áááºážááá¯á·á ááá±á¬áºáááºááŸááºááẠááŸá¯ááºááŸá¬ážááŸá¯áá»á¬ážá áá
áºá
áááºáá
áºááá¯ááºážá¡áá±ááŒáá·áºá developerá pentesters ááŸáá·áº security professionals áá»á¬ážááẠVulnerability Management (VM), (Secure) SDLC áá²á·ááá¯á·áá±á¬ áá¯ááºáááºážá
ááºáá»á¬ážááᯠááá¯ááºááœááºááŒá±ááŸááºážááááºááŒá
áºáááºá
á€á
áá¬ážá
á¯áá»á¬ážá¡á±á¬ááºááœáẠáááºážááá¯á·áá¡áá¯á¶ážááŒá¯áá°áá»á¬áž ááœá²ááŒá¬ážáá±á¬áºáááºáž áá±á¬ááŸááºá¡áá¯á¶ážááŒá¯áá±á¬ á¡áá±á·á¡áá»áá·áºá¡á
á¯á¶ááŸáá·áº áááááá¬á¡á
á¯á¶á¡áááºááŸááááºá
á¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶ááŸáá·áº áá±á¬á·ááºáá²ááºáá»á¬ážá áá¯á¶ááŒá¯á¶áá±ážááᯠááœá²ááŒááºážá
áááºááŒá¬ááẠáááááá¬áá
áºáá¯ááẠáá°áá
áºáŠážááᯠá¡á
á¬ážááá¯ážááá¯ááºááá·áº áááºážááá¬ááá¯ááºáᬠááá¯ážáááºááŸá¯á¡ááá·áºááá¯á· ááá±á¬ááºáá±ážáá«á
áá¬ááŒá±á¬áá·áº áá®ááá¯ááŒá
áºááá¬áá²ááá¯áᬠáá¬ážáááºááá¯á· á
áááºáááºá
á¬ážááá¯á·áá±á¬ááºážááŒá®áž áááºááá¯ááŒá¿áá¬ááœá±ááᯠáááºááá¯ááºáááá²ááá¯áá¬áá«áá²á
áá¯ááºáááºážá ááºáá»á¬áž
Vulnerability Management áá¯ááºáááºážá
ááºááẠá¡ááŒá±áá¶á¡áá±á¬ááºá¡áŠ áá¯á¶ááŒá¯á¶áá±ážááŸáá·áº patch á
á®áá¶ááá·áºááœá²ááŸá¯ááᯠá
ááºáááºáááŒáẠá
á±á¬áá·áºááŒáá·áºááẠáá®ááá¯ááºážáá¯ááºáá¬ážáááºá
Secure SDLC áá¯ááºáááºážá
áẠ("secure development cycle") ááẠááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯ááŸáá·áº áááºáááºááŸá¯á¡ááœááºáž á¡ááºááºáá®áá±ážááŸááºážáá¯á¶ááŒá¯á¶áá±ážááᯠááááºážááááºážááẠáá®ááá¯ááºážáá¯ááºáá¬ážáááºá
á€áá¯ááºáááºážá
ááºáá»á¬ážá á¡áá¬ážáá° á¡á
áááºá¡ááá¯ááºážááŸá¬ á¡á¬ážáááºážáá»áẠá¡áá²ááŒááºááŒááºáž áá¯ááºáááºážá
áẠ- á¡á¬ážáááºážáá»áẠá¡áá²ááŒááºááŒááºážá á¡á¬ážáááºážáá»ááºááᯠá
áááºááºáááºááŒááºáž ááŒá
áºáááºá
VM ááŸáá·áº SDLC á¡ááœááºážá
áááºááºáááºááŒááºážááŒá¬áž á¡áááááœá¬ááŒá¬ážáá»ááºááŸá¬ áááááá
á¹á
ááœááºá áááºááœááºáá»ááºááŸá¬ ááŒááºááá±á¬á·ááºáá² ááá¯á·ááá¯áẠááœá²á·á
ááºážááŸá¯áá
áºáá¯ááœáẠáááá¬ážááá·áº á¡á¬ážáááºážáá»ááºáá»á¬ážááᯠááŸá¬ááœá±áááºááŒá
áºáááºá á¥ááá¬á¡á¬ážááŒáá·áºá Windows á áá±ááºááá®áá±á¬áá¬ážááŸááºážáá
áºáᯠááá¯á·ááá¯áẠSNMP á¡ááœáẠáá°áááºážá¡ááá¯ááºážá¡ááá¯ááºážá
á¬ááŒá±á¬ááºážá
áá¯áááááá
á¹á
ááœááºá áááºááœááºáá»ááºááŸá¬ ááŒááºááá¯áá¹ááá®á¡á
áááºá¡ááá¯ááºážáá»á¬áž (ááŸá®ááá¯ááŸá¯) ááœááºáá¬áá áá¯ááºáá¯ááºá¡áá
áºá áá¯ááºáá»á¬ážááœáẠá¡á¬ážáááºážáá»ááºáá»á¬ážááᯠááŸá¬ááœá±áááºááŒá
áºáááºá
áááºážááẠáááááá¬áá»á¬ážááŸáá·áº áá»ááºážáááºááŸá¯áá»á¬ážááœáẠááœá²ááŒá¬ážááŸá¯áá»á¬ážááᯠááŒá
áºáá±á«áºá
á±áááºá áá»áœááºá¯ááºáá¡ááŒááºá¡áá á¡ááºááá®áá±ážááŸááºážáá
áºáá¯ááœáẠá¡á¬ážáááºážáá»ááºá¡áá
áºáá»á¬ážááŸá¬ááœá±ááŒááºážáá¬áááºááŸá¬ áááºááœá±ááŸáááºááŒááºážá ááá°ážá
ááºážá
á¬áááºážá
á¯áá±á¬ááºážááŒááºážá á
áá¬ážááŸáẠbrute force á
áááºááá¯á·ááœáẠááá«áá±á¬ááŒá±á¬áá·áº ááá¯ááá¯á
