#application_security — Public Fediverse posts

This post on the #substack of a colleague of mine is #important reading for anyone involved in #cybersecurity and #application_security. The current paradigm is expired and the industry needs to look outside of the box to defeat increasingly smart attackers. #praedictio.ai has the answer:

https://lnkd.in/dzDzQXcp

This post on the #substack of a colleague of mine is #important reading for anyone involved in #cybersecurity and #application_security. The current paradigm is expired and the industry needs to look outside of the box to defeat increasingly smart attackers. #praedictio.ai has the answer:

https://lnkd.in/dzDzQXcp

Утопали в дефектах, пока собирали «единое окно»

«У нас было два пакета findings SAST’а, семьдесят пять CVE с критичностью — Critical, пять дублей одной и той же CVE в разных сервисах, пол солонки false positive и целая россыпь уязвимостей всех сортов и расцветок: SQLi, XSS, SSRF, RCE, IDOR, утекшие секреты, misconfigs в Kubernetes, написанные человеком, который явно не планировал дожить до аудита. Кроме того, у нас были изменения, сгенерированные AI-ассистентами, забытые исключения в проверках доступа, временные обходные решения, давно ставшие частью архитектуры, два отчета пентеста, тысячи задач и дашборд, который краснел так, будто видел все наши будущие инциденты сразу. Не то чтобы это был необходимый запас для управления безопасностью приложений, но если уж ты решил строить ASPM через агрегацию всего подряд, рано или поздно ты оказываешься именно в такой машине — на полной скорости, без карты, с разработчиками на заднем сидении, которые только и спрашивают: “Что из этого реально надо исправлять?”». Всем привет! Меня зовут Артем Пузанков, я руководитель отдела консалтинга безопасной разработки в Бастионе. Сегодня хотелось бы порефлексировать с вами про управление состоянием безопасности приложений, ASPM, AI-generated код и AppSec. Эта статья о том, почему будущее ASPM не в том, чтобы собрать все дефекты в «единое окно», а в том, чтобы сопоставить обнаруженные находки, проверить достижимость и отделить реальные угрозы от шума (читай технического долга).

https://habr.com/ru/companies/bastion/articles/1031884/

#aspm #devsecops #application_security #ssdlc #безопасная_разработка #информационная_безопасность #AI_в_кибербезопасности #управление_уязвимостями #безопасность_приложений

Топ техник атак на веб-приложения — 2025 и как разработчику защищаться от нетривиальных уязвимостей

В ежегодный рейтинг Top 10 web hacking techniques попадают материалы об инновациях в области поиска и эксплуатации уязвимостей. Некоторые из них показывают целые категории проблем и новые методы атак. В этой статье хочу рассказать о самых интересных исследованиях из топа прошедшего года, а заодно поделиться собственными идеями о том, как защититься от описанных уязвимостей.

https://habr.com/ru/companies/sourcecraft/articles/1026090/

#безопасность_вебприложений #application_security #уязвимости

Никакого супергеройства на проектах. Гайд, как сделать безопасность частью разработки

Привет! С вами снова Александр Симоненко, операционный директор Xilant . В первой статье трилогии о бизнес-требованиях мы разобрали, как неточные формулировки в требованиях создают уязвимости, а во второй — методики безопасных требований: INVEST, SMART, What-If и misuse-cases. В заключительной статье поговорим о том, как встроить безопасность в процесс разработки, чтобы эти методики работали не на бумаге, а в жизни команды.

https://habr.com/ru/companies/technokratos/articles/974506/

#информационная_безопасность #appsec #application_security #безопасная_разработка #безопасные_требования #кибербез #кибербезопасность

Основы безопасности веб-приложений: с нуля до предупреждения атаки

Меня зовут Саша Чуфистов, я AppSec BP в Альфа-Банке. Сегодня я попробую ответить на вопрос «Как выглядит веб-приложение с точки зрения злоумышленника». Для этого мы используем заведомо уязвимое приложение , на примере которого покажу, как выглядят веб-сайты глазами атакующего: где искать точки входа, какие инструменты использовать для разведки и атаки, какие уязвимости можно повстречать и как их обнаружить в исходном коде. Ранее данный материал был представлен на воркшопе в рамках конференции Positive Hack Days — теперь он адаптирован и дополнен для более широкой аудитории, которая начинает интересоваться темой безопасной разработки. Вы можете развернуть учебную среду на своей машине, повторять команды и проверять результаты их выполнения на вашем экземпляре приложения. Для демонстрации техник разведки и инструментов я использую общеизвестные уязвимые ресурсы: demo.testfire и testphp.vulnweb . Их URL я положил в workshop/urls.txt в репозитории проекта. Дисклеймер : статья носит ознакомительный характер, и любые попытки злоупотребления данной информацией незаконны и могут повлечь за собой уголовное преследование в соответствии со статьями 272 и 273 УК РФ.

