😀😀😀 «срочно» и «позавчера» — не статус задачи, а крик души редактора канала.

Подборка материалов по DevSecOps от Кирилла Баранова и Максима Короткова, инженеров по информационной безопасности.

Забирайте себе и делитесь с коллегами.

🔘 Статьи:

Методика поиска уязвимостей в программном обеспечении, написанном на нескольких языках программирования
В работе описана разработанная методика для поиска уязвимостей в программном обеспечении, написанном на нескольких языках программирования (С, С++, Java, Python, Go).

В ходе ее разработки проведен анализ всех автоматически обнаруживаемых детекторов в программах на этих языках и элементов их конструкций, подлежащих анализу. Исследование выполнено с использованием статического анализатора Svace.

DevSecOps: принципы работы и сравнение SCA
Статья посвящена сравнению инструментов анализа состава ПО (Software Composition Analysis, SCA) в DevSecOps: OWASP Dependency Check, Dependency Track и коммерческого Sonatype Nexus IQ.

Использование инструментов композиционного анализа
Статья посвящена композиционному анализу ПО как одному из методов обеспечения безопасности при разработке. Композиционный анализ выполняется на этапе сборки приложения, исследуя все сторонние компоненты и их зависимости по базам известных уязвимостей. В статье есть дорожная карта внедрения.

🔘 Книги:

Эндрю С. Таненбаум и Херберт Бос «Современные операционные системы. 4-е издание»
Настольная книга для всех, кто серьезно изучает компьютерные науки. Уникальное сочетание классической теории и современной практики, написанное признанными экспертами живым языком.

SEI CERT C Coding Standard (2016 Edition)
Набор правил и рекомендаций для написания безопасного, надежного и защищенного кода на C, который минимизирует количество уязвимостей и неопределенного поведения.

Брайан Уорд «Внутреннее устройство Linux. 3-е издание»
Практическое руководство, которое последовательно раскрывает принципы работы операционной системы Linux — от командной строки до глубинных механизмов ядра и подсистем. 

Джульен Вехен «Безопасный DevOps. Эффективная эксплуатация систем»
Практическое руководство о том, как встроить безопасность в современные процессы разработки и эксплуатации программного обеспечения.

🔘 Дополнительные материалы по безопасной разработке:

Многоуровневый статический анализ исходного кода для обеспечения качества программ
Статический анализ исходного кода является одним из ключевых методов поиска дефектов. В работе рассмотрены инструменты статического анализа для языков С, С++, Java, C#. Материал на правах рукописи, автор: Белеванцев А.А.

Путеводитель C++ программиста по неопределенному поведению
Коллекция примеров и описаний ситуаций на языках C и C++, приводящих к неопределенному поведению. Ценный, хотя и неофициальный ресурс. Автор: Дмитрий Свиридкин.

🔹 🔹 🔹

Уже читали это? Круто, нам как раз нужен инженер ИБ с сильной базой в C: знающий C99 и SEI CERT C и с опытом анализа кода и поиска уязвимостей, умеющий читать Go-код и работать с SAST/SCA.

Присылайте резюме, очень ждем.
#польза

Не хотите, чтобы ваш ИИ-агент удалил базу данных со всеми бэкапами? Тогда смотрите эфир с руководителем нашего ML-отдела Савелием Батуриным.

На стриме у Владимира Невзорова Савелий рассказал:

☑️ Чем LLM-агенты отличаются от чат-ботов.

☑️ Зачем нужен MCP.

☑️ Почему большой контекст иногда ухудшает качество ответа.

☑️ Как маскировать лишние результаты и сжимать диалог.

☑️ Где мультиагенты действительно полезны, а где превращаются в оверинжиниринг.

☑️ Как агенты могут работать с PostgreSQL: искать данные, уточнять требования, документировать схемы, анализировать запросы и помогать с администрированием БД.

Полезно разработчикам, инженерам, DBA и архитекторам, которые хотят применять агентов в работе с кодом, данными и инфраструктурой.

🎦 Youtube
#польза

Иногда DevRel рассказывает про тестирование, а иногда — вывозит на митап инженерную легенду на колесиках.

На встрече Piter QA #2 x Postgres Pro Александр Фатин выступил с докладом «BiBiHa на колесиках: зачем мы построили железный стенд в мире контейнеров, подов и виртуалок».

Но главный герой этой истории — не доклад, а тот самый стенд для тестирования BiHA. Его придумал и собрал Кирилл Калашников, главный QA в команде BiHA.

И получился инженерный артефакт: люди подходили, рассматривали, фоткались, задавали вопросы и хотели понять, как эта штука устроена.

Суть простая: виртуалки, поды и контейнеры удобны, но не всегда дают проверить поведение системы, как надо. Поэтому команда построила железный стенд, на котором тесты ближе к реальной инфраструктуре: со своими ограничениями, отказами, нюансами и честной физикой.

Саша, это было интересно. Кирилл, это было красиво.

Пруфы:

🎦 Youtube

🎦 Rutube

Приведет ли ИИ к массовому увольнению программистов? Сколько автотестеров можно заменить одной подпиской на ChatGPT? Кто быстрее лишится работы — администраторы баз данных или рентгенологи?

Ответы во 2 выпуске подкаста «Слон в IT-лавке» с гендиром Postgres Professional Иваном Панченко.

В гостях:

➖Руководитель отдела машинного обучения Савелий Батурин

➖Инженер по тестированию Виталий Ефимов

Смотрите полный выпуск:

📺 Youtube

📺 Rutube

📺 ВК Видео

🎧 Яндекс-музыка