áááºáááºá
á¬ážá
áá¬áá±á¬ááºážáá«áááºá
á¡áááºá¡ááœá±ážááŒáá·áº á¡ááá®áá±ážááŸááºáž á¡á¬ážáááºážáá»ááºáá»á¬ážááᯠá¡ááá¯á¡áá»á±á¬ááºá
áááºááºáááºááŒááºážááẠá¡ááá®áá±ážááŸááºážá semanticsá áááºážááááºááœááºáá»ááºááŸáá·áº áá®ážááŒá¬ážááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážááᯠááá·áºááœááºážá
ááºážá
á¬ážááá·áº algorithms ááá¯á¡ááºáá«áááºá
á¡ááŒá±áá¶á¡áá±á¬ááºá¡áŠá áááºáá¬ááᯠá¡áá»áááºááá¯ááºážáááááá¬ááŒáá·áº áááŒá¬áá á¡á á¬ážááá¯ážááá¯ááºáááºá . á¡áááá¡áá»ááºááŸá¬ ááááºážááááºážáááºáááºáá¬ááŒá áºááŒá®ážá áá áºáá¡ááœáẠááœááºážáá¶ááœááºážáá¶ááŒááºážáááŒá¯áá«á áááºáá¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶ááᯠááááá¯ááºááá¯ááºáááºáᯠáá°áááá¯ááºáá«áááºá
áá°áááá¬
á áááºááºáááºááŒááºážá¡ááŒáẠáá¯á¶ááŒá¯á¶áá±ážááá¯ááºážááŒá¬ážá áááºááŒá¬ááŒááºážááá¯á·ááᯠá¡áááºáá±á¬ááºáá±áá¹áᬠááá¯á·ááá¯áẠá¡ááŒá°áá±á¬ááºáá±áá¹áá¬á¡ááŒá Ạáá¯ááºáá±á¬ááºááá¯ááºáááºá
á¡áááºážáá±á¬ááºáá±áá¹áá¬
blackbox á áááºááºáááºááŒááºážááŒáá·áºá áááááá¬ááẠá¡áá¯á¶ážááŒá¯áá°áá»á¬áž áááºážááŸáá·áºá¡áá¯ááºáá¯ááºáá±á¬ áá°áá®áá±á¬á¡ááºáá¬áá±á·á áºáá»á¬ážááŸáááá·áº áááºáá±á¬ááºááŸá¯ááŸáá·áºá¡áá¯ááºáá¯ááºááá¯ááºááá«áááºá
á¡ááŒá±áá¶á¡áá±á¬ááºá¡áŠá áááºáá¬áá»á¬áž (Tenable Nessusá Qualysá MaxPatrolá Rapid7 Nexpose á áááºááŒáá·áº) ááœáá·áºáá¬ážáá±á¬ ááœááºáááºááááºáááºážáá»á¬ážááᯠááŸá¬ááœá±áá«á "ááá°ážá ááºážá á¬áááºážáá»á¬ážááᯠá á¯áá±á¬ááºážáá«"á ááá·áºááœááºážáá¬ážáá±á¬ áá±á¬á·ááºáá²áá¬ážááŸááºážáá»á¬ážááᯠááŸá¬ááœá±áá±á¬áºáá¯ááºáᬠá€áá¬ážááŸááºážáá»á¬ážááŸá á¡á¬ážáááºážáá»ááºáá»á¬ážá¡ááŒá±á¬ááºáž á¡áá»ááºá¡áááºáá»á¬ážá¡ááœáẠáááºážááá¯á·á á¡ááááá¬á¡ááŒá±áá¶ááᯠááŸá¬ááœá±áá«á áááºážááá¯á·ááẠáá°áááºážá áá¬ážááŸááºáá»á¬áž ááá¯á·ááá¯áẠáá±áá¬á¡áá¯á¶ážááŒá¯ááœáá·áºá á¡á¬ážáááºážáá±á¬ SSL áá»áŸáá¯á·ááŸááºá á¬ááŸááºáá»á¬áž á áááºááá¯á·áá²á·ááá¯á· ááœá²á·á ááºážááŸá¯ááá¯ááºáᬠá¡ááŸá¬ážáá»á¬ážááᯠááŸá¬ááœá±áááºáááºáž ááŒáá¯ážá á¬ážááŒáááºá
áááºá¡ááá®áá±ážááŸááºážá
áááºáá¬áá»á¬áž (Acunetix WVSá Netsparkerá Burp Suiteá OWASP ZAP á
áááºááŒáá·áº) ááẠáá°áááá»á¬ážáá±á¬ á¡á
áááºá¡ááá¯ááºážáá»á¬ážááŸáá·áº áááºážááá¯á·ááá¬ážááŸááºážáá»á¬áž (á¥ááᬠCMSá áá±á¬ááºáá»á¬ážá JS á
á¬ááŒáá·áºááá¯ááºáá»á¬áž) ááá¯áááºáž ááŸá¬ááœá±ááá¯ááºáááºá á¡ááá ááœá¬ážááœá¬ážáá±á¬ ááŒá±ááŸááºážáá»á¬ážááẠááœá¬ážááœá¬ážááŒááºáž ááŸáá·áº áááŸá¯ááºáááŸáẠááŒá
áºáá±ááŒááºáž ááŒá
áºáááºá
áá°ážáá°áá±á
ááºá¡ááœááºážá crawler ááẠááŸáááŒá®ážáá¬áž á¡ááá®áá±ážááŸááºáž á¡ááºáá¬áá±á·á
áºáá»á¬ážááŸáá·áº HTTP áá±á¬ááºáá»á¬ážá¡ááŒá±á¬ááºáž á¡áá»ááºá¡áááºáá»á¬ážááᯠá
á¯áá±á¬ááºážáá«áááºá fuzzing áá¯ááºáá±á
ááºá¡ááœááºážá á¡ááŸá¬ážáá
áºáá¯ááᯠááŸáá¯ážááœáááºááŸáá·áº á¡á¬ážáááºážáá»ááºáá
