tgindex

DevSecOps Talks

описание

Рассказываем об актуальном в мире DevSecOps. Канал DevSecOps-команды "Инфосистемы Джет"

← к каналу@devsecops_weekly
7 989
подписчиков
Охват к подписчикам
21,7%
ERR
Реакции к просмотрам
0,27%
103 на 22 постов
Пересылки к просмотрам
2,58%
999
Постов в день
0,7
всего 23

Где отзываются чаще

доля реакций к просмотрам
  • 18 июн. 2025 г.без подписи1,23%
  • 31 июл.VulnHunter: анализ исходного кода с AI-агентами Всем привет! Недавно команда Capital One передала свой проект – VulnHunter – в open-source. Согласно описанию, в отличие от «традиционных» SAST, полагающихся на определённые шаблоны/правила, VulnHunter «размышляет как злоумышленник», что возможно за счет использования AI. Он позволяет определять то, что на самом деле эксплуатируемо, анализирует пути атаки и предоставляет свидетельства, подтверждающие наличие уязвимости. Для этого используется 3 основных skill: 🍭 Hunt. Поиск «опасных конструкций» в исходном коде. После их выявления запускается многоступенчатый процесс, в результате которого пользователь получает только то, что на самом деле значимо 🍭 Fix. Создание эксплойта, тестов, подготовка исправления, повторный запуск тестов и, если всё хорошо, оформление PR 🍭 Verify. Read-only агент, задача которого – убедиться в том, что устранение уязвимости было осуществлено Можно использовать разные модели, но лучше всего VulnHunter работает с Claude Opus. Выглядит достаточно интересно, но как работает «по факту» - вопрос. Возможно, что кто-то уже сталкивался с решением, как оно вам?0,42%
  • 24 июл.Насколько пригоден Opus 4.6 для поиска уязвимостей? Всем привет! Команда ZeroPath провела небольшое исследование. Они проанализировали 435 известных уязвимостей в С, у каждой из которых есть свои CVE, с использованием Opus 4.6. Команда использовала разные «наборы» prompt и инструментов для поиска. Результаты, в зависимости от выбранного набора, различались, хоть и не сильно. Набор данных, над которым проводился анализ, был взят из вот этого исследования и опубликован (его можно найти по ссылке). Далее команда определила свой подход: на вход LLM было передано 2 набора функций – уязвимые и исправленные (patched). После того, как модель дала свои «ответы» команда проверяла насколько она правильно определила (не) уязвимые функции. Итог получился такой: с хорошими prompt и правильно подобранными инструментами, модель нашла 28,5% уязвимостей. Но были и некоторые нюансы: большое количество ложных срабатываний, (не) всегда консистентные результаты. Подробные результаты с цифрами, комментариями, нюансами и выводами, сформированными по результатам исследования, представлены в статье.0,37%
  • 29 июл.AI-проекты для анализа ПО Всем привет! По ссылке можно найти статью от Semgrep, в которой команда сравнивает разные AI-проекты, которые помогают искать уязвимости в ПО. Всего рассматривается 3 «типа»: 🍭 Skill Boosting. Добавление skills к LLM, чтобы они «рассуждали», как исследователь безопасности ПО при его анализе 🍭 SAST с LLM. Использование результатов работы SAST «на вход» LLM для дальнейшей работы 🍭 Генерация exploit’ов. Использование AI-проектов в качестве «помощника» при генерации «доказательств актуальности уязвимости» за счёт генерации exploit’ов Для каждого «типа» Автор приводит несколько open-source инструментов, которыми можно воспользоваться, их краткое описание. Чтобы было проще подобрать инструмент «под себя», их разделили на «логические» блоки: для исследователей уязвимостей; для тех, кто часто работает с C/C++; для оптимизации процесса разметки и т.д. Возможно, вы уже что-то из этого используете или планируете. Делитесь своим опытом в комментариях! ☺️0,31%
  • 10 авг.Awesome: LLM4Cybersecurity Всем привет! Сегодня хотим рассказать вам про ещё одну Awesome-подборку. В ней собрана информация о возможных способах применения и возможностях LLM, применительно к информационной безопасности. Awesome разбит на разделы: 🍭 LLM Assisted Defense 🍭 Vulnerability Detection 🍭 Program/Vulnerability Repair 🍭 FUZZ 🍭 Insecure Code Generation и не только Для каждого раздела собраны ссылки на релевантные материалы по теме. В среднем получается около 50 ссылок на каждую. Внутри можно найти материалы в том числе по безопасной разработке: использование LLM для поиска ИБ-дефектов, для устранения или для подтверждения возможности эксплуатации того, что было найдено.0,31%
