Композиционный анализ C/C++ проектов
Всем привет!
Разрешить зависимости, сформировать SBoM, проанализировать его на наличие уязвимостей и обработать их в соответствии с процессами, принятыми в компании.
Казалось бы, всё просто! Но дьявол, как и всегда, кроется в деталях. Особенно для C/C++ проектов, где (как правило) нет удобного пакетного менеджера/перечня зависимостей, который может послужить отправной точкой для исследования.
Как быть в этом случае? Ответ можно найти в статье от CodeScoring!
Ребята рассматривают:
🍭 Как можно выяснить название и версию библиотеки, с какими нюансами можно столкнуться
🍭 Как определить те зависимости, которые попали в конечный артефакт/поставку
🍭 Почему для одного ПО может быть 2 разных SBoM
🍭 Где взять дополнительную информацию о библиотеке перед включением её в SBoM
🍭 Как связать найденные пакеты с уязвимостями, если PURL (не всегда) присутствует и не только
Каждый вопрос раскрывается достаточно подробно, с примерами и рекомендациями.
Помимо этого, рассматривается очень много различного рода нюансов, с которыми можно столкнуться при композиционном анализе C/C++ проектов.
Однозначно к прочтению!
Всем привет!
Разрешить зависимости, сформировать SBoM, проанализировать его на наличие уязвимостей и обработать их в соответствии с процессами, принятыми в компании.
Казалось бы, всё просто! Но дьявол, как и всегда, кроется в деталях. Особенно для C/C++ проектов, где (как правило) нет удобного пакетного менеджера/перечня зависимостей, который может послужить отправной точкой для исследования.
Как быть в этом случае? Ответ можно найти в статье от CodeScoring!
Ребята рассматривают:
🍭 Как можно выяснить название и версию библиотеки, с какими нюансами можно столкнуться
🍭 Как определить те зависимости, которые попали в конечный артефакт/поставку
🍭 Почему для одного ПО может быть 2 разных SBoM
🍭 Где взять дополнительную информацию о библиотеке перед включением её в SBoM
🍭 Как связать найденные пакеты с уязвимостями, если PURL (не всегда) присутствует и не только
Каждый вопрос раскрывается достаточно подробно, с примерами и рекомендациями.
Помимо этого, рассматривается очень много различного рода нюансов, с которыми можно столкнуться при композиционном анализе C/C++ проектов.
Однозначно к прочтению!
❤11🔥5🥰3
Анализ зависимостей и инструментария разработки ПО
Всем привет!
Анализ ПО начинается не с запуска сканеров, а с понимания того, что это такое, как это устроено, как собирается, как тестируется и т.д.
Т.е. с некоторой метаинформации о проекте. Собирать её можно разными способами. Можно «в ручном режиме», а можно с использованием средств автоматизации.
Несколько полезных утилит, которые помогут решить задачу, сделал Andrew Nesbitt (мы писали про его статью, посвященную модели угроз пакетных менеджеров).
Первая – brief – используется для получения информации об используемых языках, пакетных менеджерах, тестах, сборке, количестве строк и т.д.
Вторая – git-pkgs – позволяет анализировать используемые зависимости, в том числе по всей git-истории.
Основными её командами являются
Обе утилиты ничего не «додумывают». Фактически, они собирают информацию, которую могут получить за счёт анализа репозитория.
Подробности, параметры установки/запуска и примеры содержания генерируемых отчётов можно найти в GitHub-репозиториях или в документации.
Всем привет!
Анализ ПО начинается не с запуска сканеров, а с понимания того, что это такое, как это устроено, как собирается, как тестируется и т.д.
Т.е. с некоторой метаинформации о проекте. Собирать её можно разными способами. Можно «в ручном режиме», а можно с использованием средств автоматизации.
Несколько полезных утилит, которые помогут решить задачу, сделал Andrew Nesbitt (мы писали про его статью, посвященную модели угроз пакетных менеджеров).
Первая – brief – используется для получения информации об используемых языках, пакетных менеджерах, тестах, сборке, количестве строк и т.д.
Вторая – git-pkgs – позволяет анализировать используемые зависимости, в том числе по всей git-истории.
