DevSecOps Talks
رفتن به کانال در Telegram
Рассказываем об актуальном в мире DevSecOps. Канал DevSecOps-команды "Инфосистемы Джет"
نمایش بیشتر8 071
مشترکین
اطلاعاتی وجود ندارد24 ساعت
+47 روز
+3330 روز
آرشیو پست ها
8 071
mTLS в Kubernetes
Всем привет!
Mutual TLS очень полезная функция, особенно когда дело касается информационной безопасности.
Для начала погружения в тему очень может подойти вот эта статья.
В ней Автор разбирает:
🍭 Краткое описание того, что такое mTLS и зачем он нужен
🍭 «Сделай сам!»-реализация с изменением логики работы приложения
🍭 Использование Service Mesh для достижения цели
🍭 Реализация mTLS на основе Ambient Mesh
🍭 Общие рекомендации о том, как это можно сделать
Статья небольшая, дает общение понимание что и зачем и как это можно реализовать. Самое «то» для пятницы ☺️
8 071
Графический генератор Audit Policy для Kubernetes
Всем привет!
Команда «Штурвала» сделала «Генератор политик аудита» для Kubernetes. С его помощью можно создавать требуемые политики в удобном web-интерфейсе!
Для этого потребуется
🍭 Перейти по ссылке выше
🍭 Создать правило, на которое будет срабатывать политика
🍭 Указать необходимые параметры (уровень логирования, ресурсы, глаголы и т.д.)
🍭 Повторить до желаемого результата
Ресурс пока что находится в стадии beta-тестирования.
Если вдруг вы найдете что-то, что не работает или у вас есть мысли по развитию функционала, то можете смело их адресовать в Telegram-чат «Сообщества Штурвал» 😊
8 071
Управление уязвимостями от Phoenix Security
Всем привет!
В приложении электронная книга от Phoenix Security (~ 120 страниц) с весьма претенциозным названием: «Building resilient application and cloud security programs to manage vulnerabilities».
Однако, все чуть проще, чем может показаться 😊 В книге очень неплохо описаны размышления о том, как можно выстроить процесс управления уязвимостями и на что обращать внимание. В большей степени речь идет именно про Application Security.
В книге собрана информация о:
🍭 «Источниках данных» ИБ-дефектов и их «месте» в жизненном цикле ПО
🍭 CVE, CVSS – много аналитики и аргументов о том, почему этого крайне мало для принятия решения
🍭 Базах данных с exploits (например, CISA KEV) и EPSS, их роли в оптимизации управления ИБ-дефектами
🍭 Подходах к расстановке приоритетов для устранения ИБ-дефектов, важности роли «контекста»
🍭 Уровнях зрелости процесса и том, что надо делать, чтобы его повысить
🍭 Сравнительных затратах при ручной и (полу) автоматизированной разметке
В книге очень много статистики, рекомендаций и отсылок на разные методологические материалы.
Единственный нюанс – кажется, что все тоже самое можно было рассказать на чуть меньше, чем 120 страниц 😊
8 071
Поиск проблем в Kubernetes с использованием AI
Всем привет!
Иногда хочется, чтобы был «волшебный помощник», который будет искать ошибки и объяснять их «простым языком», а еще лучше – самостоятельно их устранять.
Таким помощником может быть и искусственный интеллект. В статье Автор описывает свои изыскания при работе с GPTScript и Kubernetes.
Статья состоит из следующих разделов:
🍭 Краткая вводная в использование GPTScript
🍭 Разницу между Tool и Agent (это потребуется в дальнейшем)
🍭 Создание простейших Tool и Agent, которые будет отвечать на вопрос о состоянии кластера
🍭 Развитие предыдущей идеи – не только отображать статус, но и вносить изменения
🍭 Deploy наработок в кластер в виде Job
Попутно Автор объясняет, как влияют вносимые им изменения на работу модели и результаты, которые она генерирует.
Да, у такого подхода множество вопросов – «А что, если он не сможет найти причину?», «А что, если он поправит так, что сделает только хуже?», «А как можно доверять такой конструкции?» и т.д. Однако, как концепт – это достаточно интересно на наш взгляд.
Кстати, есть еще один занятный способ использования AI для нужд поиска ошибок – «человеческое общение» с журналами событий (прочитать и посмотреть можно тут).