  • 20 июл.Использование LLM в SAST Всем привет! Статический анализ – один из самых первых видов анализа ПО, который только появился. «Разобрать» исходный код, сформировать промежуточное представление, определить потоки данных и применить набор правил для поиска опасных конструкций. На практике, конечно, всё намного сложнее, но подход достаточно понятный и оправданный. Нюанс заключается в большом количестве ложных срабатываний. И картина (вроде бы) меняется с появлением LLM: вместо разбора ложных сработок можно сосредоточиться на том, как исправить то, что актуально. Но так ли всё радужно на самом деле? В небольшой статье Автор представил своё мнение на этот счёт. Он структурировал мысли по следующим разделам: 🍭 Good. Разметка. Да, тут LLM показывают очень хорошие результаты. Ведь, если упростить, то речь про понимание кода и ответы на вопросы 🍭 Bad. Галлюцинации, (не) всегда идемпотентные результаты, относительные возможности по поиску ИБ-дефектов в исходном коде 🍭 Ugly Costly. Чем больше сработок – тем больше приходится платить. Вопросы «доверия» человека «к машине» И, по мнению Автора, получается, что стандартные детерминированные подходы увеличивают Recall и могут «поймать всё на свете», а LLM – Precision (понимают, что из этого на самом деле применимо) А что вы думаете по этому поводу и согласны ли вы с этим списком, что бы вы в него добавили?0,29%
  • 22 июл.LFK: Lightning Fast Kubernetes Navigator Всем привет! Если вам надоел k9s или вы хотите «что-нибудь» новое, то LFK может вас заинтересовать! Да, всё так – ещё один TUI для работы с кластером Kubernetes. Он предлагает следующее: 🍭 Удобная навигация от кластера то метаинформации о существующих ресурсах 🍭 Отображение данных о потребляемых ресурсах 🍭 Vim-style навигация! 🍭 Работа с несколькими кластерами 🍭 Разные возможности по работе с ресурсами: от поиска до создания и изменения 🍭 Возможность персональной настройки и ещё много всего Детальное описание возможностей LFK представлено в GitHub-репозитории. Помимо этого там очень-очень-очень много скриншотов и небольших демо, которые наглядно демонстрируют утилиту и её возможности.0,27%
  • 11 авг.XSS Laboratories Всем привет! XSS Laboratories – open-source проект, в котором неожиданно! собраны лабораторные работы, обучающие тому, что такое XSS и какие они бывают. Всего доступно 9 лабораторных: 🍭 Introduction to XSS Basics 🍭 Stored XSS Attacks 🍭 DOM-based XSS 🍭 Advanced XSS Techniques 🍭 Edit/View Functionality XSS и не только Итого – 5 Reflected, 3 Stored и 1 DOM XSS. Если нет желания запускать локально, то лабораторные можно посмотреть вот тут. Приятного изучения и практики!0,26%
  • 23 июл.Какие образы используются в кластере? Всем привет! Одна компания начала миграцию своих базовых образов на наработки от Chainguard (минималистичные образы, в которых содержится минимальное количество уязвимостей). В рамках миграции у них возник запрос: «Нужен дашборд, на котором будет отображаться информация о том, какие контейнеры используют образы Chainguard, а какие – нет». Это помогло бы команде отслеживать статус миграции. Решению этой задачи посвящена статья. Казалось бы, всё просто, но есть нюансы: 🍭 Для самой очевидной проверки ОС внутри контейнера в нём должна быть оболочка, но это не всегда так (например, distroless-образы) 🍭 «Вытаскивать» образ из Kubernetes-манифеста? Не всегда получится, т.к. многие используют digest, а не image:tag 🍭 Использование сканеров, которые анализируют образы и, в том числе, отображают информацию об ОС? Это не всегда происходит корректно, да и для runtime это не всегда подойдёт в моменте Чтобы решить задачу, Автор начал смотреть в сторону ядра ОС, которое «знает всё». В итоге получилось следующее: получение информации о pid контейнера, извлечение информации о нём с узла, анализ принадлежности образа к нужной версии ОС. Вся собранная информация передаётся в Grafana, в которой отображается информация о % операционных систем, используемых в базовых образах. Больше деталей о реализации и о характерных для неё нюансах можно узнать в статье. «Утилиту», созданную Автором для решения задачи можно найти вот в этом GitHub-репозитории. Да, статья написана для Chainguard, но их можно «заменить» на любые иные образы. Сам подход останется прежним.0,26%