Основными её командами являются
list, history, blame, diff и т.д. Они позволяют быстро получить ответ на вопрос «откуда эта зависимость появилась в проекте».Обе утилиты ничего не «додумывают». Фактически, они собирают информацию, которую могут получить за счёт анализа репозитория.
Подробности, параметры установки/запуска и примеры содержания генерируемых отчётов можно найти в GitHub-репозиториях или в документации.
git-pkgs.dev
Documentation
git-pkgs tracks your dependency history across git commits. Initialize a database, then query who added what, when, and why.
Getting StartedInstallation and quick start VulnerabilitiesScan for CVEs and track exposure LicensesCheck and enforce license compliance…
Getting StartedInstallation and quick start VulnerabilitiesScan for CVEs and track exposure LicensesCheck and enforce license compliance…
Vaikora LLM Gateway
Всем привет!
С повсеместным использованием AI-агентов всё чаще встречается вопрос, связанный с информационной безопасностью.
Это породило создание отдельной группы инструментов, задача которых – контролировать происходящее.
Vaikora LLM Gateway является представителем этой группы.
Если просто, то он «находится» между AI-агентами и «конечными системами» (LLM, базы данных, MCP, API и т.д.).
Его задача состоит в перехвате каждого действия, которое хочет совершить агент и анализе его на соответствие определённому набору политик.
Каждому действию присваивается статус:
На текущий момент Vaikora LLM Gateway работает со следующими LLM: OpenAI, Anthropic, Google Gemini и OpenRouter.
Политики позволяют обнаруживать разные активности: утечку конфиденциальной информации, jailbreak, prompt injection и не только.
Сам по себе «движок правил» является детерминированным и не использует нейронные сети, что позволяет получать идентичные результаты на одни и те же действия.
Подробнее о возможностях утилиты можно прочесть в GitHub-репозитории проекта.
Всем привет!
С повсеместным использованием AI-агентов всё чаще встречается вопрос, связанный с информационной безопасностью.
Это породило создание отдельной группы инструментов, задача которых – контролировать происходящее.
Vaikora LLM Gateway является представителем этой группы.
Если просто, то он «находится» между AI-агентами и «конечными системами» (LLM, базы данных, MCP, API и т.д.).
Его задача состоит в перехвате каждого действия, которое хочет совершить агент и анализе его на соответствие определённому набору политик.
Каждому действию присваивается статус:
ALLOW, ALLOW_LOG, CONSTRAIN или BLOCK.На текущий момент Vaikora LLM Gateway работает со следующими LLM: OpenAI, Anthropic, Google Gemini и OpenRouter.
Политики позволяют обнаруживать разные активности: утечку конфиденциальной информации, jailbreak, prompt injection и не только.
Сам по себе «движок правил» является детерминированным и не использует нейронные сети, что позволяет получать идентичные результаты на одни и те же действия.
Подробнее о возможностях утилиты можно прочесть в GitHub-репозитории проекта.
GitHub
GitHub - Data443/vaikora-llm-gateway
Contribute to Data443/vaikora-llm-gateway development by creating an account on GitHub.
👍3
Platform Skills
Всем привет!
По ссылке доступен GitHub-репозиторий, в котором можно найти внушительный набор skills для работы с элементами ИТ-инфраструктуры и безопасности.
Поддерживаются такие системы как: Kubernetes, Argo CD, Flux CD, Terraform, Kyverno, Trivy, Kingfisher и многие другие.
Для каждой из поддерживаемых систем определён набор skills и возможностей.
Например, можно создавать, тестировать и проводить аудит политик Kyverno. Или мигрировать их на новый CEL-синтаксис.
Запускать сканирования Trivy, осуществлять поиск проблем и их причин в кластере Kubernetes, создавать роли т.д.
Полный перечень доступных команд можно найти в файле COMMANDS.md.
Указанный набор skills доступен для GitHub Copilot, Claude Code, Codex, Cursor.
Больше информации о возможностях skills, их устройстве, запуске и результатах работы можно найти в GitHub-репозитории проекта.
Всем привет!
По ссылке доступен GitHub-репозиторий, в котором можно найти внушительный набор skills для работы с элементами ИТ-инфраструктуры и безопасности.
Поддерживаются такие системы как: Kubernetes, Argo CD, Flux CD, Terraform, Kyverno, Trivy, Kingfisher и многие другие.
