Подборка материалов по DevSecOps от Кирилла Баранова и Максима Короткова, инженеров по информационной безопасности.

Забирайте себе и делитесь с коллегами.

🔘 Статьи:

Методика поиска уязвимостей в программном обеспечении, написанном на нескольких языках программирования
В работе описана разработанная методика для поиска уязвимостей в программном обеспечении, написанном на нескольких языках программирования (С, С++, Java, Python, Go).

В ходе ее разработки проведен анализ всех автоматически обнаруживаемых детекторов в программах на этих языках и элементов их конструкций, подлежащих анализу. Исследование выполнено с использованием статического анализатора Svace.

DevSecOps: принципы работы и сравнение SCA
Статья посвящена сравнению инструментов анализа состава ПО (Software Composition Analysis, SCA) в DevSecOps: OWASP Dependency Check, Dependency Track и коммерческого Sonatype Nexus IQ.

Использование инструментов композиционного анализа
Статья посвящена композиционному анализу ПО как одному из методов обеспечения безопасности при разработке. Композиционный анализ выполняется на этапе сборки приложения, исследуя все сторонние компоненты и их зависимости по базам известных уязвимостей. В статье есть дорожная карта внедрения.

🔘 Книги:

Эндрю С. Таненбаум и Херберт Бос «Современные операционные системы. 4-е издание»
Настольная книга для всех, кто серьезно изучает компьютерные науки. Уникальное сочетание классической теории и современной практики, написанное признанными экспертами живым языком.

SEI CERT C Coding Standard (2016 Edition)
Набор правил и рекомендаций для написания безопасного, надежного и защищенного кода на C, который минимизирует количество уязвимостей и неопределенного поведения.

Брайан Уорд «Внутреннее устройство Linux. 3-е издание»
Практическое руководство, которое последовательно раскрывает принципы работы операционной системы Linux — от командной строки до глубинных механизмов ядра и подсистем. 

Джульен Вехен «Безопасный DevOps. Эффективная эксплуатация систем»
Практическое руководство о том, как встроить безопасность в современные процессы разработки и эксплуатации программного обеспечения.

🔘 Дополнительные материалы по безопасной разработке:

Многоуровневый статический анализ исходного кода для обеспечения качества программ
Статический анализ исходного кода является одним из ключевых методов поиска дефектов. В работе рассмотрены инструменты статического анализа для языков С, С++, Java, C#. Материал на правах рукописи, автор: Белеванцев А.А.

Путеводитель C++ программиста по неопределенному поведению
Коллекция примеров и описаний ситуаций на языках C и C++, приводящих к неопределенному поведению. Ценный, хотя и неофициальный ресурс. Автор: Дмитрий Свиридкин.

🔹 🔹 🔹

Уже читали это? Круто, нам как раз нужен инженер ИБ с сильной базой в C: знающий C99 и SEI CERT C и с опытом анализа кода и поиска уязвимостей, умеющий читать Go-код и работать с SAST/SCA.

Присылайте резюме, очень ждем.
#польза

Не хотите, чтобы ваш ИИ-агент удалил базу данных со всеми бэкапами? Тогда смотрите эфир с руководителем нашего ML-отдела Савелием Батуриным.

На стриме у Владимира Невзорова Савелий рассказал:

☑️ Чем LLM-агенты отличаются от чат-ботов.

☑️ Зачем нужен MCP.

☑️ Почему большой контекст иногда ухудшает качество ответа.

☑️ Как маскировать лишние результаты и сжимать диалог.

☑️ Где мультиагенты действительно полезны, а где превращаются в оверинжиниринг.

☑️ Как агенты могут работать с PostgreSQL: искать данные, уточнять требования, документировать схемы, анализировать запросы и помогать с администрированием БД.

Полезно разработчикам, инженерам, DBA и архитекторам, которые хотят применять агентов в работе с кодом, данными и инфраструктурой.

🎦 Youtube
#польза

Иногда DevRel рассказывает про тестирование, а иногда — вывозит на митап инженерную легенду на колесиках.