Вероятно, что со временем подобное станет распространённой практикой и сократит время на обслуживание систем.
А что вы думаете по этому поводу?
8 071
Управление секретами: ArgoCD, HashiCorp Vault и External Secrets Operator
Всем привет!
В статье можно найти очень неплохое руководство о том, как можно реализовать процесс управления секретами в кластерах Kubernetes с использованием ArgoCD (в целом – опционально, без нее ничего не поменяется), HashiCorp Vault и External Secrets Operator (ESO).
Автор фокусируются на двух основных вопросах:
🍭 Как избежать сохранения каких-либо секретов в git (включая аутентификационных токены для Vault)
🍭 Как реализовать синхронизацию секретов без перезапуска приложений
Для того, чтобы процесс был более наглядным, Автор использует минималистичное приложение, которое отображает информацию о секретах в реальном времени.
Весь процесс отлично описан (за исключением установки используемых решений): шаги, конфигурационные параметры, комментарии и то, что происходит «под капотом». Рекомендуем! ☺️
8 071
Запись вебинара "Фреймворк безопасности контейнеров JCSF"
А вот и запись прошедшего вебинара про безопасность контейнеров и фреймворк JCSF, в котором мы принимали участие. Приятного просмотра!
8 071
OpenClarity: сканирование контейнеров и кластеров
Всем привет!
OpenClarity – open source проект, который позволяет сканировать кластеры Kubernetes и не только для идентификации ИБ-дефектов.
Он содержит сканеры, позволяющие выявлять:
🍭 Уязвимости
🍭 Вредоносное ПО
🍭 Секреты
🍭 Ошибки в конфигурациях
🍭 Эксплойты
Для этого используется целый набор сканеров и источников данных:
Syft, Trivy, Grype, Go Exploit DB, KICS, ClamAV и не только.
Подробнее о решении можно узнать в repo или из его документации.8 071
The Complete Guide to Kubernetes Security
Всем привет!
Астрологи объявили неделю электронных книг. В приложении можно найти электронную книгу (~ 33 страницы) от CrowdStrike, посвященную Kubernetes Security.
Материал разбит на 4 основные главы:
🍭 Общая информация о Kubernetes и его «месте» в Cloud Native мире
🍭 Основные векторы компрометации кластеров Kubernetes, разложенные по MITRE
🍭 Рекомендации по защите кластеров Kubernetes (Develop and Distribute, Deploy and Runtime)
🍭 Создание программы (плана) по защите среды контейнерной оркестрации
Конечно, не обошлось и без рекламы решений CrowdStrike по защите контейнеров, но ее не так уж и много.
8 071
Вопросы для интервью!
Всем привет!
Возможно, вам предстоит пройти интервью, вы недавно его проходили или вы просто любите разные квизы.
В этом случае вам может быть интересна подборка, доступная на этом сайте.
В ней собраны вопросы по различным областям. Например:
🍭 Core DevOps Concepts
🍭 Kubernetes
🍭 CI/CD
🍭 Monitoring and Logging
🍭 Site Reliability Engineering и другие
Для каждого раздела есть вопросы и ответы, с которыми можно ознакомиться.
Из минусов – вопросов пока что крайне мало и, зачастую, они достаточно общего характера.
Но! Надеемся, что проект будет развиваться и количество вопросов будет только увеличиваться.
Например, если у вас есть, чем поделиться, то правила внесения изменений описаны в разделе contribute ☺️
8 071
Курсы от Wiz!
Всем привет!
Команда Wiz подготовила небольшой набор обучающих курсов, посвященных Cloud Native Security. На текущий момент доступно: Kubernetes Security и SecOps for Cloud. В скором времени команда планирует выпустить AI Security.
Курсы хоть и базовые, но достаточно обширные с точки зрения рассматриваемых тем.
