Shift Left: красивый отчет или реальность?
#AppSecHub #AppSec_Лонгрид

Сегодня безопасность — это не просто задача финальных этапов разработки. Подход Shift-Left переносит проверки на ранние стадии, помогая командам экономить ресурсы и выпускать более качественные продукты.

Как это работает?🤔

— Безопасность интегрируется в каждую стадию разработки.
— Автоматизация помогает быстро находить и устранять уязвимости.
— Используются такие инструменты, как статический и динамический анализ кода.

Преимущества Shift-Left:
🎱Раннее выявление проблем экономит время и деньги.
🎱Снижается риск инцидентов в продакшене.
🎱Повышается доверие клиентов к продукту.

💬Как отметил Антон Башарин, директор продукта AppSec.Hub:

«Зачем это нужно? Прежде всего для того, чтобы эффективнее обрабатывать уязвимости. Концепция позволяет поддерживать оперативную обратную связь между подразделениями ИБ и разработки и выявлять проблемы на ранних стадиях в отдельных компонентах ПО по мере их завершенности или готовности к интеграции.

В идеале в рамках подхода дыры устраняются сразу, а не гастролируют из сборки в сборку до тех пор, пока время и стоимость их устранения не вырастут до критических значений. Поэтому технический долг не накапливается, проверки, проводимые перед развертыванием, не оказывают негативного влияния на Time-to-Market, а в ПРОД выходят более защищенные продукты».

Для успешной реализации концепции Shift Left и процессов DevSecOps необходим анализ. В этом помогает дашборд 💿 для визуализации метрик безопасной разработки, который позволяет оценить зрелость Shift Left, отображая такие показатели, как среднее время обнаружения уязвимостей и устранения ошибок.

🎙Инсайты от эксперта AppSec Solutions

В гостях у CISOCLUB – наш старший менеджер по работе с партнерами, Кирилл Кизиков. Вместе обсудили ключевые аспекты безопасной разработки, ее значение для бизнеса и роль AppSec Solutions в этой сфере.

📌 Что вы узнаете из интервью:

— Чем занимается AppSec Solutions и какую ценность мы создаем для рынка (0:13).
— Насколько сегодня востребованы решения для безопасной разработки в России (0:41).
— Какие перспективы открываются для отрасли в ближайшие годы (01:28).
— Основные вызовы компаний на пути к безопасной разработке (02:24).
— Инструменты и подходы, которые помогают эффективно внедрять secure development (04:04).

Смотрите видео выше и делитесь своими мыслями в комментариях. 🚀

🎙 Запустили видеоподкаст «Внутри DevSecOps»!

Обсуждаем с экспертами рынка опыт внедрения DevSecOps-решений и уникальные подходы к безопасной разработке.

Почему стоит смотреть:
• реальные кейсы интеграции инструментов DevSecOps, которые вдохновляют;
• практические советы по оптимизации ИБ-процессов;
• живой диалог, в котором ведущие эксперты отрасли делятся своими успехами, вызовами и инсайтами.

🎙 Ведущий — Антон Башарин, старший управляющий директор AppSec Solutions.
👥 Гостем первого выпуска стал Александр Иванов, заместитель начальника отдела безопасной разработки компании СИГМА.

В этом эпизоде вы узнаете:
▶️ Зачем нужно переходить к DevSecOps
▶️ Как ASPM-платформа AppSec.Hub облегчает жизнь командам ИБ и разработки СИГМЫ
▶️ И как помочь бизнесу быстро выпускать защищенные продукты.

🔗 Не пропустите! Смотрите короткое видео выше, а полную версию по ссылке 📺 и получайте ценные инсайты!

#ПодкастВнутриDevSecOps #AppSec_Кейсы

Делимся результатами встречи с УЦСБ на Урале

Команда партнерского отдела AppSec Solutions встретилась с представителями Центра кибербезопасности УЦСБ — одного из ведущих интеграторов DevSecOps-решений в России.

Делимся важными итогами:
▶️Определили ключевые направления сотрудничества
▶️Запланировали обучение сотрудников УЦСБ работе с продуктами AppSec Solutions
▶️Наметили совместные шаги по развитию стратегического партнерства

Евгений Тодошев, руководитель направления безопасной разработки УЦСБ:

«Развитие DevSecOps — это не просто тренд, а необходимость для современных компаний. Совместная работа с AppSec Solutions помогает нашим заказчикам внедрять безопасность с самого старта разработки и строить устойчивую экосистему».

Владислав Фефелов, директор по работе с партнерами AppSec Solutions:

«УЦСБ демонстрирует, как важно не только предлагать услуги, но и формировать культуру безопасной разработки. Они действительно задают высокий стандарт в регионе, и мы гордимся работать с таким партнером».