На встрече Piter QA #2 x Postgres Pro Александр Фатин выступил с докладом «BiBiHa на колесиках: зачем мы построили железный стенд в мире контейнеров, подов и виртуалок».

Но главный герой этой истории — не доклад, а тот самый стенд для тестирования BiHA. Его придумал и собрал Кирилл Калашников, главный QA в команде BiHA.

И получился инженерный артефакт: люди подходили, рассматривали, фоткались, задавали вопросы и хотели понять, как эта штука устроена.

Суть простая: виртуалки, поды и контейнеры удобны, но не всегда дают проверить поведение системы, как надо. Поэтому команда построила железный стенд, на котором тесты ближе к реальной инфраструктуре: со своими ограничениями, отказами, нюансами и честной физикой.

Саша, это было интересно. Кирилл, это было красиво.

Пруфы:

🎦 Youtube

🎦 Rutube

Приведет ли ИИ к массовому увольнению программистов? Сколько автотестеров можно заменить одной подпиской на ChatGPT? Кто быстрее лишится работы — администраторы баз данных или рентгенологи?

Ответы во 2 выпуске подкаста «Слон в IT-лавке» с гендиром Postgres Professional Иваном Панченко.

В гостях:

➖Руководитель отдела машинного обучения Савелий Батурин

➖Инженер по тестированию Виталий Ефимов

Смотрите полный выпуск:

📺 Youtube

📺 Rutube

📺 ВК Видео

🎧 Яндекс-музыка

Чем занимается редактор нашего блога на Хабре? Сначала он целый год бегает за авторами, чтобы они написали статьи, а потом еще 4 месяца, чтобы вручить мерч.

У нас на Хабре уже 140 000 подписчиков. Блог растет, как и команда авторов.

Если еще не подписаны, подписывайтесь прямо сейчас.

Вот вам 5 причин:

1️⃣ Выпустили «PostgreSQL. Профессиональный SQL» для тех, кто хочет лучше понять «слона»
Как написать крутую статью и попасть в топ по прочтениям? Изи. Сначала надо написать крутую книгу, а уже про нее — статью на Хабр.

2️⃣ Мы научились переносить базу данных с Oracle на Postgres Pro со скоростью 41 ТБ/сутки
Чтобы прочитать эту статью, нужно 4 минуты. За это время мы можем перенести с Oracle на Postgres Pro 116 ГБ данных.

3️⃣ Как мы под Новый Год загрузили в PostgreSQL петабайт данных и что из этого вышло
Статья, которую автор написал на прошлых майских праздниках. Про что? Про то, как он работал на прошлых новогодних праздниках.

4️⃣ Русский след в истории логотипа PostgreSQL
История слоника начинается в прошлом веке. Многие наши авторы тогда еще даже не родились, а Олег Бартунов сохранил переписку из тех времен. Это статья-расследование со скринами писем, которым 30 лет.

5️⃣ Уже через год мы будем общаться с базами данных по-русски
Статья вышла в марте 2025. Прошло больше года. Если вы все еще не общаетесь с базами по-русски, напишите в комментах, почему? Будем разбираться.

DevOps — не технология, а целый набор инженерных навыков: сети, облака, контейнеры, автоматизация и умение спокойно смотреть на горящий прод.

Собрали подборку для тех, кто хочет разобраться в профессии, подтянуть базу или расти дальше.

☑️ Начало
DevOps Roadmap — удобная карта профессии. Помогает понять, чем занимается DevOps-инженер, какие темы нужно знать и как они связаны между собой.

☑️ Сети
Видеообзор про базовые сетевые концепции, без которых сложно разбираться в инфраструктуре.

☑️ Облака
AWS Architecture Center — про облачную архитектуру, отказоустойчивость, масштабирование и безопасность.

☑️ Docker
Видеообзор про контейнеры, образы и базовую механику Docker.

☑️ Kubernetes
Видеообзор про кластеры, поды, сервисы и деплои. Из книг можно посмотреть Cracking the Kubernetes Interview. Но с книгами по DevOps есть нюанс: технологии быстро устаревают. Поэтому книги лучше брать для базы, а детали добирать из документации, статей и практики.

☑️ Terraform
Видеообзор про инфраструктуру как код.