Например, курс про Kubernetes содержит:
🍭 Основы контейнеризации и Kubernetes
🍭 Ошибки в конфигурациях, security posture
🍭 Управление уязвимостями и безопасность цепочки поставок
🍭 Сетевая безопасность, Zero Trust
🍭 Runtime Security и не только
В среднем, для прохождения потребуется от 45 до 60 минут. Никакой регистрации не требуется (вообще). Можно просто открыть ссылку и читать/слушать 😊
8 071
Repost from Инфосистемы Джет
#мероприятие
12 февраля в 11:00 подключайтесь к вебинару «Фреймворк безопасности контейнеров JCSF» 🛡
Для оценки уровня безопасности контейнерного окружения компании используют зарубежные NIST 800-190, CIS Kubernetes benchmark, CIS Docker benchmark или изучают премудрости 118 приказа ФСТЭК России. Но все они не дают ответ, в какой последовательности все практики необходимо выполнять.
«Инфосистемы Джет» создала и выложила в открытый доступ свой фреймворк по мерам безопасности контейнерных сред и сред контейнерной оркестрации – Jet Container Security Framework (JCSF).
На совместном вебинаре эксперты из Luntry и «Инфосистемы Джет» обсудят:
🔹Предысторию возникновения фреймворка
🔹Плюсы и минусы существующих документов
🔹Отличия JCSF от прочих стандартов
🔹Отдельные практики контейнерной безопасности и уровни зрелости для них
🔹Проведение аудита по JCSF
➡️ Регистрация
8 071
The Ultimate DevSecOps Playbook for 2025 AI, ML and beyond
Всем привет!
В приложении можно скачать электронную книгу от Hadess (~ 116 страниц), посвященную безопасной разработке.
Внутри можно найти информацию о:
🍭 KPI команды DevSecOPs и как их считать
🍭 Уровни зрелости DevSecOps (от Initial до Optimized)
🍭 Технологии, используемые для автоматизации практик безопасной разработки
🍭 Использование AI и LLM в DevSecOps – где и для чего они могу пригодиться
🍭 Немного про MLSecOps/AISecOps в DevSecOps
Материала достаточно много, возможно, что-то из этого понравится вам и вы сможете использовать это у себя 😊
8 071
Знакомьтесь, Шерлок!
Всем привет!
Меня зовут Антон Гаврилов, я один из авторов этого канала. Приятно познакомиться!
Последний год мы вместе с командой работаем над собственной ASOC/ASPM/Иное (мне не очень нравятся эти аббревиатуры 😊) системой, которая получила имя «Шерлок».
В декабре 2024 года был выпущен первый релиз. И мне очень хочется показать его вам и всем, кому это будет интересно!
Если вы:
🍭 Хотите задавать каверзные вопросы
🍭 Хотите посмотреть на-еще-одно-отечественное-ПО
🍭 Продемонстрировать свой скепсис
🍭 Пожать руку, поделиться советом и пожелать удачи
🍭 …
То приходите на вебинар, который будет 13.02, начало в 11:00 (Мск). Да, будет небольшая презентация (для погружения в контекст), а основная часть будет посвящена «живой демонстрации».
Думаю, что на все про всё у нас уйдет часа 1,5. Но! Если вопросов будет много, то задержимся и найдем ответы на все 😊
Спасибо и до встречи!
Антон
P.S. Буду признателен за пересылку приглашения ☺️ Очень хочется узнать ваши мысли относительно того, что мы сделали и продолжаем делать!
8 071
Автоматизация создания схем для Kubernetes
Всем привет!
По ссылке можно найти утилиту, которая позволяет автоматизировать процесс создания диаграмм, визуализирующих взаимосвязь ресурсов приложения, запущенного в Kubernetes - KubeDiagrams.
Подобные утилиты существуют (и предоставлены в repo). KubeDiagrams отличается от них тем, что его можно очень по-разному настроить.
Сам процесс выглядит примерно так:
🍭 Применяем необходимые манифесты в кластере Kubernetes
🍭 Ждем пока все ресурсы будут созданы, pod – запущены и т.д.
🍭 Делаем
kubectl get all,sa,cm,pod… -o=yaml > file.yaml
🍭 Передаем указанный файл на вход KubeDiagrams
Готово! Получаем красивую схему
Примеры работы утилиты можно найти в repo.
Насколько хорошо она себя покажет с «большими» приложениями – трудно сказать, надо экспериментировать! ☺️
P.S. Возможно, что есть те, кто ей пользовался и они захотят поделиться мнением ☺️8 071
Использование AI для triage: опыт Semgrep
Всем привет!
