[Перевод] Что я узнал за пять лет проведения аудитов кода
Когда я работал в PKC, моя команда вела около тридцати аудитов кода. Многие из них предназначались для стартапов, которые вышли на серию А или B – именно на этом этапе основатели обычно обзаводились деньгами, отвлекались от тотальной сосредоточенности на выходе на рынок и осознавали, что неплохо бы поплотнее заняться вопросами безопасности.
Работа была очень интересной: мы глубоко закапывались в проекты с самыми разнообразными стэками и архитектурами и из разных областей программирования. Мы находили проблемы безопасности всевозможных видов, от катастрофических до просто занятных. Кроме того, у нас была возможность побеседовать с разработчиками на высоких должностях и техническими директорами на более общие темы – например, с какими техническими и прочими сложностями они столкнулись в самый первый период роста.
Было и еще кое-что занимательное: со времен первых аудитов успело пройти семь-восемь лет, и у нас появилась возможность увидеть, какие из проектов добились успеха, а какие канули. Я бы хотел поделиться некоторыми неожиданными выводами, которые сделал из этих своих наблюдений. Начну с самых общих вещей, а затем буду переходить к тому, что касается конкретно безопасности.
Читать дальше →
Работа была очень интересной: мы глубоко закапывались в проекты с самыми разнообразными стэками и архитектурами и из разных областей программирования. Мы находили проблемы безопасности всевозможных видов, от катастрофических до просто занятных. Кроме того, у нас была возможность побеседовать с разработчиками на высоких должностях и техническими директорами на более общие темы – например, с какими техническими и прочими сложностями они столкнулись в самый первый период роста.
Было и еще кое-что занимательное: со времен первых аудитов успело пройти семь-восемь лет, и у нас появилась возможность увидеть, какие из проектов добились успеха, а какие канули. Я бы хотел поделиться некоторыми неожиданными выводами, которые сделал из этих своих наблюдений. Начну с самых общих вещей, а затем буду переходить к тому, что касается конкретно безопасности.
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Как запустить VLESS + Reality на старом Intel iMac с macOS Catalina 10.15.8
- Кто выпустил гончую. Ищем следы коллекторов BloodHound в логах Windows
- HTML во вложении — это программа. Почему почтовые фильтры его пропускают и как SOC его ловит
- Как СМИ рождают “хакеров” и как сам Глава группировки слил секретные методы DDoS
- Погосян Марго: В топ-4 рынка с маскотом
- Пентест с помощью ИИ в России и материалы для сертификации по безопасности ИИ
- Интеграция MULTIDIRECTORY и MULTIFACTOR: двухфакторная аутентификация в Kerberos
- Глухарь ESPшный — мемуары охотника
- Когнитивная эргономика в веб-дизайне: Как не отупеть от собственного интерфейса
- Процесс охоты за угрозами