https://habr.com/ru/companies/alfa/articles/967226/

#application_security #приожение #кибербезопасность #информационная_безопасность #appsec

Делаем требования безопасными с помощью методик INVEST, SMART, What-If и misuse cases

Привет! На связи снова Саша Симоненко, операционный директор Xilant . Сегодня разбираем конкретные методики написания безопасных требований: INVEST, SMART, What-If и misuse cases. Чтобы быть в контексте, зачем они нужны и какую проблему решают, рекомендую начать с первой части трилогии — о том, как неточные формулировки становятся уязвимостями и где в SDLC теряется безопасность.

https://habr.com/ru/companies/technokratos/articles/968428/

#информационная_безопасность #требования_к_разработке #appsec #application_security #безопасная_разработка #безопасная_разработка_приложений

Баг не в коде, а в словах: как требование превращается в уязвимость

Всем привет! Меня зовут Саша Симоненко, и я операционный директор кибербез компании Xilant . Эта статья родилась из моего сентябрьского выступления на конференции KazHackStan 2025 в Алматы, где рассказывал, как качественные бизнес-требования помогают избежать проблем с безопасностью. В первой части статьи разберем, как неточные формулировки превращаются в реальные инциденты и где в процессе теряется безопасность.

https://habr.com/ru/companies/technokratos/articles/963252/

#информационная_безопасность #требования_к_разработке #appsec #application_security #безопасная_разработка #безопасная_разработка_приложений

Тренды безопасной разработки: разбираем BSIMM 15 и сравниваем топ-10 активностей с предыдущим отчетом

Процессы безопасной разработки — это не просто набор инструментов для проверки кода. Основная концепция в том, чтобы все процессы работали как единый механизм, а безопасность была не просто дополнением, а неотъемлемой частью разработки. Фреймворк Building Security in Maturity Model (BSIMM) предлагает смотреть на процессы безопасной разработки с точки зрения зрелости, как на измеримую систему действий и результатов, а не просто как на чек‑лист практик. В этом году Synopsys не обделил нас новым отчетом и представил BSIMM 15, который мы с вами разберем. Не буду углубляться, что такое BSIMM и как его применять на практике, об этом вы можете прочесть в статье про BSIMM 14 , но стоит отметить, что BSIMM дает ежегодную оценку применимости различных практик. На этом и сосредоточимся, посмотрим, какие появились новые активности и какие сейчас в тренде.

https://habr.com/ru/companies/pt/articles/956682/

#bsimm #безопасная_разработка #appsec #application_security #фреймворки #методология

Как не потерять свои контейнеры у себя в инфраструктуре?

Проблемы больших инфраструктур и связанный с ними хаос не только не исчезли с распространением контейнеризации, но и приняли новые очертания. Многие платформы с открытым кодом поддерживают работу только с одним кластером, некоторые решения зависят от качества соединения между узлами и «не любят» потери соединения. Опираясь на опыт других проектов, мы сформировали свое видение защиты мультикластерных инфраструктур и реализовали его в своем продукте для обеспечения безопасности контейнеризированной инфраструктуры. Как именно — читайте в этой статье.

