DevSecOps Talks

Привет! Однажды Компания А попросила Компанию Б разработать web-приложение. Компания Б согласилась и наняла Подрядчика для выполнения части работ. Web-приложение было разработано и в момент поддержки выяснилось, что Подрядчик использовал некоторый собственно-изготовленный образ, а вот Dockerfile для него приложить забыл… К чему все это? В статье описан подход к reverse-engineering образа контейнера для воссоздания Dockerfile. А с примером, описанным выше, может встретиться каждый. Что сделал автор: 🍭 Сохранил образ в tar-формате, распаковал 🍭 Используя JQ получил информацию из manifest.json 🍭 Провел послойный анализ образа через .history 🍭 … 🍭 Получил данные, которые позволят воссоздать Dockerfile! Трудно сказать, насколько подобный образ применим для «массового использования», однако для выполнения локальных задач (если кто-то забыл/удалил/не отдал/иное Dockerfile) описанный подход вполне возможен ☺️ P.S. Preview не работает, поэтому дублируем ссылку: https://theartofmachinery.com/2021/03/18/reverse_engineering_a_docker_image.html

Всем привет! Google выпустили инструмент, который помогает визуализировать и анализировать open source элементы, используемые в разработке – deps.dev! Крайне простой, интуитивно понятный инструмент, который позволяет: 🍭 Построить табличку зависимостей рассматриваемого элемента. Или граф, если Вам так больше нравится 🍭 Собрать информацию о Security Advisories, Licenses, Dependencies и Dependents 🍭 Сделать diff версий элементов, что наглядно покажет разницу (добавлено/удалено) Для некоторых зависимостей формируется OpenSSF ScoreCard, в которой содержится информация о статусе прохождения проверок по группам (CII-Best-Practices, Code-Review, Security-Policy, SAST и т.д.) и ссылки на полезные материалы по теме. На наш взгляд, крайне интересный инструмент, которым можно пользоваться!

Добрейшего утречка чудесной пятнички! И вновь продолжается бой! Незримый бой между защитниками в сияющих доспехах и ордами гнусных посягателей на наши приложения! Но! У воинов света есть Гендальф Белый, который в решающий момент (а хотя то, где он был до этого??) взмахнёт своим посохом и применением очень сильного колдунства заставит приложения защищать себя самим! Хотя, звучит так себе... Куда лучше, если мы оставим это дело компетентным специалистам, а дедушку Гендальфа оставим рассматривать своё дерево с дяденьками и тётенькой. А компетентные же специалисты могут ознакомиться с интересным решением Sqreen, являющимся комплексной платформой защиты приложений. Что оно из себя представляет? Ничего сложного: 🍩 Microagent для установки в приложение 🍩 Security engine для защиты прилоежния в реальном времени 🍩 Облачный control plane системы - Sqreen Platform Как все это работает? Очень просто! В самом низу находится Microagent, представляющий из себя набор библиотек, инструментирующийся в приложение на этапе сборки. Он производит мониторинг активностей внутри приложения, например вызовы и выполнение функций, и его, приложения, взаимодействие с внешним миром - сетевые подключения и тд Помимо прочего, Microagent содержит Security engine, выполняющий функции: 🍩 Runtime Application Self Protection (RASP): Engine изучает поведение приложения и детектит аномалии любого типа 🍩 Content Security Policy: здесь агент уже заглядывает в заголовки пакетов на предмет обнаружения атак типа XSS 🍩 In-App Web Application Firewall (In-App WAF): настоящий WAF, который знает как работает его приложение и блокирует попытки выполнения Cross-site Scripting (XSS), Local File Inclusion (LFI), NoSQL Injection, and Shell Injection И модулем управления ко всему этому служит облачная Sqreen Platform, которая является интерфейсом управления и мониторинга для человека. Агент постоянно синхронизируется с платформой для обновления политик защиты и отправки логов и событий для последующей корреляции и отображения понятных ивентов и красивых дашбордов. И конечно, нельзя не упомянуть, что так как серебряной пули, убивающей всех врагов одним выстрелом разом, не бывает (как и Гендальфа для наших приложений) использование одной лишь тулзы без правильно выстроенных процессов ИБ, вряд ли будет защищать приложение на должном уровне. Ведь, как известно, без процесса ты Стартап, а с процессом - Энтёрпрайз! Ссылочка на сайт разработчика как всегда 👇, надеемся, вам будет интересно!: https://www.sqreen.com

