DevSecOps: как защитить цепочки поставок ПО и создать безопасный софт

Подкаст «Люди и код», выпуск № 86: Антон Башарин.

Иллюстрация: Polina Vari / Skillbox Media

Антон Сёмин

Пишет об истории IT, разработке и советской кибернетике. Знает Python, JavaScript и немного C++, но предпочитает писать на русском.

У нашего подкаста появился отдельный телеграм-канал. Подписывайтесь, чтобы не пропустить новые выпуски, голосовать за новые темы, предлагать гостей и присылать свои вопросы для следующих выпусков.

Антон Башарин

Технический директор Swordfish Security, сооснователь платформы AppSec.Hub, архитектор продукта и ведущий эксперт по его развитию.

Общий опыт работы в IT — более 20 лет. Прошёл суровую школу от рядового разработчика до системного архитектора и руководителя команды разработки в Luxoft и EPAM Systems, участвовал в проектах для Boeing, Сбербанка и «Альфа-банка».

Содержание выпуска

Что такое DevOps, как и зачем придумали эту методологию, какие инструменты в ней задействованы.
Цепочки поставок программного обеспечения: что это такое и из чего они состоят.
Баги, уязвимости, бэкдоры и другие угрозы, которые несёт Open Source.
Яркие примеры атак на цепочки поставок ПО.
Что такое DevSecOps и какие проблемы «обычного» DevOps он решает. Понятие Shift left.
Как выглядит работа DevSecOps-специалистов.
Что такое software composition analysis и как он осуществляется.
Как самостоятельно проверить безопасность пайплайнов: базовые принципы, SAST, Trivy и другие инструменты.
Что почитать про DevSecOps. Фреймворки и концепции, которые полезно знать специалисту.
Метрики и бенчмарки в DevSecOps.

Полезные ссылки

Статья про бэкдор в event-stream
Отчёт Group-IB о RedCurl
Блог Swordfish Security на «Хабре»
Ютуб-канал Swordfish Security
Марк Миллер, Epic Failures in DevSecOps: Volume 1
Марк Миллер, Epic Failures in DevSecOps, Volume 2

Слушайте <a href='https://music.yandex.ru/album/20602720/track/117163812'>DevSecOps: как защитить цепочки поставок ПО и создать безопасный софт</a> на Яндекс Музыке

Предложить тему, стать гостем подкаста, похвалить или поругать выпуск: code.media@skillbox.ru, t.me/tym83.