⚙️ Open Source-инструменты для DevSecOps

Со-основатель и технический директор Hilbert Team Алексей Цыкунов выступил на первой масштабной конференции по Application Security и DevSecOps в Казахстане AppSecFest Almaty, где поделился опытом построения DevSecOps-пайплайна с помощью Open Source-инструментов:

“Если мы нашли ошибку на фазе разработки, то исправить её достаточно легко без особых затрат. Когда ошибка найдена на этапе сборки, временные и финансовые затраты возрастают в 2 раза, на фазе интеграционного тестирования – в десятки раз, а на финальной стадии – в сотни. Поэтому крайне важно учить своих разработчиков безопасной разработке и устранять уязвимости на этапе создания кода”.

Алексей подробно разобрал, какими Open Source-инструментами можно пользоваться на каждой фазе DevSecOps-пайплайна, начиная с pre-commit до post-deploy.

➡️ Выступление целиком смотрите на YouTube

#мероприятия_оффлайн

Улыбнул слайд из доклада Дмитрия Родионова из Yandex Cloud 😁⬆️

Миграция в облако — действительно серьезное мероприятие, тем более если у вас не было опыта работы с облачной инфраструктурой. Но она всегда себя окупает в дальнейшем!

А чтобы не было «депрессии», выбирайте себе надежных партнеров, которые пройдут с вами этот путь и помогут разобраться со всеми этими новыми технологиями 🙂

⛈ На что заказчику обратить внимание при миграции

Наша команда реализовала более 100 миграций в облака, и мы заметили несколько распространенных ошибок, с которыми сталкиваются заказчики при миграции в облачную инфраструктуру:

1️⃣ Отсутствие IT-аудита
Миграция в облако требует тщательной подготовки, включая анализ текущей инфраструктуры и ее совместимости с облачными решениями. Чтобы избежать непредвиденных проблем и дополнительных затрат, проведите предпроектное исследование инфраструктуры и составьте ее детальное описание.

2️⃣ Мало внимания к безопасности
Нельзя полагаться исключительно на облачного провайдера для обеспечения безопасности данных. Бизнесу важно использовать соответствующие меры защиты, такие как Security Groups, ACL, антивирус, антиспам, анти-DDoS, WAF, NGFW и др, чтобы избежать утечек данных и нарушения конфиденциальности.

! Одно из уязвимых мест безопасности – отсутствие или некорректная конфигурация механизмов аутентификации и управления доступами в облаке. Скоро на этом канале мы анонсируем бесплатный курс по этой теме, разработанный совместно с Yandex Cloud.

3️⃣ Отсутствие бэкапов
Для обеспечения сохранности данных перед миграцией сделайте резервную копию системы и делайте бэкапы настроек после каждого успешно выполненного этапа миграции.

4️⃣ Недостаток опыта работы с облаками
Сотрудники вашей компании, которые будут в дальнейшем работать с облачной инфраструктурой, должны быть обучены и готовы к работе в новой среде, чтобы избежать ошибок и снижения производительности.

5️⃣ Отсутствие мониторинга
Правильная настроенная система мониторинга является залогом успешной миграции, т к она позволяет определить отклонения в работе инфраструктуры и информационных систем и вовремя предпринять меры по их устранению.

#экспертиза

⚡️ЦБ позволит банкам хранить сведения с банковской тайной в облачных сервисах

Законопроект, который регламентирует IT-аутсорсинг и использование облачных сервисов, уже готов и находится на этапе межведомственного согласования по словам представителей ЦБ.

Это важное событие для рынка, потому что откроет банкам дорогу к активному использованию всех преимуществ сторонних облачных платформ, а также позволит им сократить затраты на внутренние IT-подразделения и сэкономить сотни миллионов рублей в год.

В одном из следующих постов расскажем об успешном кейсе по миграции в облако сервиса для получения банковских гарантий.

#дайджест_новостей

🏦 Банки и облако

Быстрое развитие финтеха подталкивает классические банки к цифровизации и миграции в облака, чтобы оставаться актуальными для рынка. Возник даже новый тип облачных сервисов – Bank as a Service (BaaS).

Что такое BaaS?
Это модель банкинга на основе открытых интерфейсов. Банковская инфраструктура предоставляется через Open API и позволяют бизнесу легко и с минимальными затратами интегрировать новые финансовые продукты и услуги в свои сервисы.

BaaS выгоден для обеих сторон: бизнес получает доступ к финансовой инфраструктуре, а банк остается в тренде и находит новые каналы для роста. В будущем банки фактически станут маркетплейсами для бизнеса.

Какие есть примеры BaaS в России:
✔️Альфа-Банк в партнерстве c X5 Retail Group запустили кастомизируемый сервис Distributed Treasury and Cash Management (DTCM), который позволяет корпоративным клиентам банка управлять платежами, кредитно-депозитными продуктами и пулом ликвидности внутри больших холдингов.
✔️Росбанк планирует в этом году масштабировать интеграции с партнерами в рамках BaaS и уже создал платформу WSO2 API Manager для создания и управления API.
✔️ Делобанк предоставляет API для подключения финтех-компаний к СПБ.

Центробанк также активно поддерживает развитие направления, в прошлом году представил концепцию внедрения открытых API на финансовом рынке РФ, а в этом году рекомендует внедрение следующих API – информация об организации и продуктах организации, сведения о счетах и продуктах клиента, заявки на действия с банковским счетом, инициирование платежа. В 2024 и 2025 их использование станет обязательным.

#экспертиза

🔥 Мы запустили новый курс – Аутентификация и управление доступами

Для обеспечения информационной безопасности каждой компании важно использовать надежные механизмы управления доступом к своей инфраструктуре. А системы управления доступом в свою очередь неразрывно связаны с решениями в области идентификации, аутентификации и авторизации пользователей.

Если всё работает верно, то мы можем определить подлинность каждого пользователя и предоставить ему ровно тот объем доступа, которые ему необходим для выполнения своих задач.

На новом курсе вы научитесь:
● использовать возможности ресурсной модели Yandex Cloud для создания максимально защищенной облачной инфраструктуры;
● настраивать федеративный доступ между вашей IT-инфраструктурой и облаком с помощью SAML-совместимых федераций удостоверений;
● настраивать гранулярный доступ для каждого пользователя в соответствии с его ролью с помощью Yandex Cloud IAM;
● настраивать аутентификацию в приложениях с помощью Keycloak;
● использовать сервисные аккаунты для работы с облачными ресурсами из написанных вами программ;
● настроите мониторинг безопасности облачной инфраструктуры, сбор и анализ аудитных логов с помощью Yandex Audit Trails.

#курсы

К сожалению, для многих разработчиков из-за недостаточно эффективного процесса коммуникации между ИТ и ИБ процесс управления уязвимостями выглядит вот так ⬆️😭

На офлайн-встрече партнеров Yandex Cloud по Security Вячеслав Бессонов, CEO Hilbert Team, поднял этот вопрос и разобрал практический кейс по построению DevSecOps-пайплайна и внедрению процесса управления уязвимостями.

Что мы рекомендуем компаниям для повышения безопасности разрабатываемых продуктов:
✔️ Внедрить DevSecOps путем включения в цикл разработки автоматизированных проверок безопасности. Подробнее мы об этом писали в статье.
✔️ Внедрить специализированные Vulnerability Management инструменты для эффективного анализа уязвимостей и повышения эффективности взаимодействия ИТ и ИБ.

#экспертиза