Как вас взламывают через Open Source | DevSecOps и безопасная разработка | Podlodka Podcast

Описание: Даже если вы пишете идеальный код, это не значит, что ваш продукт в безопасности. Уязвимости может притащить кто-то другой – начиная от open source библиотек, и заканчивая уязвимостями в компиляторах, CI и VCS системах. Как научиться защищать не только код, вышедший из под ваших рук, но и всю цепочку поставки, нам рассказал Алексей Смирнов, основатель платформы CodeScoring.

Полезные ссылки:
— Supply-chain Levels for Software Artifacts, or SLSA https://slsa.dev/
— Shai-Hulud npm vulnerability https://www.truesec.com/hub/blog/500-...
— Таксономия атак на цепочку поставки ПО https://vkvideo.ru/video-229013285_45...
— AI-Enhanced DevTools & DevOps https://vkvideo.ru/video-22522055_456...
— Исследования от Luntry https://luntry.ru/research
— Исследование уязвимостей GenAI от Veracode https://www.veracode.com/wp-content/u...
— О черве Shai-Hulud https://securelist.ru/shai-hulud-worm...
— Метод-фреймворк защиты цепочки поставки SLSA https://slsa.dev/
— Доклад "Таксономия атак на цепочку поставки ПО" https://vkvideo.ru/video-229013285_45...
— Доклад "Безопасная разработка в эпоху GenAI" https://vkvideo.ru/video-229013285_45...
— Другие доклады про безопасность использования Open Source    / @codescoring   https://vkvideo.ru/@codescoring
— Платформа безопасной разработки CodeScoring
https://codescoring.ru/
— Книга "Прозрачное программное обеспечение: Безопасность цепочек поставок ПО" https://www.piter.com/product/prozrac...


❓ Хочешь обсудить выпуск или задать вопрос эксперту? Вступай в наш Telegram-чат: https://t.me/podlodka
📰 Не любишь чаты, но хочешь оставаться в курсе дел и прокачивать свой IT кругозор? Подписывайся на наш Telegram-канал: там публикуются анонсы новых выпусков, а в комментах идут ценные и горячие обсуждения! 5 тысяч опытных IT-специалистов уже с нами: https://t.me/podlodkanews
👉Предложить себя в подкаст https://forms.gle/NtmaZmeDAa3MHSra7

Тайм-коды:
00:00 О чем выпуск?
10:19 Что такое уязвимость Шай-хулуд?
26:06 Что такое цепочка поставки?
54:41 На каком уровне встраивается проверка?
01:25:16 Как правильно использовать Open Source зависимость?
01:40:39 Примеры проблем на разных этапах
01:57:15 Как юридически застраховаться от рисков?
02:02:25 Какие проблемы в цепочки поставки принес AI?
02:12:22 Заключение