Смотрите видео про AppSec.Hub — платформу, которая изменит ваш подход к управлению процессом DevSecOps! 🎬

AppSec.Hub позволяет:
▶️ Автоматизировать процесс проверки безопасности в run-time.
▶️ Легко добавлять и заменять инструменты, команды, приложения и проекты в контур РБПО.
▶️ Решать рутинные задачи ИБ с помощью ИИ.
▶️ Контролировать процесс разработки защищенного ПО на базе метрик.

#AppSecHub #ASPM #AppSec_FAQ

Стингрей помогает усилить защищенность приложений Сбербанка 🛡
#AppSec_Stingrey #AppSec_Кейсы

Приложения Сбербанка проходят автоматизированную проверку защищенности при помощи платформы Стингрей. Стингрей — это решение, сочетающее в себе технологии анализа уязвимостей и интуитивно понятный интерфейс. Платформа выявляет уязвимости в iOS и Android-приложениях и предлагает подробные рекомендации по их устранению.

Платформа позволяет проводить автоматизированный комплексный анализ защищенности мобильных продуктов на различных уровнях, включая код приложения, сетевые взаимодействия и конфигурацию. В процессе анализа учитываются как общие угрозы, так и специфические риски, характерные для конкретной отрасли.

В Сбербанке есть приложения для физических и юридических лиц по разным направлениям: от финансовых решений до услуг здравоохранения. Использование платформы Стингрей помогает банку дополнительно усилить как скорость разработки, так и эффективность анализа защищенности.

Юрий Шабалин, директор продукта Стингрей:

 «Приложениями «Сбера» ежедневно пользуются миллионы россиян и отечественных компаний. Поэтому интеграция платформы Стингрей в процессы разработки «Сбера» — это наш вклад в развитии кибербезопасности всей России. Также подчеркну, что Стингрей — это полностью российская разработка, что гарантирует отсутствие рисков, связанных с использованием иностранных технологий, и соответствует требованиям регуляторов».

После завершения процесса сканирования на платформе Стингрей разработчики получают полный список уязвимостей и детальные рекомендации по их устранению. Одно из ключевых преимуществ технологии — необходимые проверки бесшовно встраиваются в процесс разработки, что не задерживает выход новых версий приложений.

Shift Left: красивый отчет или реальность?
#AppSecHub #AppSec_Лонгрид

Сегодня безопасность — это не просто задача финальных этапов разработки. Подход Shift-Left переносит проверки на ранние стадии, помогая командам экономить ресурсы и выпускать более качественные продукты.

Как это работает?🤔

— Безопасность интегрируется в каждую стадию разработки.
— Автоматизация помогает быстро находить и устранять уязвимости.
— Используются такие инструменты, как статический и динамический анализ кода.

Преимущества Shift-Left:
🎱Раннее выявление проблем экономит время и деньги.
🎱Снижается риск инцидентов в продакшене.
🎱Повышается доверие клиентов к продукту.

💬Как отметил Антон Башарин, директор продукта AppSec.Hub:

«Зачем это нужно? Прежде всего для того, чтобы эффективнее обрабатывать уязвимости. Концепция позволяет поддерживать оперативную обратную связь между подразделениями ИБ и разработки и выявлять проблемы на ранних стадиях в отдельных компонентах ПО по мере их завершенности или готовности к интеграции.

В идеале в рамках подхода дыры устраняются сразу, а не гастролируют из сборки в сборку до тех пор, пока время и стоимость их устранения не вырастут до критических значений. Поэтому технический долг не накапливается, проверки, проводимые перед развертыванием, не оказывают негативного влияния на Time-to-Market, а в ПРОД выходят более защищенные продукты».

Для успешной реализации концепции Shift Left и процессов DevSecOps необходим анализ. В этом помогает дашборд 💿 для визуализации метрик безопасной разработки, который позволяет оценить зрелость Shift Left, отображая такие показатели, как среднее время обнаружения уязвимостей и устранения ошибок.

🎙Инсайты от эксперта AppSec Solutions

В гостях у CISOCLUB – наш старший менеджер по работе с партнерами, Кирилл Кизиков. Вместе обсудили ключевые аспекты безопасной разработки, ее значение для бизнеса и роль AppSec Solutions в этой сфере.

📌 Что вы узнаете из интервью:

— Чем занимается AppSec Solutions и какую ценность мы создаем для рынка (0:13).
— Насколько сегодня востребованы решения для безопасной разработки в России (0:41).
— Какие перспективы открываются для отрасли в ближайшие годы (01:28).
— Основные вызовы компаний на пути к безопасной разработке (02:24).
— Инструменты и подходы, которые помогают эффективно внедрять secure development (04:04).