Если ваша компания нацелена на развитие безопасной разработки, обращайтесь к нашему партнеру УЦСБ — они знают, как эффективно внедрять DevSecOps.

#AppSec_Партнерство

Топ-5 интересных находок при сканировании мобильных приложений в 2024 году! 📱

1️⃣Приложения на Flutter
За год мы проанализировали множество приложений, разработанных с использованием фреймворка Flutter. Наша статистика показывает, что 9 из 10 таких приложений имеют хотя бы одну из трех уязвимостей, связанных с локальной аутентификацией:
- Неограниченное количество попыток ввода пин-кода (что ведет к возможности полного перебора).
- Отсутствие реакции на изменения биометрических данных.
- Возможность обхода биометрической аутентификации.

2️⃣Использование сторонних сервисов
Мы заметили, что многие разработчики неправильно интегрируют сторонние сервисы и ключи доступа. 🔑 Часто во время аудита не проверяют, как именно подключены сторонние сервисы и как хранятся ключи. Самым запоминающимся, был открытый сервис Firebase Remote Config, внутри которого были все ключи доступа ко всем остальным интеграциям в приложении, включая релизные и разработческие сервисы. То есть, как только эти ключи туда попали, их можно считать скомпрометированными и ненадежными. Поскольку это было финансовое приложение, интеграции также были с платежными системами.

3️⃣ Уязвимость в Android Jetpack Navigation Library
Одной из самых тревожных находок была уязвимость в библиотеке "Jetpack Navigation". Почти каждое четвертое Android-приложение оказалось подвержено этой проблеме, позволяя обходить экран авторизации. Это означало, что любое стороннее приложение могло открыть другое приложение на главном экране без ввода пин-кода.

4️⃣Хранение конфиденциальной информации
По-прежнему одной из самых распространённых проблем является избыточное хранение конфиденциальных данных в открытом виде. 😲 Мы обнаружили приложение, которое сохраняло абсолютно все данные, получаемые с серверной части, включая паспортные данные, СНИЛС и много другой информации пользователя, фактически не защищая их.

5️⃣SQL-инъекции
В нескольких приложениях были выявлены уязвимости SQL-инъекций. Это позволяло злоумышленникам менять аккаунт в уязвимом приложении. После эксплуатации такой уязвимости пользователь, открыв приложение, мог попасть в чужой аккаунт, что потенциально могло привести к кражам средств и фишингу.

Помните, что забота о безопасности мобильных приложений — это не просто обязанность, а инвестиция в доверие ваших пользователей. Платформа Стингрей поможет вам держать уровень защиты на высоте, выявляя уязвимости и укрепляя безопасность данных. 🛡

#Экспертиза_AppSec #MAST

Новый релиз AppSec.Hub Версия 2025.1.1 [31.01.2025]

Добавили новые функции и интеграции ⬇️

Интеграции:

🔹PT Application Inspector:
Перешли на работу с версией 4.9 (версии ниже более не поддерживаются) (INC-963).

🔹Solar appScreener:
Добавили поддержку импорта результатов сканирования через интеграционный API и CLI import_results.

🔹OWASP ZAP:
Исправили работу ZAP с кастомными скриптами (INC-984).

И это ещё не все. Команда AppSec.Hub постоянно работает над тем, чтобы платформа была максимально удобной и надежной, поэтому мы не можем оставить наших любимых пользователей даже без небольших изменений и исправили некоторые ошибки. 👉 Подробнее читайте на сайте

#AppSecHub_релизы

AppSec.Code и IDP-платформа Marlin подтвердили совместимость продуктов

Возможность совместного использования отечественного репозитория исходного кода AppSec.Code и платформы автоматизации разработки ПО (IDP-платформы) Marlin (флагманский продукт компании HD Tech) упрощает весь процесс создания ПО: от написания и хранения исходного кода, сборки дистрибутивов с проведением проверок по типам, доставки дистрибутива и развертывание вплоть до продуктового, а также автоматизированное тестирование на каждой из сред.

🆒 Директор продукта AppSec.Code Александр Заводовский.

В разработке ПО одинаково важны безопасность и скорость запуска продукта, поэтому так важно реализовать полноценный DevSecOps, используя отечественные программные продукты, которые при этом совместимы между собой. Возможность применения инструментов разных вендоров в единой экосистеме существенно сокращает time-to-market и снижает риск ошибок при разработке. Помимо этого, клиенты получают комплексное решение "под ключ", протестированное и проверенное экспертами.

Степан Дудник, технический директор HD Tech.

