1807
Чат для обсуждения DevSecOps и постов канала @sec_devops Вакансии: @appsec_job Услуги: https://radcop.online/
можно ориентироваться на посты RoryMcCune. он там рассказывал как можно натянуть проверки в кубе под pci dss /channel/k8security/708
так ещё есть небольшой пак https://github.com/nirmata/kyverno-policies/tree/main/pci-dss
Ну, я только использовал жар сгинер из состава ждк.
Ну, суть же та же
а как ты проверяешь потом джары?
Читать полностью…
Ну типа вот так, если про докеры говорить.
А джары - там никакой магии нет и жарсигнера достаточно
на ум ток аттест_файлы приходят которые опять же сбоку лежат
Читать полностью…
https://docs.oracle.com/javase/8/docs/technotes/tools/windows/jarsigner.html
Читать полностью…
AI Security Newsletter
В свете текущих тенденций мы всё чаще пишем о синергии AI и безопасности. История про автоматизацию ИБ с помощью ИИ - это не только способ преодолеть пресловутый дефицит кадров (который, если смотреть исторически существовал, кажется, всегда: что во времена индустриализации 30х годов 20 века; что времена средних веков и аграрного хозяйства, что...), но и возможность реализовать пресловутый риск-ориентированный подход и гибкость системы защиты на практике (именно за счет применения ИИ, и высокоскоростной аналитики событий, журналов, изменений, угроз и т.д. мы впервые в истории получаем объективную возможность попытаться выстроить достаточно взвешенный подход к управлению ИБ организации).
В этот раз мы решили не мелочиться и предлагаем ознакомиться с пакетом материалов, который мы нашли за последние несколько недель.
1). jthack/ffufai – расширение для известного фазера ffuf, которое предлагает варианты файловых расширений для тестирования на основе предоставленного URL и заголовков. В основе используется выбор между OpenAI и Anthropic;
2). Using AI for Offensive Security - материал от Cloud Security Aliance о применении AI в OffSec, включая методики reconnaissance, scanning, vulnerability analysis, exploitation, и reporting.
3). The tech behind Semgrep Assistant’s triage and remediation guidance – статья о том, как работает AI Assistant от Semgrep. Используемый LLM помогает предложить варианты исправления уязвимостей в PR. Semgrep пошли дальше и предоставили клиентам своей enterprise-версии возможность автоматически генерировать правила на базе их движка, используя промпт.
4). Provisioning cloud infrastructure the wrong way, but faster - статья посвящена рискам использования LLM для генерации небезопасного Terraform-кода. Одной из проблем является то, что ИИ может сгенерировать инструкции для создания виртуальных машин с захардкоженными паролями, далеких от соответствия корпоративным политикам безопасности. В качестве примера в статье приведён пароль "P@ssw0rd1234!", предложенный ИИ при создании VM. Это происходит потому, что ИИ использует метод "следующего наиболее вероятного токена" для генерации текста, который не подразумевает полноценную рандомизацию, делая пароли предсказуемыми. Примечательно, что даже при использовании скриптов, созданных с помощью ChatGPT, пароли генерируются через небезопасный метод random...
5). TL;DR: Every AI Talk from BSidesLV, Black Hat, and DEF CON 2024. Подборка материалов по AI и security с конференций BSidesLV, Black Hat USA, DEF CON, проводимых в 2024 году (больше 60 докладов).
#ai
А чем тебе Алекс не нравится?
Читать полностью…
https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
Он короткий всего 32 страницы (для нист дока это прям лаконично) но при этом описано доступным языком и с должной системнойстью. Правильный уровень детализации что бы на примере рассказывать всякие ИБ стратегии сеньор менеджменту за пределами ИБ
Когда самопровозгласил себя CISO слишком рано и приходится придумывать Mega-CISO (5+/3) 😄
Читать полностью…
cyberesilienceuae/the-taxonomy-of-ciso-roles-01580dac8c46" rel="nofollow">https://medium.com/@cyberesilienceuae/the-taxonomy-of-ciso-roles-01580dac8c46
Читать полностью…
За доказательство того, что в людях "куда больше астрологии", чем они думают в 2002, кажется, году Канеман нобелевку получил (даже у топовых "рациональных" экспертов)...
Читать полностью…
Как же ты ультанул с этими стикерами)
Читать полностью…
Спасибо! Теперь я знаю, что делать ! Куплю звезды 🌟 оптом и в розницу
Читать полностью…
/start@antispamname_bot
Читать полностью…
Ктонть видел готовые политики kyverno для NIST\PCI DSS
?))
https://www.ssl.com/how-to/cloud-code-signing-integration-with-github-actions/
Читать полностью…
эт почти победили
ну ок
seifeddinerajhi/sign-and-verify-container-images-with-cosign-and-kyverno-a-complete-guide-b32b1f6e6264" rel="nofollow">https://medium.com/@seifeddinerajhi/sign-and-verify-container-images-with-cosign-and-kyverno-a-complete-guide-b32b1f6e6264
Читать полностью…
аха, его смотрю, думал может еще какой лайфхак есть
еще момент как верифицировать подпись при сборке имаджа из докерфайла
ктонть jar\бинари подписывает?чем?
хочется добавлять инфу прям в артефакт, а не тащить отдельным файлом (.sig как у cosign)
всем привет)))
есть причины, не для чата, хочешь в личку
Читать полностью…
Но кстати, там в конце ссылка на нист CSF 2.0, я только недавно добрался, мне прям понравилось почему-то
Читать полностью…
Думаю людям интересно будет. Там про роли и какие функции выполнять должны.
Да, жаль что не по РФ оно 🙄
когда название книги переводили маркетологи
Читать полностью…
странная методика выбора репы - по звёздам.
это больше на астрологию похоже, чем на разработку.
3.7 Million Fake GitHub Stars
«Чем больше количественный социальный индикатор используется для принятия решений, тем сильнее он подвержен коррупционному давлению и тем выше вероятность, что он исказит и разрушит социальные процессы, которые должен отслеживать» (Закон Кэмпбелла).
/start@antispamname_bot
Читать полностью…