  • 7 авг.Deployah: «быстрый» deploy в Kubernetes Всем привет! Deployah – open-source утилита, которая упрощает процесс разворачивания приложений в кластере Kubernetes. «Внутри» она содержит всё необходимое: helm, kubectl, kind. За счёт этого требуется всего лишь создать небольшой конфигурационный файл – deployah.yaml, а дальше она сама сделает всё необходимое. Работает это примерно так: 🍭 Анализ конфигурации. Поиск ошибок и неточностей, чтобы устранить их заранее 🍭 Адаптация конфигурации. Выбор требуемой среды для разворачивания, подстановка необходимых переменных 🍭 Запуск. Создание Helm Values, установка Helm Release в выбранном кластере Сама спецификация требует заполнения трех обязательных полей - apiVersion, project и components. Для управления кластерами, в которых будут созданы ресурсы, используется ещё один конфигурационный файл - deployah.platform.yaml. В нём необходимо указать основные параметры. Например, nodeSelector, securityContext, storageClass и т.д. Используя эту информацию и данные о конфигурации запускаемого приложения Deployah как раз и создаст необходимые Values для установки Helm Chart. Подробнее о возможностях утилиты, её настройках и сценариях использования можно прочесть в GitHub-репозитории проекта. P.S. А если вам интересно "а зачем оно вообще надо", то ответ Автора, раскрывающий мотивацию создания Deployah можно найти тут ☺️0,22%
  • 21 июл.Migratowl: анализ обновления зависимостей Всем привет! «Если я обновлю зависимость X на иную версию, то сломается ли что-нибудь и если да, то как мне это чинить?» - именно на этот вопрос может ответить Migratowl. Её принцип работы следующий: клонирует репозиторий, анализирует манифесты, устанавливает зависимости и анализирует результаты сборки с использованием LLM. Всё это запускается в изолированном контейнере. В результате пользователь получает информацию: 🍭 Сломало ли обновление что-нибудь? 🍭 Что именно «пошло не так»? 🍭 Описание изменений из changelog 🍭 Предложение по решению проблемы на «обычном» языке Согласно мнению Авторов утилиты она может быть использована, как дополнение для SCA-решений. Как минимум, потому что Migratowl не предоставляет информации о CVE, которые есть в пакетах. Установка, настройка, примеры результатов работы – всё это можно найти в GitHub-репозитории проекта или на сайте.0,21%
  • 27 июл.Kobe: Kubernetes-кластер «по запросу» Всем привет! Допустим, для целей тестирования новой версии ПО требуется Kubernetes-кластер. Можно постоянно «держать их под рукой», но это не всегда целесообразно. Иногда нужен «эфемерный кластер», который существует только на время тестирования. Эту задачу поможет решить Kobe – open-source проект, который предоставляет такие вот кластеры «по запросу». Состоит он из нескольких ключевых компонентов: 🍭 Operator. Запускается в host-кластере и контролирует ClusterPool, ClusterInstance, ClusterLease. Т.е. все компоненты, которые помогают контролировать предоставленные кластеры, их количество, доступность и т.д. 🍭 HTTP API. Обработка запросов на создание временных кластеров 🍭 Pool Manager. Управление созданными кластерами: создание, временное предоставление, удаление В качестве pools – тех самых кластеров – могут выступать разные сущности. Например, k3s (вариант по умолчанию), k0s, CAPI и не только. Подробности о возможности Kobe можно посмотреть в GitHub-репозитории и в официальной документации проекта. Важно (!): проект достаточно молодой и могут быть некоторые нюансы, связанные с его работоспособностью0,21%