áºáá¯á¡á¬áž ááŸá¬ááœá±ááœá±á·ááŸááááºá¡ááœáẠááŒá±á¬ááºážáá²ááŸá¯ ááá¯á·ááá¯áẠáá¯ááºáá±ážááá·áºáá±áá¬ááŒáá·áº á¡á
á¬ážááá¯ážáá¬ážáááºá
ááá¯áá²á·ááá¯á·áá±á¬ á¡ááá®áá±ážááŸááºážá áááºáá¬áá»á¬ážááẠDAST ááŸáá·áº IAST á¡áááºážáá»á¬ážááœáẠáááºááá¯ááºááẠ- á¡áá®ážáá®áž Dynamic and Interactive Application Security Testingá
White ááá±á¬áá·áºááœááº
whitebox ááá¯á
áááºááºáááºááŒááºážááŒáá·áºá ááœá²ááŒá¬ážááŸá¯áá»á¬ážááá¯ááá¯ááŸááááºá
VM áá¯ááºáááºážá
ááºááá
áºá
áááºáá
áºááá¯ááºážá¡áá±ááŒáá·áºá á
áááºáá¬áá»á¬áž (Vulnersá Incsecurity Couchá Vulsá Tenable Nessus á
áááºááŒáá·áº) ááᯠá
á
áºááŸááºááŒá±á¬ááºážá
áááºááºááŒá¯áá¯ááºááŒááºážááŒáá·áº á
áá
áºáá»á¬ážááá¯á· áááºáá±á¬ááºááœáá·áº áá±ážáá±á·ááŸááááºá ááá¯á·ááŒá±á¬áá·áºá á
áááºááºáá¬ááẠááá·áºááœááºážáá¬ážáá±á¬ áááºáá±á·áá»áºáá¬ážááŸááºážáá»á¬ážááŸáá·áº á
á®á
ááºáááºááŸááºááŸá¯áá±á¬ááºáá»á¬ážááᯠááœááºáááºáááºáá±á¬ááºááŸá¯ááá°ážá
ááºážáá»á¬ážá០ááŸááºážáá
áá¬áááá¯áá² á
áá
áºá០ááá¯ááºááá¯ááºáá±á«ááºážáá¯ááºáá¯ááºááá¯ááºáá«áááºá
á
áááºááºááẠááá¯ááá¯áááá»ááŒá®áž ááŒá®ážááŒáá·áºá
á¯á¶áááºá
á¡áááºá áá»áœááºá¯ááºááá¯á·ááẠá¡ááá®áá±ážááŸááºážáá»á¬ážá whitebox scanning (CheckMarxá HP Fortifyá Coverityá RIPSá FindSecBugs á áááºááŒáá·áº) á¡ááŒá±á¬ááºážááŒá±á¬áá«áá áá»áœááºá¯ááºááá¯á·ááẠáá¯á¶ááŸááºá¡á¬ážááŒáá·áº static code ááœá²ááŒááºážá áááºááŒá¬ááŒááºážááŸáá·áº áááºááá¯ááºáᬠSAST á¡áááºážá¡á á¬áž áá°ážááºáá»á¬ážá¡áá¯á¶ážááŒá¯ááŒááºáž - Static Application Security Testing á¡ááŒá±á¬ááºáž ááŒá±á¬áá±áá«áááºá
ááŒá¿áá¬áá»á¬áž
á áááºááºáááºááŒááºážááœáẠááŒá¿áá¬áá»á¬ážá áœá¬ááŸááááºá á áááºááºáááºááŒááºážááŸáá·áº áá¯á¶ááŒá¯á¶áá±á¬ ááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯áá¯ááºáááºážá ááºáá»á¬áž áááºáá±á¬ááºááŒááºážá¡ááœáẠáááºáá±á¬ááºááŸá¯áá±ážááá·áº áááºáá±á¬ááºááŸá¯á áá áºá áááºáá áºááá¯ááºážá¡áá±ááŒáá·áº áááºážááá¯á·á¡áá»á¬ážá á¯ááᯠáá¯áá¹ááá¯ááºáá±ážá¡á ááá¯ááºááœááºááŒá±ááŸááºážááááºááŒá áºáá«áááºá
á¡ááºáá»ááºáá®áá¬áá»á¬ážááŸáá·áº áá¯áá¹ááá®á¡áá®ážáá®ážááŸá ááááºážá¡áá»ááºá¡áááºáá¯á¶ááŒá¯á¶áá±ážáááºáá±á¬ááºááŸá¯á¡ááŒá®ážá¡áá²áá»á¬ážááŸáá·áº á áá¬ážááŒá±á¬ááá¯ááŸá¯áá»á¬ážááŸáááºáž á¡áááºááŒá¯áá¬ážáá±á¬ á¡áááááŒá¿áᬠ3 áá¯ááᯠáá»áœááºá¯ááºáá¯ááºááŒáá«áááºá
áááºá¡ááºááá®áá±ážááŸááºážá áááºááºáááºááŒááºáž ááŒá¿áá¬áá»á¬áž
- á¡áá±á¬ááºá¡áááºáá±á¬áºáááºáááºáá²ááŒááºážá á¡ááá®áá±ážááŸááºážáá áºáá¯á á®á¡ááœáẠá áááºáá¬áá»á¬ážááᯠá¡áá¯á¶ážáá»áááºá á á®á ááºáááºááŸááºáá¬ážááẠááá¯á¡ááºáááºá á áááºáááºáááºá¡ááœáẠá ááºážáááºááŸá¯áááºáááºážáá»ááºááᯠááœá²áá±áá±ážááŒá®áž áááá±á¬ááºááŸá¯ááŸáá á±áááºá¡ááœáẠCI/CD áá¯ááºáááºážá ááºááœáẠá¡áá±á¬ááºá¡áááºáá±á¬áºááẠááá¯á¡ááºáá«áááºá ááá¯ááºáá«áá áááºážááẠá¡áá¯á¶ážááááºáá±á¬ ááá¬ážáááºáá¯ááºáá¯á¶ážáá¯ááºáááºážáá áºáá¯ááŒá áºááŒá®áž ááŸá¬ážááœááºážáá±á¬á¡ááŒá¯ááá±á¬áá»á¬ážááá¯áᬠáá¯ááºáá±ážáááºááŒá áºáááºá
