Сравнение SBOM-генераторов
Software Bill of Materials (SBOM) становится всё более важным элементом обеспечения безопасности программного обеспечения. С появлением множества инструментов для генерации SBOM, встаёт вопрос — а какой из них выбрать? Читать далее...
Как мы реализовали SCA при помощи SBOM
Чем больше микросервисов в компании, тем веселее жизнь у тех, кто отвечает за безопасность. Количество зависимостей растёт, и в какой-то момент становится нереально уследить, откуда в коде может вылезти критичная уязвимость — будь то старая библиотека или транзитивная зависимость, о которой никто...
Прозрачное программное обеспечение
Приветствую, уважаемые читатели! Не так давно закончил перевод книги "Прозрачное программное обеспечение". Лично от себя могу в целом резюмировать, что книга интересная и выстроена достаточно грамотным образом. Местами встречаются сложные речевые обороты, перегруженные расшифровкой аббревиатур...
Hardening Jenkins: как подать блюдо, чтобы оставили чаевые
Привет! Меня я Лев Хакимов — техлид команды безопасности в Wildberries, а в прошлом — DevOps (хотя говорят, что бывших DevOps не бывает). А ещё я — организатор VrnCTF, CentralCTF, кубка CTF, MiaCTF, OmCTF. Автор дисциплин DevOps в ВГУ и ИТМО. В этой статье: расскажу про Jenkins и его экосистему...
Какие ваши доказательства? Объясняем разработчику отчёты SCA на пальцах. Часть 2
Привет, Habr! С вами вновь Анастасия Березовская, инженер по безопасности процессов разработки приложений в Swordfish Security. Сегодня мы продолжим наш нелегкий путь в получении Evidence для SBOM. В первой части статьи мы разобрались, что же такое Evidence с точки зрения SBOM. Описали, что...
Секреты успешного SCA: использование режима evinse в cdxgen. Часть I
Привет, читатели Habr! С вами Анастасия Березовская, инженер по безопасности процессов разработки приложений в Swordfish Security. Сегодня мы расскажем про еще один инструмент, встречающийся в построении процессов Software Composition Analysis (SCA) — сdxgen. Он, как и популярный сканер Trivy,...
DevSecOps и практики разработки защищенного ПО в контексте современных вызовов
Всем привет! В этой статье хочу поговорить о технологических вызовах, рассмотреть наиболее актуальные сегодня практики безопасной разработки с точки зрения современных запросов индустрии, поделиться собственным взглядом на тренды отрасли и вектора развития в текущих реалиях. Я Юрий Сергеев,...
Как убедиться, что код библиотеки не был изменен?
Любые Open Source проекты потенциально подвержены риску вредоносной модификации сторонними контрибьюторами и уязвимость может появиться на любом уровне распространения кода — от исходных текстов до двоичных артефактов, которые связываются с прикладными программами. Кроме того, нередко в библиотеках...