https://habr.com/ru/companies/pt/articles/936868/

#container_security #appsec #application_security #devsecops

Безопасная разработка как игра в Dungeons & Dragons

Привет! 👋 Меня зовут Алина. Я маркетолог и давно работаю в ИТ, но с безопасной разработкой познакомилась только когда пришла в продуктовую студию по кибербезопасности Axel PRO. И знаете, эта область заинтересовала меня в процессе работы. А еще у меня есть интересное хобби — я люблю играть в Dungeons&Dragons, иначе говоря — ДНД 🎭. И вот что я заметила: процесс разработки ПО очень похож на эту игру. Сейчас расскажу, почему. Представьте, что разработка ПО — это ваша игра в Dungeons&Dragons. Вы собрали отряд: разработчиков, тестировщиков, продакт‑менеджеров, выбрали для них роли и отправились в приключение — создавать крутой продукт 🚀. Но вот загвоздка: пока вы исследуете подземелья (пишете код) 🏰, на каждом шагу вас поджидает разная нечисть — уязвимости‑ловушки 🕳️, баги‑драконы 🐉 и орки‑ошибки конфигурации 🪓. Если вы не взяли с собой защитные свитки с политиками и шаблонами безопасности 📜, зелья исправления уязвимостей 🧪 и доспехи из безопасных практик 🛡️ — ваша команда рискует быстро проиграть. Собираем команду Как и в мире ДНД, в безопасной разработке у каждого участника команды есть своя уникальная роль и задачи. Например: ⚔️ Бэкенд‑разработчик — это воин, который создает и защищает код, отражая атаки. 🧙‍♂️ Тестировщик — маг, исследующий систему с помощью «заклинаний» тестов, чтобы найти слабые места. ⛩️ Администратор инфраструктуры — жрец, поддерживающий стабильность и безопасность серверов и окружения 🎶 HR‑менеджеры и менеджеры проекта — подобно бардам, поддерживают коммуникацию и помогают команде достигать общих целей.

https://habr.com/ru/articles/925524/

#appsec #devsecops #информационная_безопасность #безопасная_разработка #application_security #dungeons_and_dragons

[レポート] Scaling security with Sportsbet's Security Guardians program #APS204 #AWSreInforce
https://dev.classmethod.jp/articles/aws-reinforce-2025-Sportsbets-Security-Guardians-program-aps204/

#dev_classmethod #AWS #Application_Security

WAF (гав-гав): гибкая настройка пользовательских правил PT AF PRO

Разберёмся, как грамотно (хотелось бы так) настраивать пользовательские правила в Positive Technologies Application Firewall, чтобы при виде атаки ваша защита не превратилась в уязвимую "истеричку". Расскажем про ключевые директивы, покажем примеры из реальной практики и обоснуем каждый шаг.

https://habr.com/ru/articles/916434/

#информационная_безопасность #кибербезопасность #devsecops #threatanalysis #application_security #appsec #positive_technologies

Apsafe: путь от чашки кофе до полноценной экосистемы безопасной разработки

Представляем вашему вниманию историю о том, как из маленькой идеи вырос полноценный продукт, предлагающий безопасную разработку как сервис. Также расскажем о проблемах и ошибках, которые возникали на этом пути, и поделимся планами на будущее.

https://habr.com/ru/companies/ussc/articles/910926/

#devsecops #asoc #ussc #devsecops_services #application_security #безопасная_разработка #информационная_безопасность #безопасная_разработка_приложений #pipeline #appsec

Что такое «правильный» ASOC?

Application Security Orchestration and Correlation (ASOC) – не самая тривиальная тема в реалиях отечественного подхода к обеспечению ИБ, но от этого не менее важная, и, что главное – не менее интересная. Поэтому, мне, кажется, мое мнение, как практикующего devsecops-инженера будет не лишним для развития appsec, пусть не в стране, но хотя бы в Хабр-сообществе. В ходе работы нам с командой пришлось прожить многие этапы внедрения ASOC, решить тысячу и одну проблему, дорабатывать фичи, устранять баги, и «допиливать» воркфлоу так, чтобы ASOC действительно работал, не только на бумаге, но и на практике. Постараюсь рассказать, как мы для себя видим качественный продукт. (Возможно из этого выльется цикл статей, кто его знает).

https://habr.com/ru/articles/880638/

#devsecops #безопасная_разработка #application_security #анализ_кода #сканер_уязвимостей

Атаки на GitHub-разработчика в 2024 году

Тренд «Platform Engineering», предложенный аналитическими агентствами, стал интересен не только компаниям, которые трансформируют свои процессы, команды и инструменты согласно новым подходам. Этот тренд также интересует и злоумышленников, которые используют возможности платформ разработки для проведения атак. Меня зовут Денис Макрушин, и вместе с командой SourceCraft я создаю технологии безопасной разработки, чтобы кибербезопасность была драйвером для инноваций, а разработчик мог эффективно использовать свои когнитивные способности. В этой статье я собрал коллекцию интересных уязвимостей и методов атак на пользователей крупной платформы разработки, обзор актуальных методов атак, выявленных в 2024 году. Понимание актуальных угроз позволяет лучше разобраться в необходимости улучшения практик безопасности в такой платформе на примере GitHub. Материал будет полезен как разработчикам, так и специалистам по информационной безопасности для защиты своих проектов.

https://habr.com/ru/companies/yandex_cloud_and_infra/articles/867754/

#application_security #devsecops #github #supply_chain #supply_chain_attacks

Два подхода к анализу ПО на уязвимости: какой выбрать?

