уделим внимание проведению аудита и оценке цепочек поставок программного обеспечения.

Доклад поможет ответить
на вопросы:

• Как достичь оптимального баланса между скоростью разработки и уровнем безопасности?
• Насколько оправдано делегировать автоматическим инструментам проверку и исправление уязвимостей?
• Какие критерии оценки точности и полноты результатов наиболее объективны?
• Какие языковые модели заслуживают доверия, а какие — осторожности?

Часто атаки на цепочку поставок становятся причиной проникновения в компанию-разработчика продукта. Манипулирование зависимостями в SDLC позволяет злоумышленникам массово получать доступ к рабочим станциям разработчиков, интеллектуальной собственности и распространять вредоносный код. Использование LLM усиливает этот тренд и открывает новые возможности для атак.

Мы изучили нетривиальные векторы проникновения в разработку, которые открывают ML-модели и агенты. В докладе на примере реальных кейсов рассмотрим эффективные тактики и инструменты атакующих. В результате определим практические меры, позволяющие разработчику снизить риски для конвейера разработки. А также рассмотрим, как в этой задаче помогает LLM.

Доклад посвящен трансформации восприятия безопасной разработки ПО в функцию, которая помогает если не зарабатывать, то точно экономить.

Фокус будет сделан на экономических аспектах:

• всегда ли дешевле «сдвинуть безопасность влево» (на ранние этапы);
• какова внутренняя цена уязвимости;
• можно ли обойтись компенсационными мерами на этапе внедрения и эскплуатации.

Слушатели узнают о практике внедрения культуры РБПО, какие метрики действительно помогают управлять процессом и говорить с топ-менеджментом на языке бизнеса.

Практика контроля безопасности стороннего кода — одна из самых трудоемких задач. Чтобы снизить нагрузку на разработчиков и специалистов по безопасной разработке, ее можно оптимизировать как на организационном, так и на технологическом уровне.

В докладе рассмотрим стадии обеспечения контроля рисков Open Source с точки зрения эффективности проверок: от инструментария разработчика (IDE) и конвейера сборки до использования стороннего кода в продуктивной среде. Также дадим методические рекомендации.