- á áááºááºááŒá¬áá»áááºá 2019 áá¯ááŸá áºááœááºááẠá áááºáá¬áá»á¬ážááẠá¡ááºáá¬áá±á·á áºáá»á¬ážááᯠááœá¬ážááŒááºážá áá¶á·áá»ááºážáá±á¬á¡áá¯ááºááŒá áºááŒá®áž áá°áá®áá±á¬áá¯ááºááœáẠáá¬áááºááŸááá±á¬áºáááºáž áááºážááá¯á·á¡ááœáẠáá°áá®áá±á¬áá¯ááºááœáẠáá¬áááºááŸááá±á¬áºáááºáž áááºážááá¯á·á¡ááœáẠááœá²ááŒá¬ážáááºáᯠááŸááºáá°áᬠá á¬áá»ááºááŸá¬áá áºáá±á¬ááºááᯠáááºáá±á«ááºáž 10 áá±á¬ááºáá áºáá¯á á®ááŒáá·áº á áááºááºáááºááá¯ááºáááºá áá áºáá»áááºáááºážááŸá¬áááºá ááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯á ááºáááºážá¡ááœááºáž áá¯ááºáá¯ááºááŸá¯ááᯠá¡áá¯á¶ážáá»ááẠáá¯á¶ážááŒááºáá»ááºááᯠá¡áá»ááºá¡ááŒáẠááŒá¯áá¯ááºááááºááŒá áºáááºá
- áá¶á·áá»ááºážáá±á¬á¡ááŒá¶ááŒá¯áá»ááºáá»á¬ážá á áááºáá¬áá»á¬ážááẠáá±áá¯áá»á¡á¬ážááŒáá·áº á¡ááŒá¶ááŒá¯áá»ááºáá»á¬ážááᯠáá±ážáá±á¬ááºááŒááŒá®áž á¡áá¹ááá¬ááºá¡ááá·áºááᯠáááºáá²á·ááá¯á·áá»áŸá±á¬á·áá»ááááºááᯠáá±á¬á·ááºáá²á¡ááºáá»ááºáá®áá¬áá áºáŠážá០áááºážááá¯á·áá¶á០áá»ááºááŒááºá áœá¬áá¬ážáááºááẠá¡ááŒá²áááºážáááŒá áºááá¯ááºáá±á á¡áá±ážááŒá®ážáá¯á¶ážááŸá¬á áááºážááᯠááá¯áá»ááºáá»ááºážáá¯ááºáá±á¬ááºááẠááá¯á¡ááºáááºááŒá áºá á±á áááŒá±á¬ááºáá±ážáá«á
- á¡ááá®áá±ážááŸááºážá¡áá±á«áº áá»ááºááá¯áá»ááºáá®ážáááºáá±á¬ááºááŸá¯á á áááºáááºá ááºáá»á¬ážááẠá¡ááºááá®áá±ážááŸááºážáá áºáá¯áá±á«áºááœáẠDoS ááá¯ááºááá¯ááºááŸá¯ááᯠá¡ááœááºááá°áá¯ááºáá±á¬ááºááá¯ááºááŒá®áž áááºážááá¯á·ááẠá¡ááœá²á·á¡á ááºážá¡áá»á¬ážá¡ááŒá¬ážááᯠáááºáá®ážááá¯ááºááẠááá¯á·ááá¯áẠááŸáááŒá®ážáá¬ážá¡áá¬áá»á¬ážááᯠááŒá±á¬ááºážáá²ááá¯ááºááẠ(á¥ááá¬á ááá±á¬á·ááºáá áºáá¯áá±á«áºááœáẠáá±á¬ááºážááŸáá·áºáá»á®áá±á¬ ááŸááºáá»ááºáá»á¬ážáááºáá®ážááá¯ááºáááº) ááá¯á·ááŒá±á¬áá·áº áááºááẠá áááºááºáá áºáá¯ááœáẠááœá±ážáá±á¬ááá±ááá·áºáá«á áá¯ááºáá¯ááºá
- á¡á¬ážáááºážáá»ááºááŸá¬ááœá±ááŒááºážá á¡áááºá¡ááœá±ážáá¶á·áá»ááºážááŒááºážá á áááºáá¬áá»á¬ážááẠáá¯á¶ááŸááºá¡á¬ážááŒáá·áº áááºááŸááºáá¬ážáá±á¬ payloads áááºážáá»ááºážááŸá¯ááᯠá¡áá¯á¶ážááŒá¯ááŒááŒá®áž áááºážááá¯á·ááá°áááá»á¬ážáá±á¬ á¡ááá®áá±ážááŸááºážá¡ááŒá¯á¡áá°ááŸáá·áº áááá¯ááºáá®ááá·áº á¡á¬ážáááºážáá»ááºáá áºáá¯ááᯠá¡ááœááºááá° áááºááœááºááœá¬ážááá¯ááºáááºá
- á áááºáááºá ááºááẠá¡ááá®áá±ážááŸááºážá áá¯ááºáá±á¬ááºáá»ááºáá»á¬ážááᯠáá¬ážááááºáá«á á áááºáá¬áá»á¬ážááẠâá¡ááºáá¬áááºáááºâá âááœá±áá±ážáá»á±ááŸá¯âá âááŸááºáá»ááºâ áá°ááẠáááºáá²á·ááá¯á·ááŒá áºáááºááᯠá áááºáá¬áá»á¬ážááá¯ááºááá¯áẠááááá«á áááºážááá¯á·á¡ááœááºá ááá·áºááºáá»á¬ážááŸáá·áº ááá·áºáááºáá»ááºáá»á¬ážáᬠááŸááááºá ááá¯á·ááŒá±á¬áá·áº ááŒá áºááá¯ááºáá»á±ááŸááá±á¬ áá¯ááºáááºážááá¯ááºáᬠáá¯áá¹áááá±áááá¯ááºáᬠá¡á¬ážáááºážáá»ááºáá»á¬ážá áœá¬ááᯠáá¯á¶ážáá¯á¶ážáá»á¬ážáá»á¬áž áá¯á¶ážááœááºáá¬ážáá²ááŒá áºáááºá áááºážááá¯á·ááẠááŸá áºááá±ážáá¯ááºáááºá á¡ááŒá¬ážáá°áá»á¬ážá áá±áá¬ááᯠID ááŒáá·áº ááŒáá·áºááŒáá·áºáá« ááá¯á·ááá¯áẠáá»áááºááœááºáá»áŸá¬ááᯠá¡ááá¯ááºážááá¯ááºááŒá¯áá¯ááºááẠáááºážááá¯á· ááá·áºááŸááºážáááºááá¯ááºáá«á