Думаю, каждый айти-специалист знает, насколько важно учитывать требования информационной безопасности при разработке и обеспечить защищенность ПО. А как именно обрабатываются уязвимости, и кто несет ответственность за их устранение? Сегодня хочу уделить внимание именно этой теме. Всем привет, меня зовут Денис, я заместитель начальника отдела безопасной разработки (ОБР) в ИТ-компании «СИГМА».

https://habr.com/ru/companies/sigma/articles/861482/

#анализ_уязвимостей #application_security #Security_Champion #appsec #устранение_уязвимостей #безопасная_разработка #информационная_безопасность #it_security

Что значит «SafeCode»: о чём расскажут на конференции по безопасности приложений

«Безопасный код» — понятие широкое. Так что по названию онлайн-конференции

https://habr.com/ru/companies/jugru/articles/853514/

#safecode #безопасность_приложений #application_security #appsec

NIST SP 800-63B-4 第2次公開草案のパスワード要件の変更点をまとめてみた
https://dev.classmethod.jp/articles/nist-sp-800-63b-4-2/

#dev_classmethod #Application_Security

Опыт внедрения практик AppSec/DevSecOps

Процессы разработки должны быть построены так, чтобы гарантировать предсказуемый уровень безопасности продукта на выходе. Именно с такой идеей мы приступали к модернизации наших внутренних процессов в «ЛАНИТ ― Би Пи Эм». Мы провели исследование мировых практик обеспечения безопасности, которые часто объединяют терминами AppSec (application security) и DevSecOps (development, security, and operations). Для нас было важно, что безопасность требуется не только при написании серверного кода. Фронт, инфраструктура, процессы сборки и развертывания также могут быть уязвимы. Поэтому мы обращали внимания на все эти аспекты. В этой и последующих статьях речь пойдет о наиболее интересных наших находках.

https://habr.com/ru/companies/lanit/articles/847906/

#ланит #ланит_би_пи_эм #owasp #application_security #dependency_track

We’re celebrating National Read an e-Book day and in celebrating all things digital, we want to give a shoutout to @SheHacksPurple's Alice and Bob Learn Application Security - available on Kindle as an audiobook (and SheHacksPurple reads it!)

You can get your copy here: https://www.amazon.com/Alice-Bob-Learn-Application-Security/dp/1119687357

#application_security #AppSec

We’re celebrating National Read an e-Book day and in celebrating all things digital, we want to give a shoutout to @SheHacksPurple's Alice and Bob Learn Application Security - available on Kindle as an audiobook (and SheHacksPurple reads it!)

You can get your copy here: https://www.amazon.com/Alice-Bob-Learn-Application-Security/dp/1119687357

#application_security #AppSec

WAF: интеграция в SOC через SIEM или ASOC? (Часть 2)

Преимущества интеграции SOC и WAF для мониторинга API Здесь бы хотелось рассказать, как быть с событиями которые показывают аномалии в API и как использовать эти события при интеграции с SIEM-системами. Тут мы с Сергеем попробовали разобрать наиболее частые вариации. Но если у вас есть свои примеры – добро пожаловать в комментарии! Основные полезности, для условной 1-й линии SOC можно распределить на 2 группы: Мониторинг API-активности. SOC может использовать интегрированные в WAF системы обнаружения API для мониторинга активности взаимодействия с API, включая запросы, ответы, аутентификацию и авторизацию. Это позволяет обнаруживать подозрительную или незаконную активность, такую как несанкционированные попытки доступа или использование API для атак. Обнаружение аномалий в API-трафике: Интеграция с системами обнаружения API позволяет SOC анализировать трафик и обнаруживать аномалии, такие как необычные или аномально высокие объемы запросов, необычные паттерны поведения или подозрительные изменения в обработке данных. Подобные ситуации характерны для поведенческих атак, таких как: перебор паролей, перебор идентификаторов сессии, принудительный просмотр ресурсов веб‑приложения (Forced Browsing), подстановка учетных данных. В каких ситуациях это может быть важно. Аномалия в API-трафике, связанная с резким повышение количества запросов к конечным точкам инфраструктуры содержащих аутентификационные данные, например пароли, токены и секретные ключи. На иллюстрации ниже представлено отображение таких эндпоинтов в «ПроAPI Структура» с указанием типов чувствительных данных (токен, пароль и т.д.) и количества хитов/атак.