Продолжаем тему использования AI для оптимизации процесса управления ИБ-дефектами при статическом анализе исходного кода.
«Мы рады заявить, что оценка Semgrep Assistant по обнаружению true positive совпадает с аналогичной оценкой наших специалистов в 95% случаев» - так начинается статья от Semgrep.
Далее в статье описано как именно команде удалось достичь таких впечатляющих результатов.
Например:
🍭 Процесс работы Assistant Autotriage – схема, дополнительный контекст (метаданные правил, предыдущие решения, примеры того, что (не) должно быть найдено и т.д.)
🍭 Сравнение используемых моделей (на выборке из 2000 findings)
🍭 Улучшение результативности за счет разных моделей, оптимизации prompt и т.д.
В завершение описаны идеи команды по дальнейшему развитию Assistant. Например, сейчас он сам не «закрывает» найденные ИБ-дефекты, а только подсказывает.
Рекомендуем! Читается легко, много всего интересного, включая дополнительные ссылки на исследования Semgrep в области использования машинного обучения.
8 071
В пятницу прошла интересная беседа уважаемых в мире DevOps людей 😎
Смотрели под лупой новую версию Штурвала и рассуждали нужен ли ванильный куб, если можно скачать бесплатную community версию продукта и не мучиться? 😵
Всем приятного просмотра 🤓
https://www.youtube.com/watch?v=1My_GAXjI3A
Полезные ссылки:
Telegram - https://t.me/shturval_community
Сайт - https://chislitellab.ru/shturval/
8 071
Использование AI в статическом анализе
Всем привет!
Статья от GitHub, в которой описано то, как они применяют AI для оптимизации процесса работы с результатами статического анализа ПО.
В статье приводится общая информация о том, как и для чего можно использовать AI в SAST.
Например, выявление большего количества ИБ-дефектов или помощь в их устранении.
Последнему как раз и посвящена основная часть статьи. Автор описывает процесс того, как работает Code Scanning Autofix в связке с CodeQL.
Алгоритм следующий:
🍭 Кодовая база сканируется с использованием CodeQL
🍭 Подготовка prompt’a с информацией об ИБ-дефекте для отправки в Copilot (описание уязвимости из базы CodeQL, пример исходного кода)
🍭 Проверка ответа, полученного от Copilot, удаление всего «лишнего»
🍭 Создание pull request, содержащего вариант по устранению ИБ-дефекта и его описание
Указанный выше алгоритм более детально описывается в статье, с примерами.
Кроме того, в статье очень много ссылок на полезные материалы по теме использования AI для анализа ПО.
8 071
Анализ достижимости: что это такое и как это работает?
Всем привет!
В приложении можно скачать презентацию Mike Larkin, в которой он наглядно показывает, что такое анализ достижимости и как его можно реализовать с использованием open source инструментов.
Авто рассматривает:
🍭 Что такое достижимый код
🍭 Общая информация об анализе достижимости и почему он так важен
🍭 CVE и «информативность» их описания
🍭 SBOM и его роль в анализе достижимости
🍭 Графы вызовов, их использование для понимания «кто вызывает кого» и не только
В результате у Автора получается объединить все вышеописанное вместе для того, чтобы рассмотреть анализ достижимости со всех сторон (пусть и поверхностно).
Для наглядности материал содержит отсылки на используемый инструментарий и примеры анализа для Golang и Java-приложения.
Помимо этого, можно ознакомиться с видео. Рекомендуем! Хотя бы потому, что в нем представлены примеры запуска утилит и комментарии Автора, чего нет в презентации.
Увы, предлагаемый подход поможет понять, что это такое и зачем это нужно, но масштабировать его в компаниях вряд ли получится без «доработок».
8 071
Ротация секретов: how to?
Всем привет!
Небольшой, но тем не менее достаточно важный пятничный пост. Бывает так, что секрет был компрометирован. И его надо сменить.
Команда Truffle Security любезно подготовила набор пошаговых инструкций о том, как это можно сделать для разных сервисов.
В подборку вошли:
🍭 Atlassian
🍭 GitHub
🍭 GitLab
🍭 OpenAI
🍭 Slack и многое другое
Надеемся, что вам никогда не пригодятся эти инструкции. Но на всякий случай, пусть побудут тут 😊