- á áááºáá¬ááŒáá·áº á á¬áá»ááºááŸá¬á¡áá¯á¶ážá¡ááŸá¯ááºážáá»á¬ážááᯠáá¬ážáááºááŸá¯ááœá²ááŒááºážá á áááºáá¬áá»á¬ážááẠFAQ áá»á¬ážááᯠááááºááá¯ááºá captchas áá»á¬ážááᯠáááŸááºááááá¯ááºáá«á áááºážááá¯á·ááẠáááºááá¯á· ááŸááºáá¯á¶áááºááŒá®áž ááŒááºáááºáááºáá±á¬ááºááááºááᯠáááºážááá¯á·ááá¯ááºááá¯áẠáááá·áºááŸááºážááá¯ááºáá²á áááºááẠ"logout" ááá¯ááŸáááºáááááá·áºá¡ááŒáẠááá·áºáááºáá±á¬ááºáááºááá¯ážáá»á¬ážááᯠááŒá±á¬ááºážáá²ááá·áºá¡áá« áá±á¬ááºážááá¯áá»ááºáá»á¬ážááᯠáááºááá¯á·áááºááŸááºááá¯ážááááºáááºážá ááááºá¡áá±ááŒáá·áºá á¡ááá®áá±ážááŸááºážá¡áá»á¬ážá á¯ááẠáá¯á¶ážáá áááºááºááááºááá±ážáá«á
á¡áááºážá¡ááŒá áºáá¯ááºá áááºááºáááºááŒááºáž ááŒá¿áá¬áá»á¬áž
- ááŸá¬ážáá¬áá¬á Static analysis ááẠá¡áá±ážá¡áá°áá»á¬ážá áœá¬áá«áááºááá·áº ááŸá¯ááºááœá±ážáá±á¬á¡áá¯ááºáá áºáá¯ááŒá áºáááºá áááŒá¬ááááá¯áááᯠáááºááẠáááá»ááŸá¯ááᯠá áœáá·áºááœáŸááºááááºááŒá áºááŒá®áž á á»á±ážááŒá®ážáá±á¬ áá¯ááºáááºážá áááºáá¬áá»á¬ážáááẠááŸá¬ážááœááºážáá±á¬ á¡ááŒá¯ááá±á¬áá»á¬ážá áœá¬ááᯠáá¯ááºáá±ážáá«áááºá
- á¡áá±á¬ááºá¡áááºáá±á¬áºáááºáááºáá²ááŒááºážá static analysis á áááá»ááŸá¯ááŸáá·áº ááŒá®ážááŒáá·áºá á¯á¶ááŸá¯ááᯠááá¯ážááŒáŸáá·áºáááºá á áááºáááºááŒááºážá ááºážáá»ááºážáá»á¬ážááᯠááŒááºáááºááŒááºáááºááẠááá¯á¡ááºááŒá®áž á¡ááá¯áá«á ááºážáá»ááºážáá»á¬ážááᯠáá±ážáá¬ážááŒááºážááẠá¡áá»áááºáá¯ááºááœááºážáááºá áá áºáá«áá áºáá¶ááœáẠá¡áá»áá¯á·áá±á¬ bug áá»á¬ážááŒáá·áº áá¯ááºááŸá áá±áá¬á¡á¬ážáá¯á¶ážááᯠááŸá¬ááœá±áááºááŸáá·áº ááá¯ááá¯á·áá±á¬ ááá á¹á áá»á¬ážááᯠááááŸáááẠá ááºážáááºážáá±ážáááºááẠáááºážááá¯á·ááᯠááŒááºáááºááẠááá¯ááá¯ááœááºáá°áááºá
- ááŸá®ááá¯áá±á¬ááºáá¶á·ááŸá¯ áááºážáá«ážááŒááºážá ááá±á¬áá»ááºááŒá®ážáá»á¬ážááŸá¬ áááá¯ááááºážáááºážáá¬áá¬á áá¬ážá á áœááºážáá±á¬ááºáááºááᯠááá¯ážáá»á²á·áá±ážáá±á¬ á á¬ááŒáá·áºááá¯ááºáá»á¬ážááŸáá·áº áá±á¬ááºá¡áá»á¬ážá¡ááŒá¬ážáá±á«áºááœáẠáá°áááºáááºá á áááºáá¬á á¡ááááá¬á¡ááŒá±áá¶ááŸá á€áá±á¬ááºáá»á¬ážááœáẠá¡áá¹ááá¬ááºááŸááá±á¬áá±áá¬áá»á¬áž ("sinks") á¡áá»ááºá¡áááºáá»á¬ážáááŸááá«áá áááºážááẠáá»ááºá áááœááºá áá¬áá áºáá¯ááŒá áºáá¬áááºááŒá áºááŒá®áž á áááºáá¬ááẠáá¯ááºááá¯ááẠáá¬ážáááºáááºááá¯ááºáá«á
- á áááºááºááŒá¬áá»áááºá áá¯ááºááŸá á¡á¬ážáááºážáá»ááºáá»á¬ážááᯠááŸá¬ááœá±ááŒááºážááẠá¡ááºáááá¯áá®áááºáá»á¬ážááœááºáááºáž áááºáá²áá±á¬ á¡áá¯ááºááŒá áºáááºá ááá¯á·ááŒá±á¬áá·áºá áá¯ááºáááºážá ááºááẠááŸá±á¬áá·áºááŸá±ážááá¯ááºááŒá®áž áááá¬áááºááŸá¬ážáá±á¬ ááœááºáá»á°áá¬á¡áááºážá¡ááŒá áºáá»á¬áž ááá¯á¡ááºáá«áááºá
