Денис Макрушин, Dev, Sec, Oops: How Agile Security increases Attack Surface

• Обсуждение безопасности и отжала в контексте разработки и эксплуатации продуктов.  

• Опрос о том, кто считает себя безопасником и кто нет.  

• Обзор коммерческих решений, таких как SonarQube, и их доступность для использования.  

• Поиск скриптов автоматизации и секретов для подключения к коммерческим решениям на GitHub.  

• Обсуждение использования микросервисов и их влияния на поверхность атаки.  

• Пример инструмента для очереди, который может быть использован в микросервисах.  

• Флауэр - инструмент для автоматизации процессов разработки и интеграции микросервисов.  

• Он позволяет хранить данные в виде очереди и может быть использован для анализа защищенности.  

• Флауэр имеет четыре тысячи звезд на GitHub, что свидетельствует о его популярности.  

• Флауэр может содержать уязвимости, которые могут быть использованы для компрометации интеллектуальной собственности.  

• В контейнерах, используемых для инструментов анализа защищенности, могут быть уязвимости, которые позволяют злоумышленникам увеличить поверхность атаки.  

• Неправильная конфигурация контейнеров может привести к уязвимостям, таким как внедрение хост-хидера.  

• Контейнеры для инструментов анализа защищенности могут быть использованы для компрометации продукта или человека.  

• Примеры уязвимостей включают отравление кэша и изменение правил сканирования.  

• В видео обсуждается, как даже безопасники могут стать объектом атаки, используя свои же инструменты.  

• Приводится пример, когда безопасник открыл ссылку, помеченную как фишинг, и перешел по ней.  

• Упоминается использование кода от гидхаба для отслеживания уязвимостей в опенсорсных тузах-скриптах.  

• Обсуждается, что атака на безопасников может быть полезной, но не дает большого импакта.  

• Упоминается, что безопасники могут иметь доступ ко всем системам, и их образование в области безопасности важно.