Александр Мельников на HighLoad++ 2024

Инвентаризируй это: строим автоматический DevSecOps для 40 тысяч репозиториев

Безопасность

Доклад принят в программу конференции

Мнение Программного комитета о докладе

Доклад о том, что делать, если вы небольшая команда безопасников и у вас есть десятки тысяч репозиториев на проверку. Александр расскажет про то, как они автоматически обходят репозитории, что складывают в базу, на что смотрят в репозиториях и как интегрируются с системой vulnerability management.

Целевая аудитория

Инженеры информационной безопасности, в частности, специалисты по DevSecOps и AppSec.

Тезисы

VK развивает более 200 проектов – суммарно это более 40 тысяч репозиториев с кодом, который команды разработки хранят в разных системах контроля версий. Чтобы строить процессы безопасной разработки, инженерам ИБ нужно иметь под рукой актуальную информацию обо всех из них.

Для этого мы (департамент защиты приложений VK) своими силами разработали на Python инструмент, ежедневно осуществляющий обход всех систем контроля версий, укладываясь в rate-limit, и сохраняющий в БД информацию о репозиториях (и образах), хранящихся в них, чтобы мы могли быстро и эффективно искать уязвимый код, библиотеки и чувствительную информацию.

Расскажу, как выглядит процесс инвентаризации, что мы сохраняем в БД, как применять полученные данные для решения задач DevSecOps, даже если у вас далеко не 40 тысяч репозиториев, а также поделюсь исходным кодом наших наработок.

Александр Мельников

Окончил МИФИ по специальности "информационная безопасность", общий опыт работы по специальности – более 8 лет. Работал в госструктуре, вендоре СЗИ, в настоящее время – руководитель группы развития инструментов в отделе DevSecOps департамента защиты приложений VK. Участвую в разработке внутренней платформы оркестрации SAST-сканирования.

VK (ранее – Mail.ru Group) — группа компаний, включающая в себя социальные сети, почтовый сервис и поисковую систему, мессенджеры, образовательные платформы и многое другое. Департамент защиты приложений VK выполняет как автоматизированный, так и ручной аудит кодовой базы всех продуктов VK, выявляя уязвимости и контролируя процесс их устранения.