Upgrade to Pro — share decks privately, control downloads, hide ads and more …

И разработчик станет хакером!

5b723186bd1e23af569bd623f193a2b9?s=47 oxdef
April 24, 2018
Programming
0
25

И разработчик станет хакером!

CISO Forum 2018

5b723186bd1e23af569bd623f193a2b9?s=128

oxdef

April 24, 2018
Tweet

More Decks by oxdef

See All by oxdef
How to improve software security with OWASP open source initiatives
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
61
Keynote at ZeroNights X (2021)
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
22
Security Culture: Here be Hackers
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
230
OWASP Top 10 - 2017 What’s inside?
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
190
Implementing Content Security Policy at a Large Scale
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
230
Security in developer’s life: knowledge is power
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
130
HTTPS by default - no more clear
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
11
Web Application Security: future standards and technologies
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
140
Content Security Policy - the panacea for XSS or placebo?
5b723186bd1e23af569bd623f193a2b9?s=48 oxdef
0
130

Other Decks in Programming

See All in Programming
JSのウェブフレームワークで高速なルーターを実装する方法
6e34bfefc3edbe746ac7a71ca6635309?s=48 usualoma
1
1.7k
Dagger + Anvil: Learning to Love Dependency Injection
7cfefc4ecbffbe84b59de233d3fa4645?s=48 vrallev
3
240
EFFICIENT CREATION OF AN EMPTY COLLECTION IN .NET
7437b838338581b08ca72340b05475b9?s=48 abt
0
150
Independently together: 
better developer experience & App performance
80d92d5d0bd0170aebf6e07589a0b571?s=48 bcinarli
0
160
Power Automateドリブンのチームマネジメント
0cc2ebc5781bcb2cae5f9ab7efa40ff2?s=48 hanaseleb
0
180
Meet Swift Regex
0b26590a0a8b0f1da140ed5de9b68379?s=48 usamik26
0
310
Scrum Fest Osaka 2022/5年で200人になったスタートアップの アジャイル開発の歴史とリアル
F0a8d07597a19192791bf663504d2a17?s=48 atamaplus
1
800
The strategies behind ddd – AdeoDevSummit 2022
Beb422437c1dfb5366f197919e41ac50?s=48 lilobase
PRO
4
230
Make the most of Django - PyCon Italia 2022
6b8e2101579190ad96e747e01c279898?s=48 pauloxnet
0
110
Seleniumでイキってたらサーバを絞め落としかけてた話
52b9da1c8c4810664baa2bdd3ec8e608?s=48 kenfujita
0
360
Node-RED 3.0 新機能紹介
A56269ca269966f71293d08b32ad53b3?s=48 utaani
0
130
Value and Record Types
575ca492bac55e895d0e1c86f7d709fe?s=48 hschwentner
0
550

Featured

See All Featured
Why Our Code Smells
20bfe76b3d6105641f879fe45cfc9272?s=48 bkeepers
PRO
324
55k
Become a Pro
828ace851b606e1206900f26459f55ad?s=48 speakerdeck
PRO
3
830
5 minutes of I Can Smell Your CMS
465724d73fe3a92c0879fdfb43a3a6f3?s=48 philhawksworth
196
18k
For a Future-Friendly Web
F68cb25ae3e5c2106997454b13b7737d?s=48 brad_frost
166
7.4k
In The Pink: A Labor of Love
E837d2996f52008ace055a08fbfff992?s=48 frogandcode
131
21k
No one is an island. Learnings from fostering a developers community.
6bb82b13cda86d3b821fa44100335ddf?s=48 thoeni
9
1.3k
GraphQLとの向き合い方2022年版
893f54413c2bd9ba41d11d753aacaf2c?s=48 quramy
16
8.3k
Building Flexible Design Systems
91cefdf141106fa10674aae74ce05890?s=48 yeseniaperezcruz
310
34k
10 Git Anti Patterns You Should be Aware of
Dafc4723e9a1c067796c0fec6f509774?s=48 lemiorhan
638
52k
Docker and Python
Ecdea9b9714877b86cee08458f085481?s=48 trallard
27
1.6k
The Brand Is Dead. Long Live the Brand.
A415db3ac9e9668acbc1fb36eead84ac?s=48 mthomps
46
2.7k
Helping Users Find Their Own Way: Creating Modern Search Experiences
3d4519fd34b76fb265fc0237f3792bd4?s=48 danielanewman
7
1.1k

Transcript

  1. И разработчик станет хакером!

  2. $ whoami • Лидер российского отделения OWASP • (yandex|google)://oxdef •

    Продуктовая безопасность Mail.Ru

  3. Ответ безопасности на проблему ускоряющегося цикла разработки?

  4. None

  5. Но...

  6. Писать безопасный код сразу лучше!

  7. Проблемы и вопросы • Перестать отвечать на вопросы о типовых

    уязвимостях? • Сделать так, чтобы разработчики были в курсе процессов и контролей ИБ? • Сделать так, чтобы разработчики читали руководства по безопасности? • Как измерить результат?

  8. Безопасность в жизни разработчика • Собеседование • Первый рабочий день

    • Первые строки кода • Первый аудит безопасности • Первые уязвимости в коде...

  9. Собеседование • Узнавайте о новых разработчиках • Если используется HR-платформа,

    то добавьте вопросы по ИБ в неё • Анализируйте результаты собеседования

  10. Первый рабочий день • “Welcome”-встреча и небольшой рассказ о процессах

    и базовых рекомендациях ИБ • Внутренний staff-портал c API • Используйте это API для мониторинга новых разработчиков • Автоматическое приветственное письмо

  11. Александр, добро пожаловать в нашу команду! В нашей Компании мы

    разрабатываем не только красивые, функциональные и быстрые сервисы, но и безопасные. Мы подготовили для тебя руководства по разработке безопасных приложений. Пожалуйста, найди пару минут для ознакомления с ними https://internal-portal/security-guides -- С интересом, Команда ИБ

  12. Портал ИБ

  13. Внутренний портал ИБ • Рукодства по безопасности • Быстрые ссылки

    на сервисы самопроверки • Форма для вопросов • Последние посты с внутреннего блога ИБ • Текущие проекты

  14. Обучение

  15. Структура • Отдельные гайды для разработчиков веб, мобильных и C/C++

    приложений • От основ до типовых проблем и специфичных сценариев • Используйте «карточки» для освещения сложных тем • Встроенный опросник для самопроверки

  16. Содержание • Высокоуровне: аутентифиция и авторизация, валидация входных даных, кодирование

    выходных, обработка ошибок • Процессы, контроли и сервисы ИБ • OWASP Top 10 • Специфичные внутренние сценарии

  17. Проверка знаний

  18. Курсы и опросники • Как измерить, насколько хорошо читают гайды?

    • Опросник не должен требовать много времени • И он не должен быть скучным ;-) • Используйте СПО, например Moodle или OWASP Security Knowledge Framework

  19. Карма

  20. Профиль разработчика • Бейджи за ИБ активности • Специальные флажки

    за чтение гайдов • «Карма безопасности» • Используйте эту информацию для прогнозирования безопасности релизов

  21. Метрики • 60% разработчиков ознакомилсь с руководствами за последний год

    • Стало меньше вопросов о типовых уязвимостях • Стало больше подписчиков обновлений внутреннего портала ИБ • OpenSAMM

  22. Безопасность должна быть ближе к разработчикам. С первых рабочих дней

    и строк кода.
  23. None

  24. Credits • Kung Fury, www.kungfury.com Тарас Иващенко, oxdef@oxdef.info

  25. None