Для каждой из поддерживаемых систем определён набор skills и возможностей.
Например, можно создавать, тестировать и проводить аудит политик Kyverno. Или мигрировать их на новый CEL-синтаксис.
Запускать сканирования Trivy, осуществлять поиск проблем и их причин в кластере Kubernetes, создавать роли т.д.
Полный перечень доступных команд можно найти в файле COMMANDS.md.
Указанный набор skills доступен для GitHub Copilot, Claude Code, Codex, Cursor.
Больше информации о возможностях skills, их устройстве, запуске и результатах работы можно найти в GitHub-репозитории проекта.
GitHub
GitHub - nitinjain999/platform-skills: A platform engineering handbook covering Kubernetes, OpenShift, Argo CD, Flux CD, AWS, Azure…
A platform engineering handbook covering Kubernetes, OpenShift, Argo CD, Flux CD, AWS, Azure, Terraform, and GitHub Actions — with an optional Claude plugin layer for interactive guidance. - nitinj...
👍3👎2🖕2
AI Coding Agent Security Benchmark
Всем привет!
Команда Endor Labs задалась вопросом насколько хорошо AI пишет безопасный код.
Для этого они провели анализ 13 агентов и моделей с использованием SusVibes Benchmark.
200 задач из 108 open-source проектов, написанных на Python. При этом измерялась не только безопасность, но и корректное (ожидаемое) функционирование результата.
Из ключевых результатов можно отметить:
🍭 Существует «разрыв» между корректным функционированием и безопасностью
🍭 Модели стали сильно лучше писать код с точки зрения работоспособности, но не безопасности
🍭 Агенты «жульничают» 😅 Да, бывало так, что они просто находили подходящее решение вместо reasoning
🍭 Одна и та же модель может вести себя по-разному при работе с разными агентами
🍭 Та модель, что лучше всех справляется с функциональной частью может быть не самой лучшей с точки зрения ИБ
И это далеко не всё, что есть в исследовании. Рассматривались следующие модели: Claude Sonnet, Kimi, Gemini, GPT.
Кто и в чём победил?Ответы есть в статье, как и множество деталей о проведённой работе.
Рекомендуем к ознакомлению!
P.S. Материал опубликован в апреле и уточнён в мае 2026 года. Это важно учитывать, ведь, увы, подобные исследования «устаревают» достаточно быстро.
Но! Это не делает их менее интересными ☺️
Всем привет!
Команда Endor Labs задалась вопросом насколько хорошо AI пишет безопасный код.
Для этого они провели анализ 13 агентов и моделей с использованием SusVibes Benchmark.
200 задач из 108 open-source проектов, написанных на Python. При этом измерялась не только безопасность, но и корректное (ожидаемое) функционирование результата.
Из ключевых результатов можно отметить:
🍭 Существует «разрыв» между корректным функционированием и безопасностью
🍭 Модели стали сильно лучше писать код с точки зрения работоспособности, но не безопасности
🍭 Агенты «жульничают» 😅 Да, бывало так, что они просто находили подходящее решение вместо reasoning
🍭 Одна и та же модель может вести себя по-разному при работе с разными агентами
🍭 Та модель, что лучше всех справляется с функциональной частью может быть не самой лучшей с точки зрения ИБ
И это далеко не всё, что есть в исследовании. Рассматривались следующие модели: Claude Sonnet, Kimi, Gemini, GPT.
Кто и в чём победил?
Рекомендуем к ознакомлению!
P.S. Материал опубликован в апреле и уточнён в мае 2026 года. Это важно учитывать, ведь, увы, подобные исследования «устаревают» достаточно быстро.
Но! Это не делает их менее интересными ☺️
Endorlabs
Agent Security League: Evaluating the Security of AI-Coded Software | Ebook/Report | Endor Labs
AI-generated code passes tests but fails security. This report benchmarks agents, exposing a persistent gap between functional correctness and secure outcomes.
🤡2❤1👍1
Удаление чувствительных данных из журналов событий
Всем привет!
Утечки конфиденциальных данных при разработке ПО не редкость. Данные могут попасть в исходные коды, конфигурационные файлы, сообщения commit и не только.
Не стоит забывать о том, что конфиденциальные данные могут быть разглашены и во время эксплуатации ПО.
