#dependency_track — Public Fediverse posts

Композиционный анализ проектов на C++

Композиционный анализ (Software Composition Analysis, SCA) – это практика автоматического выявления и отслеживания внешних зависимостей проекта с целью мониторинга их известных уязвимостей. В этой статье мы расскажем, какие инструменты используем и как организуем пайплайн для своевременного и регулярного анализа зависимостей проектов на C++. P.S. В написании текста статьи не участвовала нейросеть! 100% ручной труд разработчика Георгия 😇

https://habr.com/ru/companies/aktiv-company/articles/1066992/

#рбпо #композиционный_анализ #software_composition_analysis #sbom #conan #Dependency_Track #ssdlc #c++

Dependency Track + отчёты 2.0: приоритизация уязвимых компонентов стала ещё быстрее

Новый релиз инструмента dt-report-generator - дополнение к OWASP Dependency Track , которое формирует максимально информативный отчёт об уязвимых компонентах.

https://habr.com/ru/articles/900276/

#dependency #dependency_track #отчет_об_уязвимостях #уязвимые_компоненты #SCA

Опыт внедрения практик AppSec/DevSecOps

Процессы разработки должны быть построены так, чтобы гарантировать предсказуемый уровень безопасности продукта на выходе. Именно с такой идеей мы приступали к модернизации наших внутренних процессов в «ЛАНИТ ― Би Пи Эм». Мы провели исследование мировых практик обеспечения безопасности, которые часто объединяют терминами AppSec (application security) и DevSecOps (development, security, and operations). Для нас было важно, что безопасность требуется не только при написании серверного кода. Фронт, инфраструктура, процессы сборки и развертывания также могут быть уязвимы. Поэтому мы обращали внимания на все эти аспекты. В этой и последующих статьях речь пойдет о наиболее интересных наших находках.

https://habr.com/ru/companies/lanit/articles/847906/

#ланит #ланит_би_пи_эм #owasp #application_security #dependency_track

Как организовать безопасность контейнеров на базе Open Source

Привет Хабр! Меня зовут Татьяна Хуртина, и я программист в группе внутренней автоматизации ИБ VK. Недавно я выступала на киберфестивале PHDays c докладом про наш подход для мониторинга безопасности контейнеров. На примере опыта в inhouse-облаке Дзена я рассказала, как можно использовать open source решения, чтобы искать уязвимости в Runtime. И сразу оговорюсь, что тут в понятие Runtime мы вкладываем мониторинг уязвимостей в запущенных в оркестраторе контейнерах в (почти что) реальном времени. Если перед вами стоит похожая задача, возможно, вам пригодится наш практический опыт. Публикую здесь ключевые мысли и схемы.

https://habr.com/ru/companies/vk/articles/821853/

#информационная_безопасность #dependency_track #trivy #SBOM #docker #разработка #golang #сканирование #уязвимости #cyclonedx