Смотрите видео выше и делитесь своими мыслями в комментариях. 🚀

🎙 Запустили видеоподкаст «Внутри DevSecOps»!

Обсуждаем с экспертами рынка опыт внедрения DevSecOps-решений и уникальные подходы к безопасной разработке.

Почему стоит смотреть:
• реальные кейсы интеграции инструментов DevSecOps, которые вдохновляют;
• практические советы по оптимизации ИБ-процессов;
• живой диалог, в котором ведущие эксперты отрасли делятся своими успехами, вызовами и инсайтами.

🎙 Ведущий — Антон Башарин, старший управляющий директор AppSec Solutions.
👥 Гостем первого выпуска стал Александр Иванов, заместитель начальника отдела безопасной разработки компании СИГМА.

В этом эпизоде вы узнаете:
▶️ Зачем нужно переходить к DevSecOps
▶️ Как ASPM-платформа AppSec.Hub облегчает жизнь командам ИБ и разработки СИГМЫ
▶️ И как помочь бизнесу быстро выпускать защищенные продукты.

🔗 Не пропустите! Смотрите короткое видео выше, а полную версию по ссылке 📺 и получайте ценные инсайты!

#ПодкастВнутриDevSecOps #AppSec_Кейсы

Делимся результатами встречи с УЦСБ на Урале

Команда партнерского отдела AppSec Solutions встретилась с представителями Центра кибербезопасности УЦСБ — одного из ведущих интеграторов DevSecOps-решений в России.

Делимся важными итогами:
▶️Определили ключевые направления сотрудничества
▶️Запланировали обучение сотрудников УЦСБ работе с продуктами AppSec Solutions
▶️Наметили совместные шаги по развитию стратегического партнерства

Евгений Тодошев, руководитель направления безопасной разработки УЦСБ:

«Развитие DevSecOps — это не просто тренд, а необходимость для современных компаний. Совместная работа с AppSec Solutions помогает нашим заказчикам внедрять безопасность с самого старта разработки и строить устойчивую экосистему».

Владислав Фефелов, директор по работе с партнерами AppSec Solutions:

«УЦСБ демонстрирует, как важно не только предлагать услуги, но и формировать культуру безопасной разработки. Они действительно задают высокий стандарт в регионе, и мы гордимся работать с таким партнером».

Если ваша компания нацелена на развитие безопасной разработки, обращайтесь к нашему партнеру УЦСБ — они знают, как эффективно внедрять DevSecOps.

#AppSec_Партнерство

Топ-5 интересных находок при сканировании мобильных приложений в 2024 году! 📱

1️⃣Приложения на Flutter
За год мы проанализировали множество приложений, разработанных с использованием фреймворка Flutter. Наша статистика показывает, что 9 из 10 таких приложений имеют хотя бы одну из трех уязвимостей, связанных с локальной аутентификацией:
- Неограниченное количество попыток ввода пин-кода (что ведет к возможности полного перебора).
- Отсутствие реакции на изменения биометрических данных.
- Возможность обхода биометрической аутентификации.

2️⃣Использование сторонних сервисов
Мы заметили, что многие разработчики неправильно интегрируют сторонние сервисы и ключи доступа. 🔑 Часто во время аудита не проверяют, как именно подключены сторонние сервисы и как хранятся ключи. Самым запоминающимся, был открытый сервис Firebase Remote Config, внутри которого были все ключи доступа ко всем остальным интеграциям в приложении, включая релизные и разработческие сервисы. То есть, как только эти ключи туда попали, их можно считать скомпрометированными и ненадежными. Поскольку это было финансовое приложение, интеграции также были с платежными системами.

3️⃣ Уязвимость в Android Jetpack Navigation Library
Одной из самых тревожных находок была уязвимость в библиотеке "Jetpack Navigation". Почти каждое четвертое Android-приложение оказалось подвержено этой проблеме, позволяя обходить экран авторизации. Это означало, что любое стороннее приложение могло открыть другое приложение на главном экране без ввода пин-кода.

4️⃣Хранение конфиденциальной информации
По-прежнему одной из самых распространённых проблем является избыточное хранение конфиденциальных данных в открытом виде. 😲 Мы обнаружили приложение, которое сохраняло абсолютно все данные, получаемые с серверной части, включая паспортные данные, СНИЛС и много другой информации пользователя, фактически не защищая их.