Например, через журналы событий: либо так настроен уровень сбора данных, либо просто «забыли это поправить».
Чтобы удалить все «ненужные данные» можно воспользоваться PII-Shield. Эта утилита помогает решить проблему при работе с Kubernetes.
Работает достаточно просто: sidecar, который «перехватывает»
PII-Shield может найти секреты (API-ключи, сертификаты, логины/пароли), телефонные номера.
При необходимости можно добавлять собственные regex-правила.
Помимо поиска «по шаблонам» добавлена возможность идентификации чувствительных данных через анализ энтропии.
Подробнее об утилите (установка, настройка, интеграция с различными системами, описание возможностей) можно прочесть в GitHub-репозитории или на официальном сайте.
Всем привет!
Утечки конфиденциальных данных при разработке ПО не редкость. Данные могут попасть в исходные коды, конфигурационные файлы, сообщения commit и не только.
Не стоит забывать о том, что конфиденциальные данные могут быть разглашены и во время эксплуатации ПО.
Например, через журналы событий: либо так настроен уровень сбора данных, либо просто «забыли это поправить».
Чтобы удалить все «ненужные данные» можно воспользоваться PII-Shield. Эта утилита помогает решить проблему при работе с Kubernetes.
Работает достаточно просто: sidecar, который «перехватывает»
stdout/stderr, анализирует записи на наличие чувствительных данных и удаляет их.PII-Shield может найти секреты (API-ключи, сертификаты, логины/пароли), телефонные номера.
При необходимости можно добавлять собственные regex-правила.
Помимо поиска «по шаблонам» добавлена возможность идентификации чувствительных данных через анализ энтропии.
Подробнее об утилите (установка, настройка, интеграция с различными системами, описание возможностей) можно прочесть в GitHub-репозитории или на официальном сайте.
GitHub
GitHub - pii-shield/pii-shield: Zero-code K8s sidecar for log sanitization. Detects secrets via Entropy Analysis, preserves JSON…
Zero-code K8s sidecar for log sanitization. Detects secrets via Entropy Analysis, preserves JSON integrity, and redacts PII deterministically. 🛡️ - pii-shield/pii-shield
❤1
Генерация подозрительных событий
Всем привет!
По ссылке можно найти репозиторий с утилитой, которая позволяет генерировать подозрительные события.
Цель проста – проверять то, насколько используемые средства защиты смогут их идентифицировать.
Репозиторий создан для Falco, но это не мешает использовать его и для других систем.
Глобально события делятся на:
🍭 Syscals. Изменений привилегий, создание файлов, запуск процессов, чтение данных и т.д.
🍭 Kubernetes. Создание привилегированных ролей, создание
Можно запускать генерацию как для всех событий, так и для выбранного «набора».
Подробнее о возможностях утилиты можно прочесть в GitHub-репозитории.
Важно (!): event-generator рекомендуется запускать в изолированной среде, т.к. некоторые команды могут изменить настройки системы (например, изменение файлов в
Всем привет!
По ссылке можно найти репозиторий с утилитой, которая позволяет генерировать подозрительные события.
Цель проста – проверять то, насколько используемые средства защиты смогут их идентифицировать.
Репозиторий создан для Falco, но это не мешает использовать его и для других систем.
Глобально события делятся на:
🍭 Syscals. Изменений привилегий, создание файлов, запуск процессов, чтение данных и т.д.
🍭 Kubernetes. Создание привилегированных ролей, создание
pod с небезопасными mounts, создание ServiceAccount и т.д.Можно запускать генерацию как для всех событий, так и для выбранного «набора».
Подробнее о возможностях утилиты можно прочесть в GitHub-репозитории.
Важно (!): event-generator рекомендуется запускать в изолированной среде, т.к. некоторые команды могут изменить настройки системы (например, изменение файлов в
/bin, /etc, /dev и т.д.)GitHub
GitHub - falcosecurity/event-generator: Generate a variety of suspect actions that are detected by Falco rulesets
Generate a variety of suspect actions that are detected by Falco rulesets - falcosecurity/event-generator
❤5
Vulnerable Bank Application!
Всем привет!
Да, всё так! Ещё одно «заведомо уязвимое приложение»!
