Gauntlt
Gauntlt - бесплатный фреймворк, который позволяет использовать популярные инструменты аудита безопасности в конвейере разработки, применяя методологию BDD (о ней упоминал ранее). Это должно помочь объединить dev, ops и sec.
Gauntlt включает "адаптеры" для следующих инструментов:
- arachni
- curl
- dirb
- Garmr
- heartbleed
- nmap
- sqlmap
- sslyze
Также можно дописывать свои адаптеры.
Ссылка на репозиторий.
Работа с Gauntlt
Презентация с AppSec USA OWASP
#tools #dev #ops
Gauntlt - бесплатный фреймворк, который позволяет использовать популярные инструменты аудита безопасности в конвейере разработки, применяя методологию BDD (о ней упоминал ранее). Это должно помочь объединить dev, ops и sec.
Gauntlt включает "адаптеры" для следующих инструментов:
- arachni
- curl
- dirb
- Garmr
- heartbleed
- nmap
- sqlmap
- sslyze
Также можно дописывать свои адаптеры.
Ссылка на репозиторий.
Работа с Gauntlt
Презентация с AppSec USA OWASP
#tools #dev #ops
DevSecOps : What, Why and How
На канал Black Hat дозалили доклады с Black Hat USA 2019, в том числе доклад "DevSecOps : What, Why and How", в котором Anant Shrivastava проходит по всему пайплану DevSecOps, приводя примеры и лучшие практики. Рекомендую.
Доклад:
https://youtu.be/DzX9Vi_UQ8o
Материалы:
https://www.blackhat.com/us-19/briefings/schedule/#devsecops--what-why-and-how-17058
#bestpractice #dev #ops
На канал Black Hat дозалили доклады с Black Hat USA 2019, в том числе доклад "DevSecOps : What, Why and How", в котором Anant Shrivastava проходит по всему пайплану DevSecOps, приводя примеры и лучшие практики. Рекомендую.
Доклад:
https://youtu.be/DzX9Vi_UQ8o
Материалы:
https://www.blackhat.com/us-19/briefings/schedule/#devsecops--what-why-and-how-17058
#bestpractice #dev #ops
Forwarded from Технологический Болт Генона
Attacking Azure, Azure AD, and Introducing PowerZure
https://posts.specterops.io/attacking-azure-azure-ad-and-introducing-powerzure-ca70b330511a
https://posts.specterops.io/attacking-azure-azure-ad-and-introducing-powerzure-ca70b330511a
CyberARK Conjur
Conjur - бесплатный password vault, приобретенный компанией CyberARK. Является прямым аналогом HashiCorp Vault. Conjur обеспечивает доступ к секретам путем жесткого контроля секретов с помощью детального контроля доступа на основе ролей (RBAC). Есть большое количество интеграций: Terraform, Jenkins, OpenShift, k8s, AWS и тд. Поставляется в виде docker-контейнера. Среди API: REST, CLI client, Java API, Go, Ruby, NET.
Имеется также entreprise-версия - CyberARK DAP. Отличительные фичи платной версии - кластеризация из коробки, веб-интерфейс, интеграция с CyberARK PAS.
Видео-демонстрация
Интеграция Conjur и OpenShift.
Пример взаимодействия с Conjur
#tools #vault #ops
Conjur - бесплатный password vault, приобретенный компанией CyberARK. Является прямым аналогом HashiCorp Vault. Conjur обеспечивает доступ к секретам путем жесткого контроля секретов с помощью детального контроля доступа на основе ролей (RBAC). Есть большое количество интеграций: Terraform, Jenkins, OpenShift, k8s, AWS и тд. Поставляется в виде docker-контейнера. Среди API: REST, CLI client, Java API, Go, Ruby, NET.
Имеется также entreprise-версия - CyberARK DAP. Отличительные фичи платной версии - кластеризация из коробки, веб-интерфейс, интеграция с CyberARK PAS.
Видео-демонстрация
Интеграция Conjur и OpenShift.
