home.social

#безопасность_разработки — Public Fediverse posts

Live and recent posts from across the Fediverse tagged #безопасность_разработки, aggregated by home.social.

fetched live
  1. Через гейт без слез: безопасность для живых людей

    Привет! С вами Александр Трифанов , руководитель направления Application Security в Авито . Я почти десять лет занимаюсь пентестами и созданием решений для продуктовой безопасности. В этой статье расскажу про security gates: что это такое, зачем они нужны и как построить проверки, после которых разработчики не будут проклинать команду безопасности (либо я просто не в курсе). Наш опыт будет полезен тем, кто строит безопасную разработку в большой компании и пытается не превратить все это в боль для разработчиков. Я буду говорить не только про техническую часть, но и про пользовательский опыт: в области гейтов он часто оказывается важнее, чем кажется на первый взгляд.

    habr.com/ru/companies/avito/ar

    #ssdlc #security_gates #DevSecOps #AppSec #Kubernetes #Kyverno #безопасность_разработки #управление_уязвимостями

  2. «У вас в резюме указаны навыки ИИ. Что вы имели в виду?» Что отвечать, кроме количества потраченных токенов

    Всё началось с чата с однокурсниками. Кто‑то обронил фразу «сейчас без ИИ никуда, это уже базовый навык», и следующие два дня мы выясняли, что каждый понимает под этим что‑то своё. Один говорил, что весь навык сводится к умению нормально сформулировать запрос, всё остальное сделает модель. Другой доказывал, что настоящее умение это как раз не пускать ИИ туда, где он навредит, и что главный навык это дисциплина отказа. Третий считал, что тема надутая, а через год всё устаканится само и учиться нечему. Четвёртый прислал скриншот своего CLAUDE.md на двести строк и сказал, что вот она, настоящая работа. Меня зацепило, что мы все вроде бы делаем одно и то же каждый день, а описываем это несовместимыми словами. Ни у кого, включая меня, не оказалось внятного ответа на простой вопрос: если разработчик говорит «я умею работать с ИИ», что конкретно он умеет? А потом выяснилось, что вопрос не академический. У половины из нас в резюме стоит строчка про навыки работы с ИИ, и на собеседованиях за неё уже начали цепляться. «У вас тут указаны навыки ИИ. Что вы имели в виду?» И вот тут начинается неловкое. Потому что честный ответ большинства звучит примерно так: пользуюсь Claude Code каждый день, беру модель посильнее, когда задача сложная, в прошлом месяце сжёг столько то токенов. Всё это правда, и всё это ничего не говорит о вас как об инженере. Количество потраченных токенов характеризует вас ровно так же, как количество написанных строк кода: то есть никак, а иногда и в минус. Проблема в том, что альтернативной формулировки у нас просто нет. Мы умеем называть инструменты и не умеем называть умения. Поэтому я сел и попробовал собрать перечень. Не «топ 10 промптов», а честный список умений, каждое из которых можно проверить, показать в работе и внятно описать словами, когда спросят.

    habr.com/ru/articles/1064110/

    #Claude_Code #ИИагенты #навыки_разработчика #кодревью #CLAUDEmd #собеседование #безопасность_разработки #Anthropic

  3. [Перевод] Как проверить все Python‑окружения на опасные пакеты без запуска Python

    Вредоносная зависимость может годами лежать в забытом проекте, а обычная команда pip freeze — запустить оставленный злоумышленниками код. Разберём, как собрать реестр виртуальных окружений и с помощью uv безопасно проверить версии пакетов во всех локальных проектах. Проверить пакеты

    habr.com/ru/companies/otus/art

    #Python #виртуальные_окружения #Pythonпакеты #цепочка_поставок_ПО #аудит_зависимостей #pip #атаки_на_зависимости #вредоносные_пакеты #безопасность_разработки

  4. Поговорим о планировании внедрения DevSecOps

    DevSecOps по-прежнему часто сводят к подключению сканеров в CI/CD. Дальше сценарий предсказуем: пайплайн замедляется, отчёты копятся, команда теряет к ним интерес. Проблема обычно не в инструментах, а в том, что их внедряют поверх неизменённых процессов. В статье — о том, как подойти к DevSecOps как к системному изменению: с чего начать, как выбрать пилот, какие цели ставить и где чаще всего всё идёт не так. Разобраться в теме

    habr.com/ru/companies/otus/art

    #инфобез #devsecops #безопасность_разработки #SAST #уязвимости #автоматизация_безопасности

Share on Mastodon

Enter the server where you have an account.