Извините, регистрация закрыта. Возможно, на событие уже зарегистрировалось слишком много человек, либо истек срок регистрации. Подробности Вы можете узнать у организаторов события.
24 мая на форуме PHDays VII пройдет очередная встреча Positive Development User Group — сообщества IT-специалистов, стремящихся разрабатывать безопасные приложения. В рамках встречи запланирован восьмичасовой трек, состоящий из мастер-класса по разработке межсетевых экранов и статических анализаторов кода и ряда докладов, посвященных разным аспектам безопасной разработки.
Мероприятие PDUG, ориентированное на разработчиков, пройдет в формате выделенного трека и будет включать в себя:
Встреча бесплатная, но количество мест ограничено. Для участия необходимо подать заявку: https://docs.google.com/forms/d/e/1...
Полная программа трека
10:00 | Мастер-класс Application Security Outback / Трущобы Application Security
Владимир Кочетков, руководитель отдела исследований по анализу защищенности приложений, Positive Technologies
Денис Колегов, руководитель группы исследований технологий защиты, Positive Technologies
Задумывались ли вы когда-нибудь о том, как устроены современные механизмы защиты приложений? Какая теория стоит за реализацией WAF и SAST? Каковы пределы их возможностей? Насколько их можно подвинуть за счет более широкого взгляда на проблематику безопасности приложений?
В ходе мастер-класса будут рассмотрены основные методы и алгоритмы двух основополагающих технологий защиты приложений: межсетевого экранирования уровня приложения и статического анализа кода. На примерах конкретных инструментов с открытым исходным кодом, разработанных специально для этого мастер-класса, будут рассмотрены проблемы, возникающие на пути у разработчиков средств защиты приложений и возможные пути их решения, а также даны ответы на все упомянутые вопросы.
На мастер-классе разработчики и security-ресерчеры смогут убедиться в том, что технологии, стоящие за проблемой защиты приложений, не так уж сложны и, что любой желающий может в разумные сроки разработать свой собственный инструмент, помогающий автоматизировать отдельные, связанные с ней задачи.
11:40 | Кофе-брейк
12:00 | Продолжение мастер-класса Application Security Outback
13:40 | «Автоматизация построения правил для Approof»
Денис Ефремов, Институт системного программирования РАН
Approof — средство проверки веб-приложений на наличие уязвимых компонентов и ошибок конфигураций. В своей работе анализатор основывается на правилах, хранящих сигнатуры искомых компонентов. В докладе рассматривается базовая структура правила для Approof и процесс автоматизации его создания.
14:00 | «Механизмы предотвращения атак в ASP.NET Core»
Михаил Щербаков, независимый разработчик и консультант
Посмотрим на новый веб-фреймворк от Microsoft с точки зрения безопасности. ASP.NET Core является продолжением развития платформы ASP.NET и, в отличие от старшего брата, код его полностью открыт и поддерживается сообществом. Архитектура фреймворка была переосмыслена, появились новые security features, часть существующих сильно переписана. В докладе поговорим об этих различиях и разберем, как теперь работают встроенные механизмы защиты от XSS и CSRF, какие возможности криптографии доступны из коробки, как устроено управление сессиями и др. Доклад будет интересен в первую очередь разработчикам, пишущим защищенные ASP.NET приложения, специалистам, проводящим security review.NET-проектов и всем желающим разобраться в реализации компонентов безопасности на примере этой платформы.
15:00 | «Формальная верификация кода на языке Си»
Денис Ефремов, Институт системного программирования РАН
Доклад посвящен теме разработки корректного программного обеспечения с применением одного из видов статического анализа кода. Будут освещены вопросы применения подобных методов, их слабых сторон и ограничений, а также будут рассмотрены результаты, которые они могут дать. На конкретных примерах показывается, как выглядит разработка спецификаций для кода на языке Си и доказательство соответствия кода спецификациям.
16:00 | «Уязвимое Android-приложение: N проверенных способов наступить на грабли»
Николай Анисеня, специалист отдела исследований безопасности мобильных приложений, Positive Technologies
Немногие разработчики закладывают безопасность в архитектуру приложения на этапе проектирования. Часто для этого нет ни денег, ни времени. Еще меньше — понимания моделей нарушителя и моделей угроз. Защита приложения выходит на передний план, когда уязвимости начинают стоить денег. К этому времени приложение уже работает и внесение существенных изменений в код становится нелегкой задачей.
К счастью, разработчики тоже люди, и в коде разных приложений можно встретить однотипные недостатки. В докладе речь пойдет об опасных ошибках, которые чаще всего допускают разработчики Android-приложений. Затрагиваются особенности ОС Android, приводятся примеры реальных приложений и уязвимостей в них, описываются способы устранения.
16:45 | «Требования по безопасности в архитектуре ПО»
Кирилл Иванов, архитектор, Positive Technologies
Разработка любого софта так или иначе базируется на требованиях. Полный перечень составляют бизнес-цели приложения, различные ограничения и ожидания по качеству (их еще называют NFR). Требования к безопасности ПО относятся к последнему пункту. В ходе доклада будут рассматриваться появление этих требований, управление ими и выбор наиболее важных.
Отдельно будут освещены принципы построения архитектуры приложения, при наличии таких требований и без, и продемонстрировано, как современные (и хорошо известные) подходы к проектированию приложения помогают лучше строить архитектуру приложения для минимизации ландшафта угроз ландшафт угроз.
17:30 | Доклад от Solar Security (тема уточняется)