- ááœáŸááºážááŒá¯á¶ááŸá¯áááºážáááºá á¡áááºážá¡ááŒá áºáá¯á¶ážá áœá²ááŸá¯ááŸáá·áº á áááºáááºááá·áºááŒá¬áá»áááºááŸááá±á¬áºáááºážá SAST áááááá¬áá»á¬áž áá±á¬á·ááºáá²áá±ážáá¬ážáá°áá»á¬ážááẠá¡áá±ážá¡áá°áá»á¬ážááᯠá¡á¬ážááá¯ážáᬠáááá¯ááááºáá áºáá¯ááœáẠáá«áááºááá¯ááºááá·áº ááŒááºáááºá¡á¬ážáá¯á¶ážááᯠááœá²ááŒááºážá áááºááŒá¬ááẠááá¯á¡ááºáá±áá±ážáááºá
- áá»áá¯ážááœá¬ážááá¯ááºá áœááºážááᯠááŸá¬ááœá±ááŒááºážá á¡á¬ážáááºážáá»ááºáá áºáá¯ááá¯á· áŠážáááºááœá¬ážá á±ááá·áº áá®ážááŒá¬ážááá¯ááºážááŸáá·áº áá±á«áºááá¯ááŸá¯á¡á á¯á¡áá±ážááᯠááœáŸááºááŒááŒááºážááẠááŒá®ážááŒááºáá±á¬áºáááºáž á¡ááŸááºááááºááœááºá áááŒá¬ááááá¯áááᯠá áááºáááºáá¬ááẠááŒááºáá¡á¬ážáááºážáá»ááºáá áºáá¯á¡á¬áž á á áºáá±ážááẠáá¯á¶áá±á¬ááºáá±á¬á¡áá»ááºá¡áááºááᯠááá±ážáááºáá«á áá±á¬ááºáá¯á¶ážááœááºá áá»áá¯á·ááœááºážáá»ááºááẠááá¯ááºááá¯ááºáá°á¡ááœáẠáááºááŸááºážááá®ááá¯ááºááá·áº dead code ááœááºáááºáž ááŸááá±ááá¯ááºáááºá
á¡ááŒá±áá¶á¡áá±á¬ááºá¡áŠá áááºáááºá á áºáá±ážááŒááºážááá á¹á áá»á¬áž
- á á¬áááºážááá¯á¶áá±á¬ááºá ááŒá®ážáá¬ážáá±á¬á¡ááŒá±áá¶á¡áá±á¬ááºá¡áŠáá»á¬áž á¡áá°ážáááŒáá·áº áááá®áááºá¡áá±á¡áá¬ážá¡á ááŒá¬ážáá¬ážááá·áºá¡áá¬áá»á¬ážááœááºá áááºááá·áº host áá»á¬ážááᯠá áááºáááºáááºááᯠááŸá¬ááœá±ááẠá¡áááºáá²áá¯á¶ážá¡áá¬ááŒá áºáááºá áá áºáááºážááá¯ááá±á¬áº á áááºáááºááŒááºážáá¯ááºáááºážááẠááá¯ááºááá¯ááºááŸá¯á á®áá¶ááá·áºááœá²ááŸá¯áá¯ááºáááºážááŸáá·áº áá®ážáááºá áœá¬ áááºá ááºáá±áááºá
- áŠážá á¬ážáá±ážááŒááºáž ááá±á¬ááºážáá«á ááœááºáááºá áááºáá¬áá»á¬ážááẠáááºááœá±á·ááœáẠá¡áá¯á¶ážáá»ááááá±á¬ áá»áá¯á·ááœááºážáá»ááºáá»á¬ážá áœá¬ááŒáá·áº ááááºáá»á¬ážá áœá¬ááᯠáá¯ááºáá±ážáá±á·ááŸááá±á¬áºáááºáž ááá¬ážáááºá¡á¬ážááŒáá·áº áááºážááá¯á·á á¡áá¹ááá¬ááºá¡ááá·áºááẠááŒáá·áºáá¬ážáááºá á á¬ážáá¯á¶ážáá°ááẠá¡áááá¹áá¬ááºááœáá·áºááá¯ááááºáá±á¬ á¡á á®áááºáá¶á á¬ááᯠáááºáá¶áááŸáááŒá®áž áááºááá·áºá¡áá¬ááᯠáŠážá áœá¬ ááŒááºáááºááẠááá¯á¡ááºáááºááᯠáááŸááºážáááºážáá«á
- áá¶á·áá»ááºážáá±á¬á¡ááŒá¶ááŒá¯áá»ááºáá»á¬ážá á áááºáá¬á¡ááááá¬á¡ááŒá±áá¶ááœáẠá¡á¬ážáááºážáá»ááºááŸáá·áºáááºáááºááá·áº áá±áá¯áá»á¡áá»ááºá¡áááºáá»á¬ážáᬠáá«áááºáá±á·ááŸááá±á¬ááŒá±á¬áá·áº á á®áá¶ááá·áºááœá²áá°áá»á¬ážááẠGoogle ááŸáá·áº áá»áááºáááºááááºááŒá áºáá«áááºá ááŒááºááẠáá®ážááŒá¬áž command ááᯠáá¯ááºáá±ážááá¯ááºáá±á¬ whitebox scanner áá»á¬ážááŒáá·áº á¡ááŒá±á¡áá± á¡áááºážááẠááá¯áá±á¬ááºážáá«áááºá
- áááºáá¯ááºá á¡ááŒá±áá¶á¡áá±á¬ááºá¡áŠáá»á¬ážááœáẠnode á¡áá»á¬ážá¡ááŒá¬ážááŸáááá¯ááºáááºá ááá¯ááá¯áááºááŸá¬ á¡ááŸá¬ážá¡ááœááºážáá»á¬ážá áœá¬ááŸáááá¯ááºáááºá ááá¯ááá¯áááºááŸá¬ á¡á á®áááºáá¶áá»ááºáá áºáá¯á á®ááá¯ááºážááœáẠááœá²ááŒááºážá áááºááŒá¬ááŒá®áž ááá¯ááºááá¯ááºááœá²ááŒááºážá áááºááŒá¬ááááºááŒá áºáá«áááºá