Пример взаимодействия с Conjur
#tools #vault #ops
RSA Conference 2020 - AppSec
Собрал все самое интересное с RSA Conference 2020 по выстраиванию безопасного DevOps. Некоторым тезисам планирую посвятить отдельные посты
The Impact of Software Security Practice Adoption Quantified
- ребята из Comcast написали свой фреймворк Greenhouse для визуалиции лучших практик DevSecOps и оценки степени зрелости команд. В конце презентации они рассказывают, какие практики несут наибольшую пользу для снижения рисков, а что несет только вред
DevSecOps State of the Union - Clint Gibler проанализировал кучу источников, чтобы собрать все лучшие практики в одной презентации. В конце то, от чего стоит отказаться для оптимизации времени на AppSec.
Dude, You’re Getting a Dell: Organizational Culture Shift to SDL Maturity - опыт выстраивания культуры безопасной разработки на примере огромного Dell: используемые фреймворки, выстраивание Security Champion Program и 10 ключевых шагов
Using the Hacker Persona to Build Your DevSecOps Pipeline
- про уязвимые места в DevOps пайплане для нанесения вреда инсайдерами, неосторожными разработчиками и APT, каким образом можно выявить нарушителей зная их поведение, архетипы и мотивации
#bestpractice #dev #ops
Собрал все самое интересное с RSA Conference 2020 по выстраиванию безопасного DevOps. Некоторым тезисам планирую посвятить отдельные посты
The Impact of Software Security Practice Adoption Quantified
- ребята из Comcast написали свой фреймворк Greenhouse для визуалиции лучших практик DevSecOps и оценки степени зрелости команд. В конце презентации они рассказывают, какие практики несут наибольшую пользу для снижения рисков, а что несет только вред
DevSecOps State of the Union - Clint Gibler проанализировал кучу источников, чтобы собрать все лучшие практики в одной презентации. В конце то, от чего стоит отказаться для оптимизации времени на AppSec.
Dude, You’re Getting a Dell: Organizational Culture Shift to SDL Maturity - опыт выстраивания культуры безопасной разработки на примере огромного Dell: используемые фреймворки, выстраивание Security Champion Program и 10 ключевых шагов
Using the Hacker Persona to Build Your DevSecOps Pipeline
- про уязвимые места в DevOps пайплане для нанесения вреда инсайдерами, неосторожными разработчиками и APT, каким образом можно выявить нарушителей зная их поведение, архетипы и мотивации
#bestpractice #dev #ops
YouTube
The Impact of Software Security Practice Adoption Quantified
Larry Maccherone, DevSecOps Transformation, Comcast
This talk will present research quantifying the impact that various software security practices have on security risk outcomes. Comcast has correlated practices like secure coding training, threat modeling…
This talk will present research quantifying the impact that various software security practices have on security risk outcomes. Comcast has correlated practices like secure coding training, threat modeling…
Forwarded from Технологический Болт Генона
The DevSecOps Iceberg
https://wott.io/blog/thoughts/2019/11/29/the-devsecops-iceberg
За ссылку спасибо Олегу @oleg_log
https://wott.io/blog/thoughts/2019/11/29/the-devsecops-iceberg
За ссылку спасибо Олегу @oleg_log
Kubernetes Built-in Controls Workshop
Набор заданий по безопасности Kubernetes через встроенные средства (оставшиеся с воркшопа BSidesSF 2020)
https://securek8s.dev/exercise/
#practise #ops
Набор заданий по безопасности Kubernetes через встроенные средства (оставшиеся с воркшопа BSidesSF 2020)
https://securek8s.dev/exercise/
#practise #ops
Dispatch
Dispatch - бесплатный фреймворк для работы с инцидентами от Netflix. Интегрируется с G Suite, Jira, Slack, Jira и т. д. Через dispatch можно заводить инциденты, отслеживать задачи, собирать участников, оказываать пост-инцидент проверки.
Про Dispatch из Netflix Technology Blog
Исходники
#tools #dev #ops
Dispatch - бесплатный фреймворк для работы с инцидентами от Netflix. Интегрируется с G Suite, Jira, Slack, Jira и т. д. Через dispatch можно заводить инциденты, отслеживать задачи, собирать участников, оказываать пост-инцидент проверки.
Про Dispatch из Netflix Technology Blog
Исходники
#tools #dev #ops
OFFZONE 2020
16-17 апреля 2020 года пройдет ежегодная конференция по информационной безопасности - OFFZONE, и сейчас организаторы ищут крутых докладчиков в секцию AppSec.
