Agile'ификация моделирования угроз в командах разработки Безопасность
Увлечён самим феноменом информации во всех его проявлениях.
С недавнего времени развивает в Яндексе платформу статического анализа кода, а до этого 7 лет занимался построением AppSec-платформы в Авито.
Автор утилиты DeepSecrets, которая ищет секреты в коде не так, как другие.
Тезисы
Кратко:
Попробуем разобраться, как инструментально отлавливать уязвимости бизнес-логики максимально «слева», а самое главное — как обернуть это в понятный и ненасильственный для команд процесс.
Подробно в тезисах:
* уязвимости бизнес-логики — самая неприятная история, которую не найти сканерами;
* отловить такие проблемы может и сама команда на ранних этапах планирования, необязательно привлекать Security;
* моделирование угроз можно и нужно обернуть в процесс, а командам — дать инструменты, которыми они смогут пользоваться в своих Agile-процессах;
* варианты процессов и инструментария: плюсы, минусы, опыт и обратная связь;
* как дальше этот процесс можно увязать: с чемпионами, с моделью зрелости команд, с оценкой рисков и адаптивностью проверок безопасности на гейтах.
