💙 AppSec weekly digest #4👀 Немного социального🔵 Вышел новый выпуск подкаста
SafeCode Live.
Петр Уваров (
VK Bug Bounty) и
Сергей Зыбнев (
пентестер Бастион, создатель похека) рассказали ведущему –
Алексею Федулаеву (
MTC Web Services и автор Ever Secure) много интересного;
🔵 Готовится
<ДАННЫЕ_УДАЛЕНЫ>;
🔵 Обновился багхантерский адвент-календарь, зацените новинку –
ТЫК;
🔵 Появились результаты внутреннего CTF, мы поборолись и заняли достойное место. Задачи и райтапы выложить не получится, сказали что нельзя
😪.
🛠 Рабочие процессы🔵 Для нас очень важно каждую неделю привносить что-то новое в наш
DAST инструмент. На этой неделе был доделан режим с использованием нескольких токенов доступа - появилось автоопределение нужного токена (
user,
group,
app...). Также продолжаю причесывать код и вместе с этим комментирую сложные функции для удобства работы команды;
🔵 После анализа внешнего сегмента, совещаний с внутренними и внешними командами безопасности было принято решение
❄️заморозить❄️ на месяц-два процесс создания и допиливания нашего ASM. Остановились на этапе распилки кода на
core и
агентов;
🔵 Принято решение о создании golden-образов для внутренних задач. На первое время будут для `
Go`, `
Python`, `
alpine`, `
test` (для быстрой раскатки наших скриптов) и `
full-test` (для тестирования нашего хайлоад-ПО и тяжелых скриптов). Задача находится на стадии планирования;
🔵 Процесс SecurityQA начал работу! Мы начали on-boarding наших тестеров. Хочу сказать, что они молодцы, особенно их лиды, которые понимают важность и удобство взаимодействия между командами. Сейчас у наших тестеров есть обучающие материалы и желание сделать продукт безопаснее;
🔵 Уже некоторое время (ещё до момента, когда я пришел) не было общего процесса для задач на пентест в jira. Изучив то, как лучше это стандартизировать и раскатить на всех мы пришли к этой структуре (схема ниже). Теперь процесс идет более прозрачно и легче стало ориентироваться новичкам.
// Из структуры удалены confdata
[NEW]
|
+-----------+-----------+
| | |
[NEED INFO] [TO DO] [BACKLOG]
|
v
[IN PROGRESS]
|
v
[DONE]
💡 Обратная связьПовторяюсь,
очень важно Ваше мнение. Негативные комментарии по процесам, помощь по созданию чего-либо и Ваши пожелания к будущим weekly digest-ам
очень ценятся мной и нашей командой.
😑Наше сообщество тут –
ТЫК