- ááá±á¬ááºážáá±á¬ ááœáŸááºážááŒá¯á¶ááŸá¯á á¡ááŒá±áá¶á¡áá±á¬ááºá¡áŠá áááºáááºááŒááºážá á¡áááºá¡ááœá±ážááẠá¡á¬ážáááºážáá»ááºáá»á¬ážááŸáá·áº áá±á¬á·ááºáá²áá¬ážááŸááºážáá»á¬ážá¡ááŒá±á¬ááºáž á¡ááááá¬á¡ááŒá±áá¶á¡ááœááºá¡á á¬ážáá±á«áºááœáẠááá¯ááºááá¯ááºáá°áááºáááºá ááá¹ááá°áá á á»á±ážááœááºáá±á«ááºážáá±á¬ááºáá»á¬ážáááºáá»áŸáẠááŒáá·áºá á¯á¶áá±á¬ á¡ááááá¬á¡ááŒá±áá¶áááŸáááá·áºá¡ááŒáẠáá±á«ááºážáá±á¬ááºáá»á¬ážáááŸááá±á¬ á¡ááá²á·ááŒá±ááŸááºážáá»ááºáá»á¬ážá áá±áá¬áá±á·á áºáá»á¬ážááœáẠá¡áá»ááºá¡áááºáá»á¬ážá áœá¬ ááŸááá«áááºá
- áá¬áá±ážááŒááºážááá¯ááºáᬠááŒá¿áá¬áá»á¬ážá á¡áá»á¬ážá á¯ááŸá¬á á¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶ááá¯ááºáᬠá¡á¬ážáááºážáá»ááºáá»á¬ážááᯠáá¬áá±ážááŒááºážááẠáááºáá±á·áá»áºáá áºáá¯ááᯠá¡ááºááááºáá¯ááºááŒááºáž ááá¯á·ááá¯áẠááœá²á·á ááºážááŸá¯ááá¯ááºááᯠááŒá±á¬ááºážáá²ááŒááºážááŒá áºáááºá á€áá±áá¬ááœáẠááŒá¿áá¬ááŒá®ážááŸá¬ á áá áºááẠá¡áá°ážáááŒáá·áº á¡ááœá±á¡ááŸá áºáá áºáá¯ááŒá áºááŒá®áž á¡ááºááááºáá áºáá¯áááááºá¡ááŒá ẠááŸááºážááááá±á¬ááºá¡á±á¬áẠááŒá¯áá°áá±ááá¯ááºááŒááºážááŒá áºáááºá á¡ááŸááºááááºá áááºááẠáá¯ááºáá¯ááºááŸá¯ááœáẠááá¯ááºááá¯ááºá¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶áá áºáá¯á¡áá±á«áº áá±á«ááºážá ááºá á áºáá±ážááŸá¯áá»á¬áž ááŒá¯áá¯ááºááááºááŒá áºáááºá
áá»ááºážáááºááŸá¯
áááºááá¯á·ááŒá±á¬ááºá·ááá¯ááºááááºáž
á¥ááá¬áá»á¬ážááŸáá·áº á¡á±á¬ááºáá«á¡ááá¯ááºážáá»á¬ážááœáẠá€ááŒá¿áá¬áá»á¬ážá
áœá¬ááᯠáááºááá¯á·ááá¯ááºááœááºááŒá±ááŸááºážááááºááᯠáá»áœááºá¯ááºá¡áá±ážá
áááºáá±á¬áºááŒáá«áááºá ááá¯á·áá±á¬áº ááá¯á¡áá»áááºááœáẠáááºáá¯ááºáá±á¬ááºááá¯ááºááá·áº á¡ááááááºáááºáá»á¬ážááᯠáá»áœááºá¯ááºááœáŸááºááŒáá«áááºá
- á¡áá»áá¯ážáá»áá¯ážáá±á¬á áááºáááºá á áºáá±ážááŒááºážáááááá¬áá»á¬ážá á¯á ááºážááŸá¯á á áááºáá¬áá»á¬ážá áœá¬ááᯠááŸááºáááºá áœá¬á¡áá¯á¶ážááŒá¯ááŒááºážááŒáá·áº á¡ááááá¬á¡ááŒá±áá¶ááŸáá·áº áá±á¬ááºááŸááºážááŸá¯á¡áááºá¡ááœá±áž áááá¬áááºááŸá¬ážá áœá¬ ááá¯ážáá¬ááá¯ááºáááºá á¡áá¹ááá¬ááºá¡ááá·áºááᯠááá¯ááá¯áááá»á áœá¬ á¡áá²ááŒááºááá¯ááºááŒá®áž á¡ááŒá¶ááŒá¯áá»ááºáá»á¬ážá áœá¬ ááŒá¯áá¯ááºááá¯ááºáá±á¬áºáááºáž á áááºáá¬á¡á¬ážáá¯á¶ážá á¡á á¯á á¯ááẠáá áºáŠážáá»ááºážá á® áá¯ááºáá±á¬ááºááá·áº á¡á¬ážáááºážáá»ááºáá»á¬ážááẠááá¯á á¡á¬ážáááºážáá»ááºáá»á¬ážááᯠáááºááœá±á·ááŸáááá¯ááºáááºá
- SAST ááŸáá·áº DAST áá±á«ááºážá ááºááŸá¯á áááºážááá¯á·ááŒá¬ážááœáẠá¡áá»ááºá¡áááºáá»áŸáá±ááŒááºážááŒáá·áº DAST ááœáŸááºážááŒá¯á¶ááŸá¯ááŸáá·áº SAST áááá»ááŸá¯ááᯠááá¯ážááŒáŸáá·áºááẠááŒá áºááá¯ááºáááºá ááŸáááŒá®ážáá¬ážáááºážááŒá±á¬ááºážáá»á¬ážá¡ááŒá±á¬ááºáž á¡áá»ááºá¡áááºáá»á¬ážááᯠá¡áááºážá¡ááŒá áºá០áááºáááá¯ááºááŒá®áž DAST áá¡áá°á¡áá®ááŒáá·áº á¡á¬ážáááºážáá»ááºááᯠááŒááºáááŸááŒááºááá¯ááºáááºááŸááááŸá á á áºáá±ážááá¯ááºáá«áááºá