Всем привет! Держите на удачу заметку. Talisman - утилита выявления секретов (SSH ключи, токены и пр) в локальных git-репозиториях, размещённых на рабочих станциях разработчиков. Она умеет не только искать секреты, но и предотвращать их публикацию либо на этапе commit, либо на этапе push. Как ставится: Утилита может запускаться на ОС Windows, Linux, Mac OSX. Установка выполняется одним из следующих образов: 🍡Как git hook на уровне глобального шаблона git hook template 🍡Как git hook для конкретного репо Как работает: После установки Talisman автоматически запускает проверки на наличие секретов до того как будет выполнен commit или push. В случае, если был обнаружен секрет, утилита выведет отчёт с указанием названия файла и типа секрета в нем. Что сканирует: Talisman запускает следующие проверки: 🍡Вшитые значения в формате base 64, hex и пр. 🍡Содержимое файлов  - выявление паролей и ключевых фраз 🍡Размер файла - сканирование больших файлов, потенциально содержащих ключи и другие данные 🍡Энтропия - сканирование контента с потенциально высокой энтропией 🍡Номера кредитных карт 🍡Имена файлов - сканирование имён файлов и расширений, которые могут потенциально подходить под файлы с чувствительными данными Ещё немного деталей: 🍡Можно настраивать правила игнора, например, для файлов или кочевых слов, задавать свои шаблоны поиска секретов, устанавливать уровни критичности и пр 🍡При использовании force push конструкция не работает 🍡Если нужно запускать несколько hook-ов, то можно воспользоваться такими инструментами как pre-commit и husky 🍡У утилиты есть CLI и ее можно встроить в CI/CD для сканирования истории в репо на наличие секретов или генерации отчета в формате html Более подробную информацию можно посмотреть тут: https://github.com/thoughtworks/talisman

Привет! Если вам интересно тестирование на проникновение (в частности – web приложения), но вы не знали с чего начать, то этот материал сможет помочь! Ребята из PortSwigger не только подготовили лабораторные работы, но и сделали собственный Learning Path – как на их взгляд лучше всего погружаться в тему. Рассматриваются такие вещи как: 🍭 Server side topics (SQL injection, Authorization, Directory Traversal…) 🍭 Client side topics (XSS, CSRF, WebSockets…) 🍭 Advanced topics (Insecured deserealiztion, HTTP request smuggling, OAuth authentication…) Для каждого раздела приводится текстовое описание, немного виде-материалов и, конечно же, лабораторные работы! Все «приправлено» небольшой геймификацией, чтобы было еще интереснее проходить секции и учиться ☺️

Привет! По ссылке можно найти полезную утилиту - Outdated, которая позволит идентифицировать устаревшие версии образов контейнеров. Работает она достаточно просто: 🍭 «Пробегает» по namespaces и pods, которые в них размещены 🍭 Для каждого pod собирается информация об image (включая image init-container’ов) 🍭 После происходит «чистка» полученного перечня за счет устранения дубликатов образов 🍭 Утилита собирает данные об image tags в registry 🍭 Сообщает о расхождениях в версиях Установка достаточно простая, требуется krew. Отдельно хочется отметить semver – подход к наименованию версий образов. Если Вы еще не решили, как это делать у себя, то semver может стать отличной отправной точкой! ☺️

Всем привет! Буквально на днях появился очередной Awesome! На этот раз посвященный тематике SCA. Скоро надо будет делать Awesome на Awesome’ы (хотя, такой, вероятно, уже есть). Все достаточно стандартно: 🍭 Статьи и книги для «почитать» 🍭 Немного курсов по тематике (free/paid) 🍭 Информация об инструментах (open source/enterprise) Надеемся, что repo будет развиваться (появился он совсем-совсем недавно) и материалов будет больше, т.к. тема supply chain attacks достаточно актуальна в последнее время

Всем привет! Достаточно провокационный заголовок под названием 47 ронинов «47 Things To Become a Kubernetes Expert» содержит в себе интересную статью, в которой кратко собрана информация об: 🍭 API 🍭 Implementing controllers 🍭 Components and their collaborations 🍭 Resources 🍭 Networking 🍭 Monitoring 🍭 Access control Каждый «домен» содержит перечень вопросов и небольшие, но емкие, ответы на них, а иногда и ссылки "на почитать". А что бы вы добавили/убрали из этого списка?

Всем утра! В конце апреля вышла новая версия container security комбайна Prisma Cloud Compute Edition. Из крупного: 🍏 Palo Alto добавили интеграцию со своим движком Wildfire для онлайн-проверки вредоносов; 🍏 значительно расширили функционал встроенного WAF — теперь есть интеграция с reCAPTCHA, возможность защиты API и написание собственных правил; 🍏 добавили маппинг событий безопасности на атаки из матрицы MITRE ATT&CK и отображение их на новом дэшборде. Помимо этого, добавили кастомизацию встроенных ролей, поддержку языка Go для скана репозиториев, заменили шрифты в интерфейсе и многое другое. Подробности по ссылке.