5️⃣SQL-инъекции
В нескольких приложениях были выявлены уязвимости SQL-инъекций. Это позволяло злоумышленникам менять аккаунт в уязвимом приложении. После эксплуатации такой уязвимости пользователь, открыв приложение, мог попасть в чужой аккаунт, что потенциально могло привести к кражам средств и фишингу.

Помните, что забота о безопасности мобильных приложений — это не просто обязанность, а инвестиция в доверие ваших пользователей. Платформа Стингрей поможет вам держать уровень защиты на высоте, выявляя уязвимости и укрепляя безопасность данных. 🛡

#Экспертиза_AppSec #MAST

Новый релиз AppSec.Hub Версия 2025.1.1 [31.01.2025]

Добавили новые функции и интеграции ⬇️

Интеграции:

🔹PT Application Inspector:
Перешли на работу с версией 4.9 (версии ниже более не поддерживаются) (INC-963).

🔹Solar appScreener:
Добавили поддержку импорта результатов сканирования через интеграционный API и CLI import_results.

🔹OWASP ZAP:
Исправили работу ZAP с кастомными скриптами (INC-984).

И это ещё не все. Команда AppSec.Hub постоянно работает над тем, чтобы платформа была максимально удобной и надежной, поэтому мы не можем оставить наших любимых пользователей даже без небольших изменений и исправили некоторые ошибки. 👉 Подробнее читайте на сайте

#AppSecHub_релизы

AppSec.Code и IDP-платформа Marlin подтвердили совместимость продуктов

Возможность совместного использования отечественного репозитория исходного кода AppSec.Code и платформы автоматизации разработки ПО (IDP-платформы) Marlin (флагманский продукт компании HD Tech) упрощает весь процесс создания ПО: от написания и хранения исходного кода, сборки дистрибутивов с проведением проверок по типам, доставки дистрибутива и развертывание вплоть до продуктового, а также автоматизированное тестирование на каждой из сред.

🆒 Директор продукта AppSec.Code Александр Заводовский.

В разработке ПО одинаково важны безопасность и скорость запуска продукта, поэтому так важно реализовать полноценный DevSecOps, используя отечественные программные продукты, которые при этом совместимы между собой. Возможность применения инструментов разных вендоров в единой экосистеме существенно сокращает time-to-market и снижает риск ошибок при разработке. Помимо этого, клиенты получают комплексное решение "под ключ", протестированное и проверенное экспертами.

Степан Дудник, технический директор HD Tech.

Ставя перед собой задачу создания экосистемы разработки программного обеспечения вокруг IDP-платформы, мы стремились построить партнерское сообщество разработчиков ПО. В результате этого мы получили универсальный набор инструментов, который не только позволит заместить иностранные решения, но и даст возможность существенно сократить срок вывода программного продукта на рынок

Подробнее о новости читайте по ссылке.

🖥 Оставьте заявку на демо и оцените возможности нашего продукта.

#ТехСовместимость #AppSecCode #SCM

Как измерить пользу AppSec для бизнеса 📊

Как объяснить руководству, что AppSec — это не просто устранение уязвимостей, а важный инструмент для роста бизнеса? Как показать реальную пользу безопасности на языке цифр? Сегодня вместе с Анастасией Арсеньевой, аналитиком данных в AppSec Solutions обсудим ключевые метрики AppSec, которые помогают компаниям принимать обоснованные решения.

▶️Читайте новый материал по ссылке

#ASPM #AppSec_Лонгрид

Ошибки в коде могут грозить утечкой данных?

Иногда достаточно одной неверной строчки кода, чтобы хакеры получили доступ к информации о пользователях. Чтобы этого не произошло, важно позаботиться о безопасности еще на начальном этапе разработки.

Как это сделать, расскажут эксперты AppSec Solutions и ГК "Солар" на вебинаре 18 февраля.

▶️Вы узнаете:
— Какие языки программирования наиболее уязвимы — исследования от AppSec Solutions.
— Как защитить ПО и веб-приложения с первых этапов разработки.
— Как можно проверить приложение на уязвимости даже без опыта в разработке.

🎙Спикеры:
— Антон Башарин, старший управляющий директор AppSec Solutions
— Владимир Высоцкий, руководитель группы развития бизнеса Solar appScreener
— Полина Гримало, руководитель группы системной и бизнес аналитики Solar appScreener

Вебинар будет полезен как специалистам по ИБ, так и разработчикам.

Прокачайте свои знания и улучшите безопасность ваших веб-приложений и ПО.

🖥 Регистрируйтесь по ссылке и готовьте ваши вопросы!

#AppSec_Вебинары