У вас есть исследование на тему построения безопасной архитектуры для приложений?
Вы разрабатывали процессы, интегрировали механизмы или внедряли инструменты для построения SDLC?
Вы находили секьюрити-особенности в библиотеках языков программирования или клевые баги во время bug bounty?
Если есть, что рассказать по упомянутым выше темам, и, как итог, вы хотите попасть в материалы моего канала, присылайте заявки )
Не уверены, подойдет ли ваша тема? Посмотрите, какие доклады были в 2019 году (http://bit.ly/2VrozKF).
Заявки направляйте:
- в адрес [email protected]
- через форму на https://appsec.zone/cfp
- или напрямую @tr3ska или @Mr_R1p
Подробнее:
https://offzone.moscow/ru/appsec-zone/
https://appsec.zone/
16-17 апреля 2020 года пройдет ежегодная конференция по информационной безопасности - OFFZONE, и сейчас организаторы ищут крутых докладчиков в секцию AppSec.
У вас есть исследование на тему построения безопасной архитектуры для приложений?
Вы разрабатывали процессы, интегрировали механизмы или внедряли инструменты для построения SDLC?
Вы находили секьюрити-особенности в библиотеках языков программирования или клевые баги во время bug bounty?
Если есть, что рассказать по упомянутым выше темам, и, как итог, вы хотите попасть в материалы моего канала, присылайте заявки )
Не уверены, подойдет ли ваша тема? Посмотрите, какие доклады были в 2019 году (http://bit.ly/2VrozKF).
Заявки направляйте:
- в адрес [email protected]
- через форму на https://appsec.zone/cfp
- или напрямую @tr3ska или @Mr_R1p
Подробнее:
https://offzone.moscow/ru/appsec-zone/
https://appsec.zone/
appsec.zone
Заявка на участие в AppSec.Zone 2023
Форма заявки на выступление в программе AppSec.Zone 2022
FuzzBench: Fuzzer Benchmarking As a Service
FuzzBench - автоматизированный бесплатный сервис от команды Google OSS-Fuzz, созданный для оценки работы подключенных фазеров. Чтобы использовать FuzzBench, достаточно интегрировать фаззер, и FuzzBench проведет эксперимент в течение 24 часов со многими испытаниями и реальными тестами. На основе данных этого эксперимента FuzzBench создаст отчет, сравнивающий производительность фаззера с другими, и даст представление о сильных и слабых сторонах каждого фаззера. Это должно позволить исследователям сосредоточить больше своего времени на совершенствовании методов и меньше времени на настройку оценок и работу с существующими фаззерами.
FuzzBench может использовать любой из OSS-Fuzz проектов.
#tools #dast #fuzzing #dev
FuzzBench - автоматизированный бесплатный сервис от команды Google OSS-Fuzz, созданный для оценки работы подключенных фазеров. Чтобы использовать FuzzBench, достаточно интегрировать фаззер, и FuzzBench проведет эксперимент в течение 24 часов со многими испытаниями и реальными тестами. На основе данных этого эксперимента FuzzBench создаст отчет, сравнивающий производительность фаззера с другими, и даст представление о сильных и слабых сторонах каждого фаззера. Это должно позволить исследователям сосредоточить больше своего времени на совершенствовании методов и меньше времени на настройку оценок и работу с существующими фаззерами.
FuzzBench может использовать любой из OSS-Fuzz проектов.
#tools #dast #fuzzing #dev
F5Day_devsecops_waf.pdf
2.1 MB
Shift WAF left
F5 Days - конференция, которая проходит под эгидой F5 Networks, на которой наш ведущий инженер Александр Бутенко должен был выступать с докладом по встраиванию F5 в CI/CD на этапах тестов. К сожалению, так получилось, что конференция была отменена из-за небезызвестного вируса. Я решил, что материалу надо дать шанс на ознакомление, поэтому прикладываю его к посту.