Ставя перед собой задачу создания экосистемы разработки программного обеспечения вокруг IDP-платформы, мы стремились построить партнерское сообщество разработчиков ПО. В результате этого мы получили универсальный набор инструментов, который не только позволит заместить иностранные решения, но и даст возможность существенно сократить срок вывода программного продукта на рынок

Подробнее о новости читайте по ссылке.

🖥 Оставьте заявку на демо и оцените возможности нашего продукта.

#ТехСовместимость #AppSecCode #SCM

Как измерить пользу AppSec для бизнеса 📊

Как объяснить руководству, что AppSec — это не просто устранение уязвимостей, а важный инструмент для роста бизнеса? Как показать реальную пользу безопасности на языке цифр? Сегодня вместе с Анастасией Арсеньевой, аналитиком данных в AppSec Solutions обсудим ключевые метрики AppSec, которые помогают компаниям принимать обоснованные решения.

▶️Читайте новый материал по ссылке

#ASPM #AppSec_Лонгрид

Ошибки в коде могут грозить утечкой данных?

Иногда достаточно одной неверной строчки кода, чтобы хакеры получили доступ к информации о пользователях. Чтобы этого не произошло, важно позаботиться о безопасности еще на начальном этапе разработки.

Как это сделать, расскажут эксперты AppSec Solutions и ГК "Солар" на вебинаре 18 февраля.

▶️Вы узнаете:
— Какие языки программирования наиболее уязвимы — исследования от AppSec Solutions.
— Как защитить ПО и веб-приложения с первых этапов разработки.
— Как можно проверить приложение на уязвимости даже без опыта в разработке.

🎙Спикеры:
— Антон Башарин, старший управляющий директор AppSec Solutions
— Владимир Высоцкий, руководитель группы развития бизнеса Solar appScreener
— Полина Гримало, руководитель группы системной и бизнес аналитики Solar appScreener

Вебинар будет полезен как специалистам по ИБ, так и разработчикам.

Прокачайте свои знания и улучшите безопасность ваших веб-приложений и ПО.

🖥 Регистрируйтесь по ссылке и готовьте ваши вопросы!

#AppSec_Вебинары

Метрики DevSecOps в AppSec.Hub: данные, которые работают на вас

Вы внедрили DevSecOps, но сканы не дают ответов на важные вопросы?

▶️ Какое состояние кибербезопасности?
▶️ Почему Time-to-Market высокий?
▶️ Какой уровень технического долга в ИБ?

AppSec.Hub решает эту проблему. Платформа дает аналитику для всех: от разработчиков до руководителей.

Метрики дефектов помогут:
— Оценить нагрузку на разработку
— Следить за устранением уязвимостей
— Управлять киберрисками

🛟 Дашборд OWASP сфокусирует вас на главном, а оценка зрелости DevSecOps через Shift Left снизит время и стоимость устранения дефектов.

Трансформируйте работу с аналитикой DevSecOps с AppSec.Hub!
👁 Смотрите ролик про метрики выше!

#ASPM #AppSec_FAQ #AppSecHub

❤️ Любите и заботьтесь о себе, как AppSec Solutions заботится о безопасности!

Поздравляем всех с днем влюбленных, и напоминаем, что 2025 год — год заботы о себе, но кто позаботится о вашей разработке? Конечно, AppSec Solutions (и немножко вы).

Проверьте себя в нашем Бинго заботы о безопасной разработке — сколько «да» сможете набрать? Не забудьте похвастаться результатом в опросе ⬇️⬇️⬇️

🔒Безопасность — это ваша прибыль! 💰

В новом выпуске журнала «BIS Journal – Информационная безопасность бизнеса» старший управляющий партнер AppSec Solutions Антон Башарин делится ключевыми идеями о том, как управление безопасной разработкой на основе данных может значительно сократить время выхода вашего продукта на рынок. ⏱️

Разработка программного обеспечения, в том числе мобильных приложений, давно стала необходимой частью бизнес-процессов как в b2c-, так и в b2b-сегменте, особенно это касается крупного и среднего бизнеса. В то же время некоторые организации относятся к вопросам кибербезопасности, включая разработку безопасного ПО, по остаточному принципу.

В результате общий ущерб экономике России от действий злоумышленников в 2023–2024 годах, по оценкам Сбербанка, может превысить 1 триллион рублей, а в открытом доступе находятся данные 90% взрослых россиян. На этом фоне государство заметно и обоснованно будет ужесточать санкции за уязвимости в ПО, а клиенты — выбирать более безопасные сервисы. Таким образом, разработка безопасного программного обеспечения, или DevSecOps, — это не затраты, а инвестиции.

Сделать их максимально эффективными помогает использование методов управления Data Driven и принципа Shift Left 📊. Читайте статью по ссылке, чтобы узнать подробнее, что это и как работает.

#ASPM #BISjournal #AppSec_Лонгрид