☑️ CI/CD и практика
Есть хороший гайд и обсуждение на русском языке. Заодно стоит подписаться на канал: там много практической повестки DevOps без лишней теории.

☑️ Статьи
На Хабре много сильных материалов по DevOps, SRE, Kubernetes, мониторингу и инфраструктуре. Удобнее искать через Google точечными запросами, например:

victoria metrics streaming aggregation site:habr.com

Так проще найти глубокие статьи по нужной теме.

Хороших выходных, слоники! 🐘
#польза

⚡️ Приходите завтра, 21 мая в Питере на митап «Гонка за производительностью: нагрузочное тестирование СУБД».

Собрали с партнерами спикеров, чтобы поговорить про реальные проблемы высоконагруженных систем, мониторинг, профили нагрузки и поиск узких мест.

Наш коллега Дмитрий Новицкий выступит с докладом «Детектив 1С:ERP на 30 000 пользователей».

Это разбор нагрузочного тестирования крупной системы: от подготовки стенда и автоматизации тестов до настройки Postgres Pro Enterprise под 1С и поиска причин деградации производительности.

Еще в программе:

☑️ Сравнение тестового профиля с продом.

☑️ Разбор SQL-топов и мониторинга нагрузки.

☑️ PostgreSQL в условиях жестких инфраструктурных ограничений.

☑️ Эволюция инструментов нагрузочного тестирования: от ручных подходов до современных платформ.

Где и когда:

⏰ 21 мая, четверг, 19:00-21:30

📍 Санкт-Петербург, Артиллерийская 1, офис ИнфоТеКС

🔗 Участие бесплатное, регистрируйтесь.

Приходите 27 мая в Нижнем Новгороде на митап «Мастерская Базы Данных» — встречу для тех, кто работает с базами данных, пишет для них код, отвечает за производительность и строит аналитику.

В программе технические темы от экспертов ГНИВЦ и Postgres Professional: аналитика на Postgres Pro AXE, выполнение запросов, тестирование кода в БД, разработка для PostgreSQL и Oracle.

Наш коллега Денис Гидин расскажет, как колоночный векторный движок Postgres Pro AXE ускоряет аналитические запросы и в каких сценариях дает максимальный эффект. В фокусе конкретные инженерные вопросы:

☑️ Как устроены формат и структура хранения данных.

☑️ Какие интеграционные возможности есть у Postgres Pro AXE.

☑️ Как строить аналитические витрины.

☑️ Как меняется производительность запросов.

☑️ Как доставлять изменения из источников.

Будет демонстрация и живой разбор: что происходит внутри, за счет чего Postgres Pro AXE ускоряет аналитику и где его возможности особенно полезны.

⏰ 27 мая, среда, 18:30-22:00

📍 Нижний Новгород, площадка Горький_Тех, ул. Алексеевская 6/16, БЦ «Корнер Плейс», этаж 1

Бронируйте места заранее, их мало. Регистрация обязательна.

Учиться или не учиться? Придется ли на первой на работе забыть все, что учили в вузе? Почему поиск работы похож на дейтинг?

Разбираемся в третьем выпуска подкаста «Слон в IT-лавке» с генеральным директором Postgres Professional Иваном Панченко.

В гостях:

➖ Ксения Замуховская, директор по персоналу Postgres Professional.

➖ Денис Каминский, сооснователь FutureToday — агрегатора стажировок и лидерских программ для студентов и выпускников.

В подкасте:

☑️ Почему программы вузов не успевают за скоростью развития ИТ?

☑️ Откуда браться сеньорам, если рынок больше не нанимает джунов?

☑️ Как ИИ меняет набор базовых навыков для программистов?

☑️ Зачем в вузах нужен продуктовый подход?

☑️ Что важнее — учить продуктам и технологиям или учить учиться?

Смотрите и слушайте, где удобно:

📺 Youtube

📺 Rutube

📺 ВК Видео

🎧 Яндекс-музыка

🍏 Apple Podcasts

За 1 час узнаете, что происходит с наймом в ИТ сегодня и что с ним будет через 10 лет.

📢 Читайте нас в MAX