Блоги

Современные веб-сервисы становятся всё сложнее, и обычные тесты часто не способны выявить скрытые ошибки в логике работы API. В этой статье мы покажем, как использовать инструмент RESTler для продвинутого фаззинга REST API, чтобы исследовать поведение сервиса в сложных сценариях.

Если вы методолог или отвечаете за внедрение процессов разработки безопасного ПО (РБПО), вы эту боль знаете не понаслышке.

Нам зачастую приходится анализировать проекты, которые уже хорошо покрыты фаззинг-тестами на OSS-Fuzz. В данной статье поговорим о том, как мы используем результаты фаззинга на OSS-Fuzz для того, чтобы улучшить имеющиеся обёртки.

Сегодня рассмотрим небольшой прием, который может облегчить вам жизнь при фаззинг-тестировании некоторых проектов. Подход, который поможет решить данную проблему возможно не является самым изящным, однако на практике показал свою эффективность.

Данной статьей мы открываем блок «заметок аудитоконсалтера», посвященный нашему видению типажей, проблем и задач, возникающих в молодой и бурно развивающейся сфере внедрения и развития практик качественной и безопасной разработки программного обеспечения.

Во время сертификационных испытаний в соответствии с методикой ВУ и НДВ мы, как испытательная лаборатория, должны проводить статический анализ кода. Для этого мы можем использовать разные анализаторы – они варьируются по анализируемым языкам, по применяемым методам анализа, по наборам детекторов и куче других параметров.

Современные облачные платформы и системы виртуализации повсеместно используют web-консоли для удалённого доступа к виртуальным машинам. В основе большинства таких решений лежит noVNC — JavaScript-реализация VNC-клиента, работающая прямо в браузере.

Ранее в другой статье я рассказывала о том, какие подходы и инструменты мы используем в «Базисе» для реализации DevSecOps. Сегодня хочу показать ту же задачу, но под другим углом, и поделиться опытом выстраивания организационных процессов безопасной разработки.

Статический анализ – это «базовый минимум» наших дней в контексте построения практик разработки безопасного программного обеспечения. Заключается он в инструментальном исследовании исходных кодов программы, не предусматривающем выполнения анализируемого кода.

Технологии контейнеризации (Docker, podman, LXC) и оркестрации (Kubernetes как де-факто стандарт) уже давно стали фундаментом для целой философии разработки и эксплуатации ПО. Этот фундамент создал новую, динамичную и сложную среду, где традиционные подходы к безопасности, ориентированные на защиту периметра и статичных систем, оказались малоэффективны.