AppSec & Compliance

Выложили видео с Security shift Т-банка во ВКонтакте или на Ютубе Из тех практик которые стоит отдельно (пере\по) смотреть. Артем Мерец 1.1 обозначил 3 ключевых целевых практики для Т-банка: 1.1.1.Переход на Fido2. 1.1.2.Отказ от продуктов с завершенным жизненным циклом (EoL) + использование posture agent. 1.1.3  Host Based-Firewall+межсервисная аутентификация+точечный доступ. 1.2.  В качестве перспективных концепций оцениваются Decision Fabric и самовосстанавливающаяся инфраструктура. Роман Лебедь Поделился практиками защиты внутренней ИИ разработки. А также рассказал про TOP-6 подходов по hardening безопасности разработки на примере внешнего провайдера: 2.1. Управляемые настройки (managed-settings.json): защита настроек от изменения пользователем или агентом. 2.2. Доверенные MCP Skills и плагины: разрешенные источники и версии. Проверка перед подключением и после обновлений. Контроль аргументов запуска. 2.3. Изоляция файлов и сети. Запуск кода в песочнице без сети по умолчанию. Ограничить доступ до .env,  ~/.ssh, ~/.aws (или аналоги). 2.4. Проверка действий до исполнения. Описать хуки и правила принятия решения. Контроль инструментов и аргументов. Оценка LLM Judge. 2.5. Аудит и управление клиентом. Журнал действий, контроль версий и обновлений. Остановка задач и отзывов доступа. 2.6. Корпоративные инструкции. Инструкции по архитектурным паттернам, безопасной разработке, требования к работе с данными, секретами и прод средой.   Алексей Долгих поделился 3.1 неуспешной практикой использования неблокирующего Security Gate в разработке (+4 % новых сработки в месяц в мастер ветке) .  3.2 С переходом в успешную практику блокировки релизов на базе ИИ инструмента Safeliner  на базе следующих практик: 3.2.1 Разделение веток – для нового кода более строгие требования, чем для мастер-ветки. 3.2.2. По уровню критичности. Новый код - строгий запрет на обнаружение опасных проблем. Мастер ветка – допускается накопление проблем в рамках установленного лимита. 3.2.3 Нулевая терпимость к утечкам XaaS.   4. Николай Буянов и Александр Краснов поделились описанием собственной технической реализации FIDO2 и SSO. 5. Роман Приходько описал реально багбаунти в условиях ИИ слопа. Поделился фактом, что теперь часто достаточно 1-2 дней для реализации недопустимого события на платформе Standoff Bug Bounty с закрытием программы . Причины: исследователи с агентами обходят мониторинг SOC, реализуются атаки которых нет в типовых сценариях и плейбуках. 6. Сергей Голованов поделился необычной оценкой влияния подчиненности ИБ при реагировании на инциденты. Отдельно упомяну, что голосом Сергей дополняет контекст этого слайда про подчиненность ИБ. Теперь можно послушать пленарную дискуссию и кейноут от Т-банка по кибер испытаниям. #Security_shift