На этот раз «эмулятор банка»: AuthN/Z, переводы денежных средств, аналитика транзакций, наличие API с merchant и многое другое!
И много-много-много уязвимостей, сгруппированных по типам:
🍭 Уязвимости AuthN/Z
🍭 Безопасность данных
🍭 Операции с файлами
🍭 Уязвимости виртуальных карт
🍭 Уязвимости в AI Customer Support и не только
Полный перечень того, что можно найти «внутри», представлен в GitHub-репозитории проекта.
Также доступно небольшое руководство, которое поможет решить задания.
Запустить всё можно локально, а если хочется посмотреть, как выглядит Vulnerable Bank Application, то можно пройти по ссылке.
Важно (!): исключительно в образовательных целях и не для чего больше ☺️
Всем привет!
Да, всё так! Ещё одно «заведомо уязвимое приложение»!
На этот раз «эмулятор банка»: AuthN/Z, переводы денежных средств, аналитика транзакций, наличие API с merchant и многое другое!
И много-много-много уязвимостей, сгруппированных по типам:
🍭 Уязвимости AuthN/Z
🍭 Безопасность данных
🍭 Операции с файлами
🍭 Уязвимости виртуальных карт
🍭 Уязвимости в AI Customer Support и не только
Полный перечень того, что можно найти «внутри», представлен в GitHub-репозитории проекта.
Также доступно небольшое руководство, которое поможет решить задания.
Запустить всё можно локально, а если хочется посмотреть, как выглядит Vulnerable Bank Application, то можно пройти по ссылке.
Важно (!): исключительно в образовательных целях и не для чего больше ☺️
GitHub
GitHub - Commando-X/vuln-bank: A deliberately vulnerable banking application designed for practicing Security Testing of Web App…
A deliberately vulnerable banking application designed for practicing Security Testing of Web App, APIs, AI integrated App and secure code reviews. Features common vulnerabilities found in real-wor...
🔥6
Wardline: Control Plane for AI Agents
Всем привет!
Не важно, как это называется – AI Gateway или Control Plane for AI Agents.
Суть одна – некоторый «proxy», который позволяет контролировать то, что делают агенты.
Wardline – ещё один open-source пример реализации подобной концепции.
Он перехватывает запросы, определяет identity, применяет политики, оценивает потенциальный «бюджет» и пытается идентифицировать аномалии.
Все результаты его действий записываются в журнал.
Политики можно писать в разных форматах:
В качестве контролирующий действий можно выбрать:
Помимо этого, Wardline поддерживает множество разных возможностей, среди которых: SSO, контроль доступа с использованием RBAC, возможность создания approval-правил и т.д.
Всё это описано в официальной документации на решение.
Результаты работы можно смотреть в графическом web-интерфейсе.
Кстати, если хочется посмотреть как всё это выглядит, можно запустить
Всем привет!
Не важно, как это называется – AI Gateway или Control Plane for AI Agents.
Суть одна – некоторый «proxy», который позволяет контролировать то, что делают агенты.
Wardline – ещё один open-source пример реализации подобной концепции.
Он перехватывает запросы, определяет identity, применяет политики, оценивает потенциальный «бюджет» и пытается идентифицировать аномалии.
Все результаты его действий записываются в журнал.
Политики можно писать в разных форматах:
YAML, OPA/Rego и Cedar. В качестве контролирующий действий можно выбрать:
allow, deny, throttled (превышение «бюджета»), blocked (identity заблокирована при анализе аномалий) и не только.Помимо этого, Wardline поддерживает множество разных возможностей, среди которых: SSO, контроль доступа с использованием RBAC, возможность создания approval-правил и т.д.
Всё это описано в официальной документации на решение.
Результаты работы можно смотреть в графическом web-интерфейсе.
Кстати, если хочется посмотреть как всё это выглядит, можно запустить
/demo/run.sh, который «поставляется» вместе с Wardline.GitHub
GitHub - kabirnarang39/wardline: Open source control-plane proxy for AI agents: identity, policy, budget, audit for MCP and beyond
Open source control-plane proxy for AI agents: identity, policy, budget, audit for MCP and beyond - kabirnarang39/wardline
❤2
Inference в Kubernetes
Всем привет!
Запуск LLM в Kubernetes. Отличается он чем-то от запуска LLM в иных средах? Если да, то чем? Какие могут быть нюансы?