Основные тезисы:
- прорабатываем и публикуем политики защиты WAF на этапах test фокус-группами или специалистами ИБ
- формируем эффективные политики за счет усечения фокус-группами веб-запросов, генерируемых dev-тестами + обучение WAF
#WAF #bestpractice #dev #ops
F5 Days - конференция, которая проходит под эгидой F5 Networks, на которой наш ведущий инженер Александр Бутенко должен был выступать с докладом по встраиванию F5 в CI/CD на этапах тестов. К сожалению, так получилось, что конференция была отменена из-за небезызвестного вируса. Я решил, что материалу надо дать шанс на ознакомление, поэтому прикладываю его к посту.
Основные тезисы:
- прорабатываем и публикуем политики защиты WAF на этапах test фокус-группами или специалистами ИБ
- формируем эффективные политики за счет усечения фокус-группами веб-запросов, генерируемых dev-тестами + обучение WAF
#WAF #bestpractice #dev #ops
"A Survey of Istio's Network Security Features"
Очень полезная статья про аспекты безопасности Istio. Статья охватывает следующее: что из себя представляет самый популярный service mesh, развертывание, анализ безопасности, а именно IPv6, Matual TLS, Engress restrictions.
https://research.nccgroup.com/2020/03/04/a-survey-of-istios-network-security-features/
#article #k8s #ops
Очень полезная статья про аспекты безопасности Istio. Статья охватывает следующее: что из себя представляет самый популярный service mesh, развертывание, анализ безопасности, а именно IPv6, Matual TLS, Engress restrictions.
https://research.nccgroup.com/2020/03/04/a-survey-of-istios-network-security-features/
#article #k8s #ops
Information Security Management through Reflexive Security.pdf
315.2 KB
"Information Security
Management through
Reflexive Security" by CSA
Документ определяет понятие рефлексивной безопасности (Reflexive Security) как новый подход к управлению ИБ, основанный на принципах Agile и DevOps. Reflexive Security подчеркивает безопасность между организационными ролями, которая реагирует на внешние и внутренние угрозы гибким и динамичным способом. Reflexive Security призван стать новой стратегией управления информационной безопасностью, которая является динамичной, интерактивной, эффективной и целостной по сравнению с традиционными (СУИБ)
#law #report #dev #ops
Management through
Reflexive Security" by CSA
Документ определяет понятие рефлексивной безопасности (Reflexive Security) как новый подход к управлению ИБ, основанный на принципах Agile и DevOps. Reflexive Security подчеркивает безопасность между организационными ролями, которая реагирует на внешние и внутренние угрозы гибким и динамичным способом. Reflexive Security призван стать новой стратегией управления информационной безопасностью, которая является динамичной, интерактивной, эффективной и целостной по сравнению с традиционными (СУИБ)
#law #report #dev #ops
SAMM v2
Не так давно вышла новая версия модели оценки зрелости безопасности ПО от OWASP - SAMM (Software Assurance Maturity Model). До этого я писал, что этой моделью пользуется большое количество зрелых компаний, в том числе Тинькофф, но что означает выход новой версии?
Что входит в SAMM v2:
1) Важные изменение в самой модели SAMM: появились новые этапы Implementation, Operations с упором на современные практики безопасного DevOps. Construction стал этапом Design.
2) Небольшой quick-start guide для того, чтобы поверхностно познакомиться с фреймворком
3) OWASP SAMM Toolbox. Это эксель-файл, который позволяет выполнить самооценку компании. Выполнив самооценку, можно будет перейти к установке целей для улучшения (согласно фрейморвку) и приступить к отслеживанию дорожной карты. Версия тулбокса есть еще в онлайн.
4) Новая система SAMM Benchmark для сравнения вашей зрелости со схожими организациями.
Модель OWASP SAMM онлайн
Модель OWASP SAMM PDF
Все что нужно знать про SAMM v2 - видео
#bestpractice #checklist #dev #ops
Не так давно вышла новая версия модели оценки зрелости безопасности ПО от OWASP - SAMM (Software Assurance Maturity Model). До этого я писал, что этой моделью пользуется большое количество зрелых компаний, в том числе Тинькофф, но что означает выход новой версии?
Что входит в SAMM v2:
1) Важные изменение в самой модели SAMM: появились новые этапы Implementation, Operations с упором на современные практики безопасного DevOps. Construction стал этапом Design.
