Привет, Хабр! В конце апреля команда CyberCamp провела митап, посвященный DevSecOps. Наше путешествие началось у острова композиционного анализа, потом мы прошли между Сциллой и Харибдой защиты контейнеров и мобильных приложений, а затем отправились исследовать другие направления DevSecOps. В этом посте собрали полный плейлист выступлений: Кирилл Бочкарев, архитектор инфраструктуры информационной безопасности, «Инфосистемы Джет» В своем докладе Кирилл рассказал, как команда «Инфосистемы Джет» проводит аудиты и почему вообще важна безопасность в разработке. В докладе Кирилл представил фреймворк  и объяснил, из каких компонентов состоит наша методика оценки.  Алексей Смирнов, основатель CodeScoring, Profiscope В докладе Алексей рассказал о том, что такое цепочка поставки, и про то, как обеспечить безопасность на каждом ее этапе. По словам спикера, количество известных атак на цепочки поставки за прошлый год выросло в 13 раз. По статистике, экспертами по безопасности выявляется более 500 вредоносных пакетов каждый месяц. В докладе Алексей разобрал на примерах эффективные способы защиты компонентов цепочки поставки. Юрий Шабалин, генеральный директор Стингрей Технолоджиз, ведущий архитектор Swordfish В своем докладе Юрий рассказал о распространенных заблуждениях, касающихся безопасности мобильных приложений, и о наиболее часто встречавшихся в 2022 году уязвимостях: небезопасном хранении данных, ключах от сторонних сервисов, локальной проверке пин-кода, обходе биометрической аутентификации, Flutter. Также спикер поделился, какие техники лучше применять для поиска самых критичных проблем безопасности. Данил Кокорин, веб-разработчик отдела заказной разработки, «Инфосистемы Джет» В докладе Данил рассказал о том, что из себя представляют веб-уязвимости, и об этапах создания безопасного ПО. В качестве примера Данил привел три основных уязвимости — SQL-инъекции, межсайтовый скриптинг (XSS), подделка межсайтовых запросов (CSRF) — и рассказал о способах защиты от них. Во второй части доклада спикер рассказал о том, почему важно проводить чекап и тестирование ПО на этапах создания и какими инструментами для этого можно пользоваться. Дмитрий Евдокимов, Founder&CTO, Luntry В докладе Дмитрий рассказал об основных средствах защиты Kubernetes. По словам спикера, среди средств защиты кластеров есть как пересечения с привычными СЗИ, так и уникальные инструменты. Дмитрий рассказал, как и где в Кубере лучше реализовывать тот или иной слой безопасности, как правильно подойти к планированию защитных механизмов. Алина Князева, руководитель направления AppSec Дзена, VK Доклад Алины был посвящен опыту построения процесса безопасного производства в крупной корпорации. Команде необходимо было построить безопасность в компании с большим количеством продуктов и при этом найти баланс между бизнесом и информационными технологиями. Алина рассказала об опыте создания трех платформ ИБ, которые работают в режиме Self-Service для команд и продуктов под единой интеграционной шиной с возможностью анализа данных в реальном времени. Все презентации спикеров мы собрали здесь.  По нашей традиции в рамках митапа любой желающий мог бесплатно попрактиковаться на платформе киберучений. В этот раз участникам необходимо было найти уязвимости в Open Source компонентах, нырнуть в исходный код приложения и разобраться с подозрительным потреблением ресурсов контейнера. Ребята, которые выполняли задания попали в рейтинг.  Сквозной рейтинг по итогам трех митапов можно найти здесь. Что такое CyberCamp и как он проходил в прошлом году, смотрите здесь. Чтобы не пропустить анонсы следующих митапов, подписывайтесь на канал CyberCamp в Телеграм.