И разработчик станет хакером!

CISO Forum 2018

Transcript

1. И разработчик станет
   хакером!
   

   View Slide

2. $ whoami
   ●
   Лидер российского отделения OWASP
   ●
   (yandex|google)://oxdef
   ●
   Продуктовая безопасность Mail.Ru
   

   View Slide

3. Ответ безопасности на проблему
   ускоряющегося цикла разработки?
   

   View Slide

4. View Slide

5. Но...
   

   View Slide

6. Писать безопасный код сразу лучше!
   

   View Slide

7. Проблемы и вопросы
   ●
   Перестать отвечать на вопросы о типовых
   уязвимостях?
   ●
   Сделать так, чтобы разработчики были в
   курсе процессов и контролей ИБ?
   ●
   Сделать так, чтобы разработчики читали
   руководства по безопасности?
   ●
   Как измерить результат?
   

   View Slide

8. Безопасность в жизни
   разработчика
   ●
   Собеседование
   ●
   Первый рабочий день
   ●
   Первые строки кода
   ●
   Первый аудит безопасности
   ●
   Первые уязвимости в коде...
   

   View Slide

9. Собеседование
   ●
   Узнавайте о новых разработчиках
   ●
   Если используется HR-платформа, то
   добавьте вопросы по ИБ в неё
   ●
   Анализируйте результаты собеседования
   

   View Slide

10. Первый рабочий день
    ●
    “Welcome”-встреча и небольшой рассказ о
    процессах и базовых рекомендациях ИБ
    ●
    Внутренний staff-портал c API
    ●
    Используйте это API для мониторинга новых
    разработчиков
    ●
    Автоматическое приветственное письмо
    

    View Slide

11. Александр, добро пожаловать в нашу команду!
    В нашей Компании мы разрабатываем не только
    красивые, функциональные и быстрые сервисы, но и
    безопасные. Мы подготовили для тебя руководства по
    разработке безопасных приложений.
    Пожалуйста, найди пару минут для ознакомления с ними
    https://internal-portal/security-guides
    --
    С интересом, Команда ИБ
    

    View Slide

12. Портал ИБ
    

    View Slide

13. Внутренний портал ИБ
    ●
    Рукодства по безопасности
    ●
    Быстрые ссылки на сервисы самопроверки
    ●
    Форма для вопросов
    ●
    Последние посты с внутреннего блога ИБ
    ●
    Текущие проекты
    

    View Slide

14. Обучение
    

    View Slide

15. Структура
    ●
    Отдельные гайды для разработчиков веб,
    мобильных и C/C++ приложений
    ●
    От основ до типовых проблем и
    специфичных сценариев
    ●
    Используйте «карточки» для освещения
    сложных тем
    ●
    Встроенный опросник для самопроверки
    

    View Slide

16. Содержание
    ●
    Высокоуровне: аутентифиция и авторизация,
    валидация входных даных, кодирование
    выходных, обработка ошибок
    ●
    Процессы, контроли и сервисы ИБ
    ●
    OWASP Top 10
    ●
    Специфичные внутренние сценарии
    

    View Slide

17. Проверка знаний
    

    View Slide

18. Курсы и опросники
    ●
    Как измерить, насколько хорошо читают
    гайды?
    ●
    Опросник не должен требовать много
    времени
    ●
    И он не должен быть скучным ;-)
    ●
    Используйте СПО, например Moodle или
    OWASP Security Knowledge Framework
    

    View Slide

19. Карма
    

    View Slide

20. Профиль разработчика
    ●
    Бейджи за ИБ активности
    ●
    Специальные флажки за чтение гайдов
    ●
    «Карма безопасности»
    ●
    Используйте эту информацию для
    прогнозирования безопасности релизов
    

    View Slide

21. Метрики
    ●
    60% разработчиков ознакомилсь с
    руководствами за последний год
    ●
    Стало меньше вопросов о типовых
    уязвимостях
    ●
    Стало больше подписчиков обновлений
    внутреннего портала ИБ
    ●
    OpenSAMM
    

    View Slide

22. Безопасность должна быть ближе к
    разработчикам.
    С первых рабочих дней и строк кода.
    

    View Slide

23. View Slide

24. Credits
    ●
    Kung Fury,
    www.kungfury.com
    Тарас Иващенко,
    oxdef@oxdef.info
    

    View Slide

25. View Slide