Привет! На связи Денис Макрушин и в этом месяце я отвечаю за безопасность в South HUB.

Если в прошлый раз, текст был направлен на тех, кто преисполнился в вопросах безопасности, то сегодняшний лонгрид будет адресован тем, кто еще только подступается к этому вопросу и находится на самом первом его шаге. Поздравляю! Скорее всего вы спрашиваете себя «С чего начать выстраивать безопасную разработку?». Отвечаю.

Безопасная разработка начинается с правильных «зависимостей»!

Прежде всего, давайте синхронизируемся. Зависимости — это не тяга ходить на перекуры, обсуждать запросы бухгалтеров и совершенно точно, не зависимости разработчика от AI, который галлюцинирует уязвимый код. Это именно зависимости, которые разработчик использует в своем коде.

Зависимость — это всё, что ты подключаешь извне, а не пишешь сам. Вот большая техническая статья, чтобы разобраться с этим понятием — Understanding Dependencies на Habr.

А теперь к примерам. Мы уже понимаем, что самый уязвимый элемент в процессе разработки — это человек (и возможно, это вы). При этом, киберпреступники осознали, что этот человек не всегда переходит по ссылкам из фишингового письма, и не всегда открывает вредоносные вложения. Но вот зависимости он практические всегда подключает откуда-то извне.

Например, вы захотели подключить библиотеку аутентификации пользователя. Вы можете подключить её из опенсорса, а можете её подключить из соседнего отдела (главное, чтобы вы доверяли её автору).

Злодеи придумали стратегию: они заражают зависимости в цепочке поставок и ждут, когда жертва подключит вредоносный код в своем продукте. Затем этот вредоносный код попадет к клиенту и начнет обрабатывать ценные данные пользователя, и вот тогда можно активировать «имплант». Многообразие атак Dependency Confusion, Repository Hijacking, Typosquotting подтверждает эффективность этой стратегии (подробнее обо всех них написал тут).

Основой принцип защиты: знай, что и откуда подключается в твой код. Для обеспечения безопасности цепочки поставок существуют фреймворки. Например, фреймворк SLSA, который говорит, как проверять происхождение зависимости и правильно контроллировать сборку своего кода, в котором подключается эта зависимость.

Принцип простой, но технически нетривиальный. Особенно, когда разработчик научился работать в тандеме с ИИ-ассистентом. Ниже чек-лист по внедрению.

Чек-лист внедрения SLSA (Supply-chain Levels for Software Artifacts):
- Оценить текущее состояние (аудит поставок) .
- Настроить документацию (вести журналы и учёт источников)
- Автоматизировать сборку (Level 2)
- Внедрить подписи (например, Sigstore: Cosign, Rekor)
- Защитить инфраструктуру (Изолировать среду и ограничить доступ)
- Добавить аудит и контроль (Level 4)
- Интегрировать SBOM
- Обучить команду (научить проверять источники)
- Улучшать процессы постепенно
- Подключиться к сообществу

Смысловые галюцинации
Недавнее исследование показало, что LLM может галлюцинировать имена несуществующих зависимостей (придумывают названия несуществующих библиотек или модулей). Злоумышленники могут воспользоваться этим: они регистрируют пакеты с этими выдуманными названиями в менеджере пакетов (например, npm или PyPI), но уже с вредоносным кодом. Ничего не подозревающие разработчики, доверяя подсказкам модели, добавляют эти пакеты в свои проекты, открывая дверь для атак.

Простыми словами: ты просишь модель найти библиотеку для твоего кода, она предлагает несуществующую зависимость. А хакер уже заранее «застолбил» это название, разместив там вредоносный код, который может украсть данные или навредить твоему продукту.

Так что всегда начинайте с основ — зависимостей. Если у вас уже был опыт и что-то не получилось — делитесь своими кейсами. Все еще не знаете с чего начать? Давайте обсудим.
#соавтор

👾 , если вас взламывали
🔥 , если взламываете вы

🚀 Коллеги, напоминаю, у нас майский код фриз. А еще отклоняйте все встречи, поставьте отбивку в почте «а давайте уже после майских». И обязательно дежурных попросите на шашлыки ездить с ноутом. Все пейджеры настроены!

Всем привет! На связи — руководитель продукта МТС Линк Доски, #соавтор, Тигран Басеян. С 2011 года я занимаюсь образовательными проектами, работаю со школьниками и студентами и своими глазами наблюдаю разницу поколений в разрезе 15 лет.

В этом месяце я хочу поделиться своими рекомендациями, потому что скоро всем вам с этим работать. А кому-то уже сейчас (привет всем родителям!). В первой части я расскажу почему так. Во второй будет теория поколений и компаний. В третьей — как с ними быть.

Немного обо мне:
— Веду школу для будущих айтишников Geekz
— Автор методологии РИТМ для управления ИТ
— Охотник на Product Radar
— Преподаю в Финансовом университете, руковожу магистерской программой «Предпринимательство» в ЦУ
— Пишу в канал @blackproduct о продуктовой работе
— Не люблю скучать

— Да, были люди в наше время,
Не то, что нынешнее племя:
Богатыри — не вы!

