Обновить
11
0
Голяков Сергей@Protos

Cybersecurity evangelist, DevSecOps

Отправить сообщение

Я думаю, что ваш пост ни о чем. Непонятно, что вы хотели написать. Если суть про

Безопасник должен постоянно обосновывать свою необходимость

То так можно сказать по любого работника, будь то CIO

Ну не увольнять же iOS разработчиков

Замечено, что работает в МСК и Питере, дальше полный бан

Примерно это вы хотели нарисовать?

финтеха с 30 тыс. платежей в минуту

Расшифруйте какое отношение эта фраза имеет к посту?

Имея почти десятилетний опыт работы в Naumen, никому бы не рекомендовал, слишком долго грузится переход между страницами, процесс редактирования формы долгий, нет сохранения на лету, всегда нужно нажать «Редактировать», отредактировать и нажать «Сохранить».

Личка закрыта, кажись слово gurdrail пишется не так

Что внедрить в процесс

Linux — cron‑сканеры, Ansible, shell‑скрипты. 

Windows — PowerShell + логирование. 

CI/CD — линтеры и сканеры (Checkov, KICS, Semgrep). 

IDE — pre‑commit хуки, запрещающие команды с паролем в аргументах.

Инструменты понятные, но я не понимаю как это поможет защититься от нерадивого сетевика?

Получается никто не имеет права создавать PR в master кроме бота, который их делает только из stage?

При создании PR (!!не мерж!!) “stage → master”

Правильно понимаю, master статикой вообще не сканируете?

  • результаты сканирования (payloads), отправляются в наш SOAR (StackStorm), откуда попадают в ASPM “базу данных” уязвимостей DefectDojo

  • ASPM видя уязвимости (findings) в коде или в библиотеках, триггерит SOAR (StackStorm), тот в свою очередь заводит Jira таски на исправление, а также результаты сканов отправляет в Slack канал команды

Зачем при первой же уязвимости генерить таски в Jira если AppSec еще не выполнил триад, разве не AppSec должен принимать решение о генерации Task?

Поэтому было решено, пару раз в неделю парсить наше локальное докер реджестри, где находим сервисы, билд которых старше 30 дней. И автоматически заводим Jira таски на пересборку (прохождение Security Gate) и перевыкатку сервиса

Почему бы просто не дергать конвейер сборки? Который далее стриеррит конвейер деплоя?

  • кнопка “Approve” триггерит в StackStorm runbook “pr_approve”, что в свою очередь разрешает мерж в мастер и выкатку нового релиза в production

Что происходит под капотом, можете рассказать подробнее? Запускается интеграци по API с Git системой в части перезапуска скана, который по результату проходит SG со статусом ОК и это не блокирует завершение PR?

Космос, когда увидим платный продукт или в составе PTAI?

Первым индикатором было поди наличие в коде whoami 😀

При наличии плашки This project has been quarantined получится скачать пакет?

Написано

получает информацию о номере

Видимо, все же передается и хранится по факту какой-нибудь SHA256 вместо номера телефона, Яндексу этого хватает.

Так вроде все делают нынче, например, Office 365 copilot объединяет как таблицы так и текстовый редактор. Туда же и Go от Яндекса. Видимо, проще заставить хотя бы одно, но многофункциональное ПО. WeChat или как там его, как понимаю, это начал еще лет 8 назад.

Русский язык занял скромное 17-е место, подтверждая, что глобальное онлайн-образование пока говорит не на нашем языке.

Отчасти неверный вывод, нас там забанили, выплату не производят ссылаясь якобы PayPal аккаунт подключен неверно.

1
23 ...

Информация

В рейтинге
Не участвует
Откуда
Россия
Работает в
Зарегистрирован
Активность

Специализация

DevSecOps, AppSec-инженер
Ведущий
От 600 000 ₽
Python
C#
Powershell
DevSecOps
SSDL