Привет! CNCF подготовил отличный материал по обеспечению ИБ в supply chain - Software Supply Chain Best Practices! В прилагаемой статье рассмотрены 5 областей, на которые стоит обратить внимание: 🍭 Securing the Source Code //Доступы к SCM, создание ролевых моделей, branching, тестирование исходного кода 🍭 Securing the Materials //Использование SCA, формирование SBOM, отслеживание и управление зависимостями, управление trusted package managers и repositories 🍭 Securing the Build Pipelines //Безопасность build workers, максимальная стандартизация pipeline между проектами, реализация принципа pipeline as code 🍭 Securing the Artefacts //Подпись артефактов, защита используемых registry, использование криптографии (если/где необходимо) 🍭 Securing Deployments //Контроль целостности используемых артефактов, контроль актуальности артефактов Материал получился обширный (45 страниц) и интересный. В статье есть как и общие рекомендации («Важно выстроить процесс управления доступом с соблюдением принципа least privilege»), так и вполне конкретные («Реализуйте commit sign»). Крайне рекомендуем к прочтению!

Всем привет! Еще один занятный пример того, как можно объединять Dev, Sec и Ops миры! Что будет, если взять CIS Benchmarks, Inspec (Sec-часть), Ansible (Ops-часть) и Allure (Dev-часть)? Получится отличный инструмент визуализации текущего состояния hardening элементов ИТ-инфраструктуры по требованиям ИБ По ссылке доступен проект, автор которого: 🍭 Взял наработки с https://dev-sec.io/ 🍭 Добавил образ, который реализует Inspec проверки 🍭 Перенаправил результаты в Allure Получился наглядный инструмент представления информации о реализованных настройках, позволяющий реализовывать, в том числе, trend-analysis. А если захочется автоматизировать устранение идентифицированных недостатков при помощи Inspec – всегда можно обратиться к Ansible, материалы которого представлены на все том же https://dev-sec.io ☺️

Всем привет! По ссылке доступно небольшое, но интересное руководство, которое позволит познакомиться с Falco - инструментом обеспечения runtime защиты для контейнеров. Рассматриваются такие вопросы, как: 🍭 Установка Falco при помощи Helm 🍭 Идентификация «Terminal Shell in Container» 🍭 Идентификация «Contact Kubernetes API Server From Container» 🍭 Идентификация «Checking if shell is a container environment» Для каждой вредоносной активности приводится пример ее реализации, а также правило Falco, которое позволяет ее идентифицировать.

Привет! По ссылке доступна еще одна awesome-подборка, на этот раз посвященная плагинам для kubectl! Плагины структурированы по логическим направлениям: RBAC, Linting, Debugging, Networking, Security, Exec и т.д. Примеры того, что можно найти: 🍭 kubectl-who-can // RBAC – утилита, позволяющая понять полномочия по отношению к сущности Kubernetes 🍭 kubectl-neat // Linting – утилита, упрощающая восприятие JSON/YAML вывода, путем «устранения лишней» информации 🍭 kubectl-debug // Debug – запускает контейнер внутри целевого pod для выполнения debugging 🍭 ksniff // Networking – sniffing трафика с использованием wireshark и tcpdump 🍭 kubectl-kubesec // Security – анализ запущенных требований на соответствие требованиям ИБ 🍭 kubectl-enter // Exec – exec на node с использованием kubectl И многое другое! Надеемся, что каждый найдет что-то интересное/подходящее для себя ☺️

Всем привет! Хотим мы того или нет, но compliance – неотъемлемая часть ИБ. Например, PCI DSS. И, рано или поздно (для тех, кто имеет отношение к индустрии платежных карт) встанет вопрос – а что делать с требованиями в контейнерных средах? В статье дается несколько рекомендаций относительно того, как именно можно использовать штатные и не очень возможности для повышения уровня ИБ и выполнении требований стандарта. Например: 🍭 Firewall configuration. Использование CNI, поддерживающего реализацию Network Policy (подробнее об этом можно почитать тут и тут) 🍭 Encryption of transmission over public networks. Использование Cert-manager для управления X.509 сертификатами 🍭 Use of antivirus software (proactive security). Комбинированный подход с использованием Security Context, Falco и OPA для ограничения потенциальных возможностей контейнера и/или идентификации некорректных действий 🍭 Regularly test security systems and processes. Использование подписи образов на базе Notary совместно с да-да опять оно OPA для контроля запуска только дозволенных в качестве реализации “change detection” Больше советов и деталей можно найти в статье. Главное помнить, что это не детальный «how to», а скорее размышления на тему, да и реализация compliance-требований в мире ИБ во многом наука творческая ☺️