https://habr.com/ru/companies/webmonitorx/articles/842138/

#информационная_безопасность #кибербезопасность #waf #soc #siem #asoc #application_security #api #web_security #web_application_firewall

Управление безопасностью приложений: всем выйти из сумрака

Всем привет. И вновь на связи Светлана Газизова, директор по построению процессов DevSecOps в Positive Technologies. Ранее я уже рассказывала о том, кто такой специалист по безопасной разработке в рубрике Positive Education «Топ-10 профессий в сфере кибербезопасности» (а совсем недавно была статья про чудо чудесное — MLSecOps ). В этой статье хочу сосредоточиться на роли и задачах тех, кто выстраивает application security в компаниях, — руководителей и тимлидов AppSec-направлений. Подробности →

https://habr.com/ru/companies/pt/articles/837774/

#appsec #безопасная_разработка #cybersecurity #operations #development #интенсив #devsecops #управление #application_security #тимлидство

WAF: интеграция в SOC через SIEM или ASOC? (Часть 1)

В современном цифровом мире киберугрозы становятся все более сложными и изощренными, что требует от компаний применения эффективных мер защиты. Одним из наиболее эффективных способов обеспечения безопасности является интеграция Центров мониторинга информационной безопасности (Security Operations Center, SOC) и Межсетевых экранов уровня веб-приложений (Web Application Firewall, WAF). Интеграция различных систем безопасности позволяет создать общий контекст безопасности. Важное место в этом процессе занимают WAF. При этом есть особенность - WAF играет роль как в контексте разработки приложений (DevOps, AppSec), так и в оперативной эксплуатации. На стадии стейджинга WAF может работать в режиме мониторинга, что позволяет обнаруживать уязвимости без блокировки и передавать информацию в DevOps о потенциальных угрозах на этапе разработки. Это связывает WAF с областью application security, так как он активно участвует в обнаружении и защите от уязвимостей веб-приложений, что необходимо для интеграции в цикл CI/CD. Однако WAF также выполняет функции оперативной эксплуатации, предотвращая атаки и обеспечивая непрерывную защиту в реальном времени. Этот аспект делает его важным компонентом для Security Operations Centers (SOC) или аналогичных подразделений, ответственных за оперативное реагирование на угрозы. Таким образом, дилемма относительно WAF заключается в его двойной роли: как части application security, включенной в DevOps и процессы CI/CD, и как средства оперативной защиты, интегрированного в SOC для мониторинга и реагирования на угрозы в реальном времени.

https://habr.com/ru/companies/webmonitorx/articles/837486/

#информационная_безопасность #кибербезопасность #waf #soc #application_security #угрозы #атаки #web_security #web_application_firewall

Реализация сервиса сканирования на основе OWASP ZAP

Для защиты цифровых активов организаций важно оперативно выявлять и устранять уязвимости. Инструменты оценки уязвимостей автоматизируют этот процесс, позволяя эффективно находить слабые места в системах и приложениях. Привет! Меня зовут Никита, я занимаюсь информационной безопасностью в RuStore. Сегодня расскажу о том, как мы создали свой сервис сканирования уязвимостей на базе OWASP ZAP, с какими трудностями столкнулись и какие подходы применили для их решения.

https://habr.com/ru/companies/vk/articles/829030/

#zap #dast #сканирование_уязвимостей #безопасность #безопасная_разработка #security #appsec #application_security #динамический_анализ

AppSec-платформа для сотен миллионов строк кода

Сегодня я хочу рассказать про нашу внутреннюю AppSec-разработку – платформу Security Gate. Начну с предпосылок для ее создания, подробно опишу архитектуру решения и поделюсь открытиями и маленькими неожиданностями, которые ждали нас (и могут ждать любого в рамках построения похожего инструмента). В этой статье мы оставим за рамками то, какое значение имеет UX в построении платформы — об этом можно написать отдельную статью, поскольку этой теме хочется уделить особое внимание.

https://habr.com/ru/companies/vk/articles/824496/

#appsec #asoc #application_security #разработка #информационная_безопасность

Как решить проблему уязвимостей бизнес-логики? Поломать приложение еще до написания кода