- á ááºáááºáá°ááŒááºážâ¢á 2015 ááŸá¬ I (ááŸáá·áº ) á áááºáá¬áá»á¬ážááᯠáááºáá¬á áááºááá¯ááºá¥á¬ááºá¡á¬áž áá±ážá áœááºážáááºááŸáá·áº áááºážááá¯á·ááᯠá¡ááŸáááºááŒáŸáá·áºááẠá á¬áááºážá¡ááºážáá»á¬ážááᯠá¡áá¯á¶ážááŒá¯ááŒááºážá¡ááŒá±á¬ááºážá áááºážááẠá¡áá¬áááºááœáẠá¡ááá¯á¡áá»á±á¬áẠáá¯á¶ááŒá¯á¶áá±áž ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ ááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯á¡ááœáẠáá±áá»á¬áá±á«áẠá¡á á¬ážá¡á á¬ááŒá áºáááºá
- autotests ááŸáá·áº OpenAPI ááá¯á·ááŸáá·áºá¡áá° IAST áá±á«ááºážá ááºááŸá¯á CI/CD-pipeline á¡ááœááºážá HTTP proxies áá»á¬ážá¡ááŒá Ạáá¯ááºáá±á¬ááºááá·áº áááááá¬áá»á¬ážááŸáá·áº HTTP ááŒáá·áº áá¯ááºáá±á¬ááºááá·áº áá¯ááºáá±á¬ááºááŸá¯ááá¯ááºáᬠá ááºážáááºááŸá¯áá»á¬ážá¡áá±á«áº á¡ááŒá±áá¶á á áááºááºáááºááŒááºáž áá¯ááºáááºážá ááºááᯠáááºáá®ážááá¯ááºáááºá OpenAPI/Swagger á ááºážáááºááŸá¯áá»á¬ážááŸáá·áº á á¬áá»á¯ááºáá»á¬ážááẠá áááºáá¬á¡á¬áž áá±áá¬á á®ážáááºážááŸá¯ááŸáá·áºáááºáááºáá±á¬ áá»á±á¬ááºáá¯á¶ážáá±áá±á¬ á¡áá»ááºá¡áááºáá»á¬ážááᯠáá±ážáááºááŒá áºááŒá®ážá ááŒááºáááºá¡áá»áá¯ážáá»áá¯ážááœáẠá¡ááá®áá±ážááŸááºážááᯠá áááºááºáááºááá¯ááºá á±áááºááŒá áºáááºá
- ááŸááºáááºáá±á¬ááœá²á·á ááºážááŸá¯á á¡ááá®áá±ážááŸááºážááŸáá·áº á¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶áá áºáá¯á á®á¡ááœááºá á¡áá¯á¶ážááŒá¯áá¬ážáá±á¬ áááºážááá¬áá»á¬ážá á¡áá±á¡ááœááºááŸáá·áº ááá±á¬ááá¬áááᯠááá·áºááœááºážá ááºážá á¬ážá ááá·áºáá»á±á¬áºáá±á¬ á áááºáááºáááá¯ááá¯ááºááᯠáááºáá®ážááẠááá¯á¡ááºáá«áááºá
- á áááºáᬠá áááºááŒáá¯ááºááŒá¯áá¯ááºááŒááºážá áááŒá¬ááááá¯áááá¯á á áááºáá¬ááá¯ááœááºážáá¶ááŒááºážáááŸááá² á¡ááá®áá±ážááŸááºážáá áºáá¯á¡á¬áž á áááºááºáááºááááá«á á¥ááá¬áá áºáá¯ááẠáá±á¬ááºážááá¯ááŸá¯ááá¯ááºážááᯠáááºááŸááºáá±ážááá¯ážááááºááŒá áºááŒá®áž ááœá±áá±ážáá»á±ááŸá¯áá¶áá«ážáá±á«ááºáá áºáá¯ááŒá áºáááºá ááááºáá±ážáááá¯ááá¯áá±á¬ááœáẠáá»áááºáááºáááááá¬ááᯠááá±ážáá²á á áááºáá¬áá»á¬ážááẠááŸá¬ážááœááºážáá±á¬ áááºááŸááºááŒáá·áº áá±á¬ááºážááá¯áá»ááºáá»á¬ážááᯠá¡ááŸááºááá²á· ááŒá áºáááááá·áºáááºá áá»áá¯á·ááœááºážáá»ááºá¡áá»áá¯ážá¡á á¬ážáá»á¬ážá¡ááœáẠá¡áá°ážááŒá¯á áááºáá¬áá»á¬ážááᯠáá±ážáá¬ážáááºáááºáž ááá¯á¡ááºáá«áááºá
- á¡áá¹ááá¬ááºá á®áá¶ááá·áºááœá²ááŸá¯á á¡áá»áá¯ážáá»áá¯ážáá±á¬ á áááºáá¬áá»á¬ážááᯠá¡áá¯á¶ážááŒá¯ááŒááºážááŸáá·áº Asset Management ááŸáá·áº Threat Management áá²á·ááá¯á·áá±á¬ ááŒááºáá áá áºáá»á¬ážááŸáá·áº áá±á«ááºážá ááºážááŒááºážááẠá¡áá¹ááá¬ááºá¡ááá·áºááᯠá¡áá²ááŒááºááẠáá±á¬ááºáá»á¬ážá áœá¬ááᯠá¡áá¯á¶ážááŒá¯ááœáá·áºáá±ážáááºááŒá áºááŒá®ážá ááá¯á·ááŸáᬠá á®áá¶ááá·áºááœá²ááŸá¯ááẠááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯ ááá¯á·ááá¯áẠá¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶á áááºááŸááá¯á¶ááŒá¯á¶áá±ážá¡ááŒá±á¡áá±á áá¯á¶áá±á¬ááºáá±á¬áá¯á¶áá áºáá¯á¶ááᯠáááá¯ááºáááºááŒá áºáááºá
á
á±á¬áá·áºáá»áŸá±á¬áºáá»áẠá¡á¬ážáááºážáá»ááºááŸá¬ááœá±ááŒááºážááᯠááŸá±á¬áá·áºááŸááºááŒáá«á
áá¯á·á
source: www.habr.com