Если вам интересны ответы на эти вопросы, то рекомендуем прочесть статью, в которой Автор разбирает этот вопрос.
Всё начинается с основ: как вообще формируется Inference? Кратко описываются этапы Tokenization, Prefill, Decode.
Получается, что нужно нечто, что загрузит модель, будет управлять памятью и запросами по мере их поступления. Так Автор плавно подходит к vLLM.
И дальше начинается самое интересное:
🍭 Подготовка кластера Kubernetes
🍭 Выбор модели, которая будет использоваться
🍭 Установка модели, конфигурация ресурсов Kubernetes
🍭 Небольшая настройка и использование
Каждый этап сопровождается комментариями и примерами. Но и это ещё не все!
После установки модели Автор развивает идею и настраивает взаимосвязь между Agentgateway и vLLM.
В итоге получилась отличная базовая статья, которая на простых примерах поясняет как и что работает.
А что ещё лучше – её вполне можно воспроизвести для собственных экспериментов ☺️
Всем привет!
Запуск LLM в Kubernetes. Отличается он чем-то от запуска LLM в иных средах? Если да, то чем? Какие могут быть нюансы?
Если вам интересны ответы на эти вопросы, то рекомендуем прочесть статью, в которой Автор разбирает этот вопрос.
Всё начинается с основ: как вообще формируется Inference? Кратко описываются этапы Tokenization, Prefill, Decode.
Получается, что нужно нечто, что загрузит модель, будет управлять памятью и запросами по мере их поступления. Так Автор плавно подходит к vLLM.
И дальше начинается самое интересное:
🍭 Подготовка кластера Kubernetes
🍭 Выбор модели, которая будет использоваться
🍭 Установка модели, конфигурация ресурсов Kubernetes
🍭 Небольшая настройка и использование
Каждый этап сопровождается комментариями и примерами. Но и это ещё не все!
После установки модели Автор развивает идею и настраивает взаимосвязь между Agentgateway и vLLM.
В итоге получилась отличная базовая статья, которая на простых примерах поясняет как и что работает.
А что ещё лучше – её вполне можно воспроизвести для собственных экспериментов ☺️
Jubril
So you want to run Inference on Kubernetes?
Running CPU and GPU inference on Kubernetes with vLLM, Agentgateway and Prometheus, with measured throughput comparisons.
🔥3
AI Atlassian Playbook.pdf
17.6 MB
AI SDLC Transformation Playbook
Всем привет!
Из приложения можно скачать playbook (~ 17 страниц), в котором описываются подходы и практики использования AI при разработке в Atlassian.
Материал содержит разделы:
🍭 Making the shift to AI-native SDLC
🍭 Traditional vs AI-native SDLC workflows
🍭 Platform investments
🍭 Workflow shifts
🍭 Navigating change
Кратко описывается что именно изменилось в Atlassian с появлением AI на разных этапах разработки ПО: Planning, Design, Development, Review и Maintenance.
Отдельно рассматриваются вопросы получения контекста, чтобы это «работало». Например, в Atlassian создали свой собственный «context engine» - Teamwork Graph – который объединяет более 50 систем.
Явных «инструкций и алгоритмов» вы не найдёте, но это даже хорошо.
Сам подход и изменения описаны в достаточной степени, чтобы адаптировать его под собственные нужды.
Всем привет!
Из приложения можно скачать playbook (~ 17 страниц), в котором описываются подходы и практики использования AI при разработке в Atlassian.
Материал содержит разделы:
🍭 Making the shift to AI-native SDLC
🍭 Traditional vs AI-native SDLC workflows
🍭 Platform investments
🍭 Workflow shifts
🍭 Navigating change
Кратко описывается что именно изменилось в Atlassian с появлением AI на разных этапах разработки ПО: Planning, Design, Development, Review и Maintenance.
Отдельно рассматриваются вопросы получения контекста, чтобы это «работало». Например, в Atlassian создали свой собственный «context engine» - Teamwork Graph – который объединяет более 50 систем.
Явных «инструкций и алгоритмов» вы не найдёте, но это даже хорошо.
Сам подход и изменения описаны в достаточной степени, чтобы адаптировать его под собственные нужды.
💩2👍1