Как стать автором
Обновить

Как внедрить Secure Development Lifecycle и не поседеть. Рассказ Яндекса на ZeroNights 2017

Время на прочтение11 мин
Количество просмотров14K
Всего голосов 43: ↑41 и ↓2+39
Комментарии4

Комментарии 4

Походу втащат девелоперу.
Подбородок задран, руки низко, локти не прижаты и очки неплохо бы снять.
Извините, чот КДПВ в глаз бросилась.

А за статью спасибо.
А почему решили «натянуть» классический SDL на agile-процесс, а не взяли за основу SDL-Agile от того же Microsoft?
Как я понял, у вас остались security gates для традиционных методологий разработки, но примененные к суженной области — только к отдельно выбранным фичам. Это, по идее, должно создавать определнные препятствия для гибкости процесса. Плюс, разработчики остаются в стороне от процесса — нет никаких security user stories/abuse-stories, только контроли со стороны команды безопасности на промежуточных этапах в рамках спринта.
Мы, по сути, переработали Agile-SDL процесс. Только часть наших контролей (речь о тех, что привязаны к релизному циклу) применяются не для спринта, а для фичей.

Разработчики и тестировщики у нас также участвуют в процессе, особенно на этапе анализа реализации. Часть проблем с безопасностью они находят самостоятельно еще до того, как сборка попадет на этап финального ревью.
Ясно, спасибо. А есть какая-то статистика от response/bug-bounty по количеству принятых репортов до и после внедрения SDL?
И еще вопрос не совсем по теме — может быть, сможете порекомендовать какой-то нибудь статический анализатор для Java?
Зарегистрируйтесь на Хабре, чтобы оставить комментарий