🤔 Правда ли то, что говорят о поколении зумеров, как с ними работать и как их обучать?
Почему нынешняя система образования серьезно меняет учащихся, а раньше (не факт) было лучше?

В публикации много моих наблюдений. Постараюсь приводить источники, но не обещаю. В расчет брались данные о системе образования от 2006 до 2024 года (как школы, так и вузы).

Для начала проведем анализ ключевых факторов (одних из), которые серьезно влияют на учащихся и будущих выпускников:

📚 Фактор 1. Школьное образование, состав предметов, стандартизированные экзамены.

В конце нулевых в школах внедрили ЕГЭ, как систему стандартизирующую процесс приема в университеты. И это многое изменило. Раньше, по окончании школы ты сдавал экзамены в выбранный вуз, а может в два, если были силы. Теперь отправляешь результаты ЕГЭ во множество вузов, иногда сдаёшь один вступительный. Из-за этого фокус с школьной программы сместился на экзамен.

Таким образом, ценность школьного обучения упала, ведь с глубокого понимания «что хотел сказать автор» цель сместилась на достижение заветных 80–90 баллов теста. Заучивание и тренировки вытесняют анализ и синтез (хотя сложные задачи теперь требуют вариативности), а репетиторы форсируют натаскивание на стандартизированные задания, что создаёт проблемы другого порядка.

Дальше, из школьной программы исчезает черчение (исключен в 2019 году), хотя сейчас как модуль входит в «Технологию». «Ну и что такого?», подумаете вы. Никому не станет хуже от того, что его не бьют линейкой по рукам. А то, что черчение развивает абстрактное-пространственное мышление, которое так нужно для решения различных задач. Черчение развивает еще и внимание, аккуратность, логику и творчество, а также является основой для понимания математики, физики, геометрии и архитектуры. Ряд факторов, в том числе и исключением черчения, объясняется падение средних результатов во всех технических предметах (уровень решаемости задач по геометрии в ЕГЭ по математике держится ниже 7,5% последние 7 лет).

Итоги фактора 1: учащиеся стали больше заучивать, хуже понимают абстракции, сложнее учиться самим.

👨‍💻 Фактор 2: Пандемия и самоизоляция

С января 2020 по декабрь 2022 года, в 22 странах мира школы закрывались в среднем на 138 дней, что значительно повлияло на психическое состояние учащихся. Исследование показало, что каждые 100 дней закрытия на 74% увеличивают вероятность столкнуться с давлением на психическое здоровье (одиночество, тревожность, депрессия, расстройств пищевого поведения (РПП)), а глобальный уровень беспокойства и депрессии вырос на 25%. А вот вы можете этого не ощущать, потому что исследования взрослого населения показали, что последствия COVID-19 для их психики не так существенны!

👍 Позитивное влияние изоляции — при должном подходе, она повышает творческий и интеллектуальный потенциал за счёт самоорганизации, умения взаимодействовать с компьютерной техникой и самостоятельно выполнять задания, что помогает ученикам в дальнейшей социализации.

👎 Негативное влияние изоляции — при неправильном подходе, у подростков повышается уровень тревожности, нервозность, ухудшается сон, возникают сложности с организацией режима дня. Также в рамках онлайн-обучения хуже развивается концентрация внимания, падает качество выполненного домашнего задания и усвоения материала.

Ещё одна проблема дистанционного обучения — нехватка личного общения между учениками и учителем. Ученик не может получить качественную обратную связь. Учитель, понять насколько усваивается материал учениками, чтобы скорректировать процесс обучения.

Итоги фактора 2: больше стресса, специфические паттерны обучения.

(продолжение тут)

(продолжение, начало тут)

💻 Фактор 3: Развитие ИТ и дефицит кадров.

За последние 15 лет все больше растет потребность в программистах, аналитиках и всех, кто будет обслуживать и развивать технологии. Демографическая яма 90-ых, повышенный спрос на кадры и как следствие — низкая безработица позволяют соискателям выбирать и претендовать на большее.

Раньше, приходилось конкурировать за место — программ стажировок или базовых кафедр на всю страну было несколько штук. Теперь мы говорим о десятках, если не сотнях базовых кафедр в профильных направлениях в вузах, что позволяет студенту не задумываться о старте карьеры – все произойдет само.

Последствия этого:
— растет стоимость оплаты труда, современные джуны могут зарабатывать на уровне мидлов из прошлого (с учетом инфляции)
— выше конкуренция за специалистов. Теперь молодые могут сами выбирать
— необходимость применения новых способов мотивации. Тебе, как работодателю, надо быть внимательнее и заботливее

Итоги фактора 3. Получаем нетерпеливых молодых специалистов, которые хотят здесь и сейчас получать стопицот денег, при этом не отдают себе отчет, что не соответствует запрашиваемым деньгам.

Что со всем этим делать? Расскажу в следующей части.