Всем привет! Завтра в 16:00 мы проведем вебинар по нашей любимой теме. На вебинаре: 🍏 Расскажем про недостатки в дефолтных настройках kubernetes 🍏 Покажем атаку на контейнерный кластер в прямом эфире 🍏 Расскажем и покажем, как оценить угрозы кластера и защититься от них 🍏 Пришлем полезных материалов по теме ИБ в контейнерах Если интересно — присоединяйтесь, будем рады видеть. Регистрация

Всем привет! Если вы на пути (или задумываете) о сдаче экзамена Certified Kubernetes Security Specialist (CKS), то этот вебинар может быть вам полезен. Ребята из Sysdig рассмотрят: 🍭 Обзор вопросов и их типов, которые будут на экзамене 🍭 Знания каких инструментов из перечня CNCF потребуются/помогут 🍭 Как «управлять временем» при сдаче экзамена – на что обращать внимание в первую очередь 🍭 Обзор примеров из жизни Вебинар назначен на 20 мая, на 19:00!

Всем пятница! Если вы знаете, что общего у Netflix, обезьян и хаоса, то эта статья вам понравится! По ссылке доступна подборка Chaos Engineering Tools, которые можно применять в k8s! 🍭 kube-monkey. Один из первых проектов 2016 года. Суть проста – запускается по расписанию, выбирает deployment-жертвы, у которых в течение дня будут удаляться pods 🍭 chaoskube. Аналогично предыдущему – «убивает» pod в произвольном namespace раз в 10 минут (по умолчанию) 🍭 Chaos Mesh. Более продвинутый инструмент: помимо «убийства» pod может делать cpu/memory burn, сетевые проблемы (delay, packet repeats), нарушать работу IO и не только 🍭 Litmus Chaos. Все по-взрослому, позволяет проводить «эксперименты», обладает полноценной документацией 🍭 Chaos Toolkit. Python-инструменты, обладает набором расширений, один из которых – chaostoolkit-kubernetes. Позволяет управлять контейнерами, сервисами, больше – по ссылке! 🍭 KubeInvaders. А про этот вариант мы уже как-то писали ☺️ Перед использованием указанных выше инструментов НАСТОЙЧИВО РЕКОМЕНДУЕМ ЧИТАТЬ ДОКУМЕНТАЦИЮ, тк последствия могут быть не самые приятные. Всем хорошим выходных! ☺️☺️☺️

Всем привет! Небольшая, но крайне поучительная статья доступна по ссылке. Суть ее очень проста и кроется в названии – «Everyone might be a cluster-admin in your Kubernetes cluster» На примере реально существующего проекта "Spekt8" (а идея и правда заманчивая - красивая визуализация взаимодействия сущностей внутри кластера) автор показывает, что может произойти, если не задумываясь делать deploy проектов/утилит до их изучения. Например, предоставление cluster-admin всем pods в default namespace. И да, это требуется согласно инструкции. Кроме примеров того, как можно развить тему автор подготовил небольшой проект, который наглядно показывает, как эксплуатировать указанную уязвимость. Ознакомиться с ним можно по ссылке. PS У статьи нет preview, поэтому дублируем ссылку: https://www.jeffgeerling.com/blog/2020/everyone-might-be-cluster-admin-your-kubernetes-cluster

Всем привет! SNYK «открыли» бесплатный доступ к Snyk Code – SAST, о котором мы писали ранее. Для бесплатного использования дается 100 сканирований в месяц, при этом важно помнить, что решение на 100% облачное, но для собственных тестов может быть интересно. Поддерживаются следующие языки: 🍭 Java 🍭 JavaScript 🍭 Python 🍭 TypeScript Доступна интеграция с CI/CD (Jenkins, либо через CLI) и IDE (Visual Studio Code, PyCharm, Intellij IDEA). Из любопытного – очень интересная система рекомендаций о том, «сколько раз был найдена схожая проблема», «как ее решали другие» с примерами исходного кода!

В августе Linux исполнится 30 лет. И если кто ещё не читал книжку Just for fun - крайне рекомендую. Без Линуса Торвальдса не было бы не то что Docker и Kubernetes, даже git. Страшно вспомнить время, когда мы всей командой переходили с CVS на SVN и поглядывали на первые, но уже такие удобные сборки git, а старшие коллеги матерились, что и так все работает, пусть не очень удобно. Но пост не о том. Сам мастер Торвальдс хоть и говорит все время, что он простой инженер, своими действиями, а не указами и философиями, влияет не только на этот мир. Даже на Марсе самая распространенная ОС - Linux ;) Не хочу вытаскивать отдельные цитаты из интервью, обе части достойны прочтения. Enjoy! https://www.tag1consulting.com/blog/interview-linus-torvalds-linux-and-git и https://www.tag1consulting.com/blog/interview-linus-torvalds-open-source-and-beyond-part-2