# Занятие II: Анализ кода --- ## Обо мне Алимов Азиз Ведущий специалист по тестированию на проникновение в Bi.Zone --- ## Опыт работы Bi.Zone (5+ лет) --- ## Сертификаты Offensive Security Certified Professional (OSCP) Offensive Security Certified Expert (OSCE) Offensive Security Web Expert (OSWE) CREST Registered Penetration Tester (CRT) и другие --- ## Содержание урока - Безопасная разработка - Работа appsec специалиста - Ручной, статический анализ кода - Динамический анализ - Практическое задание по применению инструмента поиска уязвимостей в коде - Патчинг уязвимостей и проверка динамическим анализом --- ## SDLC Жизненный цикл разработки программного обеспечения ``` Идея - Сбор требований - Планировение/проектирование/дизайн - Разработка - Тестирование - Релиз - Сопровождение Окончание эксплуатации ``` --- ## SSDLC тут было много схем, а будут кейсы и вводная --- ## SSDLC  owasp samm open samm bismm miscrosoft --- ## Application Security Specialist ``` - Иметь навыки из процессов тестирования на проникновения - Понимание цикла разработки ПО - Глубокие знания в области безопасности веб-приложений/мобильных приложений/десктоп приложений - Знание языков программирования, стека технологий - Работа с документации - Иметь навыки коммуникации и SoftSkills ``` --- ## Какие задачи решают? ``` - выявлять и анализировать уязвимости информационной безопасности; - расследовать инциденты информационной безопасности; - участвовать в bug bounty программе; - консультировать разработчиков, помогая им строить безопасные сервисы; - исследовать вопросы безопасности различных технологий, предлагать решения и разрабатывать рекомендации по их безопасному использованию. ``` --- ## SAST (Static Application Security Testing) Тестирование «белого ящика». Позволяет разработчикам находить уязвимости безопасности в исходном коде приложения. Требует наличия исходных кодов Не требует выполнения исходного кода --- ## SAST Принцип работы - Промежуточное представление - Применение правил поиска уязвимостей к в промежуточном представлении. --- ## DAST (Dynamic Application Security Testing) Тестирование «черного ящика». Позволяет находить уязвимости в процессе исполнения. --- ## DAST Принцип работы - Первоначальная настройка - Запуск типовых сценариев и атак - Сбор результатов --- ## SAST vs DAST DAST также может пролить свет на проблемы времени выполнения, такие как: - проблемы аутентификации - проблемы конфигурации сервера - недостатки, видимые только при запуске приложения Обнаружить это с помощью статического анализа проблематично. ---  --- ### Практическое задание по поиску уязвимостей в коде Задачи для практики и оценки знаний расположены на платформе: redblue.hackeru.pro :::success Ваш логин: e-mail Ваш пароль: Последние 6 цифр номера телефона ::: --- ### Инструменты динамического анализа Известные инструменты: https://owasp.org/www-community/Vulnerability_Scanning_Tools --- ### Инструменты статического анализа Известные инструменты: https://owasp.org/www-community/Source_Code_Analysis_Tools --- ## Спасибо :cat: ### Вопросы