Всем привет. Меня зовут Нияз Кашапов, я AppSec Lead в СберМаркете. Улучшаю процессы безопасной разработки уже более 5 лет. Начинал карьеру в финтехе, где занимался безопасностью кода, фич и бизнес-процессов в онлайн-банкинге. А сейчас продолжаю начатое в одном из самых быстрорастущих игроков на рынке e-com. Думаю, у многих в практике встречалась уязвимость, которую просто так не пофиксить — ведь она заложена глубоко внутри разрабатываемого решения, обвешана кучей зависимостей и требует полного ребилда самого решения. Чаще всего такие уязвимости остаются в проде навсегда и удерживаются от «падения» множеством костылей. Возникает резонный вопрос: «Как они возникли?» Чаще всего ответ — «Так исторически сложилось», а истоки проблемы давно забыты. Боролься с таким лучше превентивно, а как это сделать — попробую рассказать в этой статье. Поговорим о том, как избегать ситуаций, когда уязвимость заложена на уровне архитектуры или бизнес-процесса и её исправление может стоить множество человеко-часов. Разберемся, когда фича становится багом и как прорабатывать архитектуру сервисов, не создавая дыры безопасности.

https://habr.com/ru/companies/sbermarket/articles/821037/

#application_security #безопасная_разработка #system_design #ssdlc

Как провести фаззинг REST API с помощью RESTler. Часть 3

Вступление Привет, Хабр! С вами Владимир Исабеков, руководитель группы статического тестирования безопасности приложений в Swordfish Security. В прошлых статьях, посвященных фаззингу REST API, мы рассказывали о методе Stateful REST API Fuzzing и настройках инструмента RESTler. Сегодня мы поговорим о режимах тестирования, аннотациях, проблемах при подготовке и проведении фаззинга API и способах их решения. Статья написана в соавторстве с инженером по безопасности Артемом Мурадяном @TOKYOBOY0701 .

https://habr.com/ru/companies/swordfish_security/articles/806443/

#фаззинг #фаззингтестирование #api #application_security #api_security

Как провести фаззинг REST API с помощью RESTler. Часть 2

Всем привет! На связи Владимир Исабеков, руководитель группы статического тестирования безопасности приложений в Swordfish Security. В предыдущей статье мы рассказывали о Stateful REST API-фаззинге с применением инструмента RESTler. Сегодня мы поговорим о продвинутых возможностях RESTler-а и покажем, как настроить фаззер на примере более сложного приложения. Этот материал мы подготовили вместе с Артемом Мурадяном @TOKYOBOY0701 , инженером по безопасности.

https://habr.com/ru/companies/swordfish_security/articles/801313/

#фаззинг #фаззингтестирование #api #application_security #owasp

Что о безопасности приложений расскажут на SafeCode

В декабре мы представили Хабру нашу новую онлайн-конференцию SafeCode. А теперь, когда до неё осталось две недели и программа готова, можем подробнее рассказать, о чём именно будут доклады. Если ограничиться одной фразой, то на конференции подойдут к application security с разных сторон: от JavaScript до ассемблера, от DevSecOps до ML, от «уязвимости мобильных приложений» до «пентеста веб-приложения». А полные описания всех докладов — под катом: Программа SafeCode 2024

https://habr.com/ru/companies/jugru/articles/796709/

#безопасность #safecode #application_security #appsec #безопасность_приложений

Безопасность API веб-приложений

Привет, Хабр! Это инженерный отдел по динамическому анализу Swordfish Security. В предыдущих статьях мы описывали плагин для OWASP ZAP, рассказывали, как сканировать приложения с помощью инструмента Burp Suite Pro и настроить автоматическую авторизацию в DAST-сканере. Сегодня мы обсудим, на что можно обратить внимание при проверках API веб-приложения на безопасность. Обозревать будем со стороны практики динамического анализа, а в отдельной статье поделимся соответствующими инструментами. Поехали!

https://habr.com/ru/companies/swordfish_security/articles/780308/

#application_security #dast #api #вебприложения #динамический_анализ #owasp #owasp_top_10

78% of CISOs Concerned About AppSec Manageability - https://www.redpacketsecurity.com/of-cisos-concerned-about-appsec-manageability/

#threatintel #Application_Security #Software_Supply_Chain #CISOs

Over Half of Users Report Kubernetes/Container Security Incidents - https://www.redpacketsecurity.com/over-half-of-users-report-kubernetes-container-security-incidents/

#threatintel #Cloud_Native_Security #Machine_Identities #Application_Security