Tweet
Tweet

Slide 1

Slide 1 text

Secure Code Review Juliana Gaioso @juligaioso hey@julianagaioso.wtf boas práticas, processos e ferramentas

Slide 2

Slide 2 text

Programo desde os 11 anos de idade; Estudei Engenharia de Computação e Engenharia Elétrica @ UFG; Formada em Análise de Sistemas @ PUC-GO; Pós Graduanda em Arquitetura de Software e em Segurança Ofensiva; Desenvolvimento Web, Automação Industrial e IoT; Segurança de Aplicações e produtos; Entusiasta de Open Source / Open Knowledge; Enxadrista, enóloga, maker;

Slide 3

Slide 3 text

Resumo Introdução a Segurança Code Review no SDLC Inserindo Segurança no code review Automatizando o SCR

Slide 4

Slide 4 text

O que é segurança?

Slide 5

Slide 5 text

Code review

Slide 6

Slide 6 text

Code review (sometimes referred to as peer review) is a software quality assurance activity in which one or more people check a program, mainly by viewing and reading parts of its source code, either after implementation or as an interruption of implementation. At least one of the persons must not have authored the code. The persons performing the checking, excluding the author, are called "reviewers". (en.wikipédia.org/wiki/code_review, acesso em 28/01/2024)

Slide 7

Slide 7 text

Identificar erros Melhorar a qualidade do código Promover boas práticas Garantir que o código esteja em conformidade com os padrões estabelecidos pela equipe.

Slide 8

Slide 8 text

No content

Slide 9

Slide 9 text

Make it safe.

Slide 10

Slide 10 text

Ter assessments de segurança bem definidos; Treinar devs para entender e replicar segurança; Tratar segurança como uma qualidade do código;

Slide 11

Slide 11 text

OWASP Top 10; Secure Coding Dojo; Secure Coding Practices-Quick Reference Guide; Training PentesterLab; CodeBashing; FreeCodeCamp; Reports CVEs; CWEs; Zero-days;

Slide 12

Slide 12 text

Automatizando o Code Review SAST SCA

Slide 13

Slide 13 text

SAST Economia de tempo (milhares de linhas de código analisadas em segundos); Integração com CI/CD e IDE - mais presença no dia a dia do desenvolvedor. Static Application Security Testing

Slide 14

Slide 14 text

SAST Linguagem; Falsos Positivos; Valor ($$); Integrações Static Application Security Testing

Slide 15

Slide 15 text

SAST Checkmarx [Pay] Semgrep [Pay] Snyk [Pay] Veracode [Pay] Horus [OpenSource] Safety [OpenSource] ShiftLeft Scan [OpenSource] Static Application Security Testing

Slide 16

Slide 16 text

SCA Bibliotecas terceiras, infraestruturas, dependências; Geralmente são integradas ao SAST. Software Composition Analysis

Slide 17

Slide 17 text

Processos

Slide 18

Slide 18 text

No content

Slide 19

Slide 19 text

Keep it real.

Slide 20

Slide 20 text

Security Champions; Continuous Security;

Slide 21

Slide 21 text

Dúvidas?

Slide 22

Slide 22 text

Extras: Awesome Secure Code Review Awesome DevSecOps Awesome Threat Modeling

Slide 23

Slide 23 text

Obrigada!