Security Wine (бывший - DevSecOps Wine)

Reducing Our Attack Surface with AppSec Platform Статья про то, как можно построить AppSec платформу на базе open-source и недорогих сервисов AWS, которая автоматически обнаруживает имеющиеся активы, делает легковесное сканирование для выявления рисков, после чего полученные данные поступают на центральную платформу для фильтрации ложных срабатываний и формирования алертов в Slack. - Amass / Subfinder для поиска активов и отображения поверхности атаки - Aquatone , Wappalyzer и nmap для захвата скриншота, снятия стека и сканирования портов. Данные собираются в MongoDB. https://medium.com/ww-tech-blog/reducing-our-attack-surface-with-appsec-platform-4b6717a16709 #tools #aws #ops

FWD: Cloudsec 2020 Выложены доклады с FWD: Cloudsec 2020 - конференции по облачной безопасности. https://www.youtube.com/playlist?list=PLCPCP1pNWD7OBQvDY7vLCFhxWxok9DITl #talks #ops

#literature #web #ops

OWASP Software Component Verification Standard (SCVS) SCVS - новый стандарт OWASP, направленый на определение и снижение рисков, связанных с цепочками поставок ПО. Риском, связанным с цепочкой поставок, является использование уязвимого open-source компонента в процессе разработки, нарушение целостности имеющихся пакетов в репозитории, нарушение лицензионных соглашений. Среди лучших практик SCVS - использование Software Composition Analysis, пакетных менеджеров, усиленных настроек к пайплайну сборки и другое. #compliance #sca #dev

Tools for Cloud Examination Thomas Chopitea, Incident responder в Google, рассказывает про опыт расследования инцидентов и реагирования на них в облаке, а также делится некоторыми полезными инструментами от Google (и не только). Среди них Turbnia, Timesketch, GiftStick. Видео: Tools for Cloud Examination - Thomas Chopitea Слайды: RandoriSec-Friends-Tools_for_Cloud_Examination_Thomas_Chopitea.pdf #tools #gcp #ops

What Modern CI/CD Should Look Like В середине июня John Kinsella написал статью "Insecure by Default: Kubernetes CICD Reference Diagrams". В ней он расписал несколько пунктов, касающихся проверки безопасности, которых нет на картинках в гугле по запросу "kuberntes cicd". Отдельный кирпич был брошен в облачных провайдеров, которые не упоминают о безопасности, в том время как клиенты обращаются к их статьям за рекомендациями. Получив огромное количество запросов "ну тогда покажи как надо", John выпустил статью "What Modern CI/CD Should Look Like", в которой постарался изложить свое видение безопасного пайплайна для AWS, Azure и GCP ( John, кстати, вице-президент по Container Security в Qualys и выступает на конференциях Infosec World) #aws #azure #gcp #k8s #dev #ops

DAST operator DAST operator - open-source инструмент, цель которого упростить запуск OWASP ZAP, запуская ZAP в качестве оператора Kubernetes. Сам OWASP ZAP деплоится в виде custom resources. Недавно разработчики анонсировали, что теперь dast-operator может принимать определения OpenAPI для сканирования. Согласно roadmap инструмент должен будет поддерживать также SQLmap, тестирование API и фаззинг. https://banzaicloud.com/blog/auto-dast-openapi/ #tools #dast #k8s #dev

Validating Kubernetes YAML for best practice and policies В статье сравниваются шесть статических инструментов для проверки и оценки файлов YAML Kubernetes, а именно: - Kubeval - Kube-score - Config-lint - Copper - Conftest - Polaris https://learnk8s.io/validating-kubernetes-yaml #tools #sast #k8s #dev #ops

OPA Image Scanner admission controller OPA Image Scanner совмещает Sysdig Secure image scanner c языком Open Policy Agent, что позволяет задавать более сложные политики для приема образов в кластер, чем просто использование сканирования образов на базе информации о реестре, имени образа и тега. Например, всегда допускать развертывание образов в определенных пространствах имен ("Dev"). Про Sysdig OPA Image Scanner в блоге Sysdig #tools #k8s #docker #ops #opa

Understanding API Security, Justin Richer and Antonio Sanso Неплохая книга по защите API в открытом доступе: https://www.manning.com/books/understanding-api-security #literature #web #ops #dev

Kubernetes опубликовал "Pod Security Standards", где подробно объясняет какие настройки, когда, где и как использовать в Pod Security Policy. Для этого они все политики разделили на 3 типа: - Privileged - неограниченная политика, предоставляющая большую свободу, позволяет проводить хорошо известные поднятия привилегий. - Baseline/Default - минимально закручиваем гайки чтобы предотвратить хорошо известные поднятия привилегий. - Restricted - максимально закручиваем гайки.

Introducing Piranha: An Open Source Tool to Automatically Delete Stale Code Piranha - open-source инструмент от Uber для автоматического рефакторинга кода. Рефакторинг происходит за счет меток, проставляемых разработчиками в коде. Удаление кода, окруженного специальной меткой, позволяет избавиться от устаревшего, неиспользуемого и временного участка кода. Кроме повышения эффективности разработчиков, сокращения времени сборки и размера бинаря, инструмент позволяет увеличить безопасность кода приложения. На текущий момент поддерживается Java, Objective C, Swift. О том, как Uber применил Piranha для своих мобильных приложений Исследования и академические выводы об инструменте 6-и минутный ролик #tools #mobile #dev

Backend United #6: Табаско — разработчики о безопасности Идет с 18:00. Круто видеть такое в русскоговорящем комьюнити, подключаемся :) [18:00–18:40] — Как мы (и нас) сами себя взламываем: безопасность глазами разработчика, Денис Юрьев, Skyeng [18:45–19:10] — Single quote injection to find them all, Александр Трифанов, Авито [19:15–19:50] — Security Training & Awareness в Тинькофф, Елена Клочкова, Тинькофф [19:55–20:30] — DevSecOps для облачного провайдера: опыт Яндекс.Облака, Антон Жаболенко, Яндекс.Облако https://youtu.be/dsJN9J1rV6o #talks #dev #ops

Introduction to GKE Kubelet TLS Bootstrap Privilege Escalation До этого мы говорили про фреймворк MITRE ATT & CK для описания поведения злоумышленника на разных стадиях атаки на облачные среды и k8s. Сегодня мы посмотрим, как на эту матрицу ложится атака по повышению привилегий в GCP через GKE Kubelet и TLS Bootstrap. Вывод статьи - соблюдайте принцип наименьших привилегий. https://rhinosecuritylabs.com/cloud-security/kubelet-tls-bootstrap-privilege-escalation/ #gcp #k8s #ops #attack

AWS Security Tooling Source: https://cloudseclist.com/issues/issue-42/ #tools #aws #ops

OWASP - Component Analysis Страница на OWASP, опубликованная пару месяцев назад и посвященная безопасности сторонних компонентов - Component Analysis. На странице можно прочитать про факторы риска использования стороних компонентов, рекомендации, C-SCRM, полезные пункты для добавления в политику безопасности, а также перечень инструментов, как open-source, так и commercial. https://owasp.org/www-community/Component_Analysis #tools #sca #dev

Кстати автор @mobile_appsec_world является также создателем проекта Stingray, который занял 4 место в Cybersecurity Challenge 2020. Stingray является инструментом для поиска дефектов безопасности мобильного приложения, а также несоответствия стандартам (например MASVS, PCI DSS) А еще есть возможность познакомиться с демо решения: https://demo.stingray.appsec.global/ #tools #mobile #dev