2) Небольшой quick-start guide для того, чтобы поверхностно познакомиться с фреймворком
3) OWASP SAMM Toolbox. Это эксель-файл, который позволяет выполнить самооценку компании. Выполнив самооценку, можно будет перейти к установке целей для улучшения (согласно фрейморвку) и приступить к отслеживанию дорожной карты. Версия тулбокса есть еще в онлайн.
4) Новая система SAMM Benchmark для сравнения вашей зрелости со схожими организациями.
Модель OWASP SAMM онлайн
Модель OWASP SAMM PDF
Все что нужно знать про SAMM v2 - видео
#bestpractice #checklist #dev #ops
owaspsamm.org
OWASP SAMM version 2 - public release
After three years of preparation, our SAMM project team has delivered version 2 of SAMM! OWASP SAMM (Software Assurance Maturity Model) is the OWASP framework to help organizations assess, formulate, and implement, through our self-assessment model, a strategy…
Personal Security Checklist
Тут @oleg_log поделился чек-листом по обеспечению безопасности себя и своих данных - почта, персональный компьютер, смартфон, умный дом, работа в сети и т.д.
Оффтоп какой он должен быть...
https://github.com/Lissy93/personal-security-checklist
#checklist
Тут @oleg_log поделился чек-листом по обеспечению безопасности себя и своих данных - почта, персональный компьютер, смартфон, умный дом, работа в сети и т.д.
Оффтоп какой он должен быть...
https://github.com/Lissy93/personal-security-checklist
#checklist
GitHub
GitHub - Lissy93/personal-security-checklist: 🔒 A compiled checklist of 300+ tips for protecting digital security and privacy in…
🔒 A compiled checklist of 300+ tips for protecting digital security and privacy in 2024 - Lissy93/personal-security-checklist
Kubernetes_Security_Operating_Kubernetes_Clusters_and_Applications.pdf
5.7 MB
"Kubernetes Security" by Liz Rise, Michael Hausenblas
В книге разбираются концепции безопасности k8s, включая глубокую защиту, минимальные привилегии и ограничение поверхности атаки. Обзор того, как защитить кластер, как Kubernetes использует аутентификацию и авторизацию. Книга научит, как защищать образы контейнеров от известных уязвимостей и злоупотреблений со стороны третьих лиц, применять политики на уровне времени выполнения контейнеров, а также на уровне сети, даст краткое изложение того, как обрабатывать конфиденциальную информацию.
В дополнение от себя вот классный ресурс для тех кто хочет побольше узнать о безопасности k8s:
https://kubernetes-security.info/
#literature #k8s #ops
В книге разбираются концепции безопасности k8s, включая глубокую защиту, минимальные привилегии и ограничение поверхности атаки. Обзор того, как защитить кластер, как Kubernetes использует аутентификацию и авторизацию. Книга научит, как защищать образы контейнеров от известных уязвимостей и злоупотреблений со стороны третьих лиц, применять политики на уровне времени выполнения контейнеров, а также на уровне сети, даст краткое изложение того, как обрабатывать конфиденциальную информацию.
В дополнение от себя вот классный ресурс для тех кто хочет побольше узнать о безопасности k8s:
https://kubernetes-security.info/
#literature #k8s #ops
Как автоматизировать безопасность контейнеров в стиле Policy as Code с помощью CRD
Внедрение Kubernetes custom resource definitions (CRDs) позволит решить вопросы с определением политик безопасности как кода на первоначальном этапе сборки и выкатки приложений, автоматизировать их применение при выкатке приложений в продакшен-среду.
CRD можно использовать для внедрения глобальных политик безопасности, которые определяют поведение приложений и настраивают безопасность нескольких используемых кластеров Kubernetes
https://habr.com/ru/company/mailru/blog/490796/
#k8s #article #ops
Внедрение Kubernetes custom resource definitions (CRDs) позволит решить вопросы с определением политик безопасности как кода на первоначальном этапе сборки и выкатки приложений, автоматизировать их применение при выкатке приложений в продакшен-среду.
CRD можно использовать для внедрения глобальных политик безопасности, которые определяют поведение приложений и настраивают безопасность нескольких используемых кластеров Kubernetes
https://habr.com/ru/company/mailru/blog/490796/
#k8s #article #ops