Блоги

Данной статьей мы открываем блок «заметок аудитоконсалтера», посвященный нашему видению типажей, проблем и задач, возникающих в молодой и бурно развивающейся сфере внедрения и развития практик качественной и безопасной разработки программного обеспечения.

Во время сертификационных испытаний в соответствии с методикой ВУ и НДВ мы, как испытательная лаборатория, должны проводить статический анализ кода. Для этого мы можем использовать разные анализаторы – они варьируются по анализируемым языкам, по применяемым методам анализа, по наборам детекторов и куче других параметров.

Современные облачные платформы и системы виртуализации повсеместно используют web-консоли для удалённого доступа к виртуальным машинам. В основе большинства таких решений лежит noVNC — JavaScript-реализация VNC-клиента, работающая прямо в браузере.

Ранее в другой статье я рассказывала о том, какие подходы и инструменты мы используем в «Базисе» для реализации DevSecOps. Сегодня хочу показать ту же задачу, но под другим углом, и поделиться опытом выстраивания организационных процессов безопасной разработки.

Статический анализ – это «базовый минимум» наших дней в контексте построения практик разработки безопасного программного обеспечения. Заключается он в инструментальном исследовании исходных кодов программы, не предусматривающем выполнения анализируемого кода.

Технологии контейнеризации (Docker, podman, LXC) и оркестрации (Kubernetes как де-факто стандарт) уже давно стали фундаментом для целой философии разработки и эксплуатации ПО. Этот фундамент создал новую, динамичную и сложную среду, где традиционные подходы к безопасности, ориентированные на защиту периметра и статичных систем, оказались малоэффективны.