DevSecOps Talks

Защита Kubernetes с Kyverno и KubeArmor Всем привет! В статье Автор рассматривает способы обеспечения безопасности кластера Kubernetes в двух «временных точках». Первая – контроль того, что запускается. Для этого он предлагает использовать Kyverno. Задача – сократить вероятность того, что будет создано «нечто», что противоречит требованиям ИБ. Однако, мир не идеален. На все случаи жизни политики не напишешь. Поэтому важна и вторая «временная точка» – защита того, что уже запущено. Для этого Авто...

sk8r: Kubernetes Dashboard Clone! Всем привет! Небольшой пятничный пост. Да! sk8r – еще один open-source дашборд для работы с кластерами Kubernetes. Он может: 🍭 Создавать, просматривать, изменять Kubernetes-ресурсы 🍭 Отображать логи pod’ов в режиме реального времени 🍭 Отображать информацию о метриках за счет интеграции с Prometheus 🍭 Получать доступ к терминалу pod’a Да, ничего сверхъестественного. С другой стороны – всё очень лаконично и просто, ничего лишнего для получения «первичной инфор...

Docker Time Machine Пятница! Самое время для совершения путешествий во времени! И Docker Time Machine (DTM) может в этом помочь. Эта утилита автоматизирует процесс анализа различных версий (тэгов) одного и того же образа контейнера. Может работать как с реестром (скачивается только meta-информация об образе), так и с git-репозиторием (для каждого commit создается образ и осуществляется сравнение). DTM позволяет: 🍭 Осуществлять «послойный» анализ образов 🍭 Идентифицировать изменения в размере о...

Agentic AI Threat Landscape Всем привет! В статье (~ 25 минут на прочтение) можно найти информацию о способах атак и защиты на агентские AI. Начинается всё с погружения в контекст – как именно работают AI агенты, и какие могут быть фундаментальные проблемы ИБ с ними связанные. Далее материал структурирован по разделам: 🍭 Indirect Prompt Injection 🍭 Tool Poisoning 🍭 Memory Poisoning 🍭 Data Exfiltration, Code Execution и 🍭 Expanding Attack Toolkit 🍭 Persistence, Backdoors и не только Для каж...

Безопасное использование пакетных менеджеров Всем привет! В марте 2026 года ENISA выпустила руководство «Technical Advisory for Secure Use of Package Managers», (~ 28 страниц), которое можно найти в приложении. В нём приводятся практики, позволяющие повысить уровень информационной безопасности при работе с пакетными менеджерами. Материал структурирован по разделам: 🍭 Solution architecture and data flows. Общее описание принципов работы пакетных менеджеров 🍭 Security risks in package consumptio...

Container Exploration Kit Всем привет! Бывают случаи, когда нужно «посмотреть» что-то внутри контейнера и при этом не хочется (или не представляется возможным) его запускать, делать exec и просматривать содержимое. Одним из возможных решений может оказаться Dive. Из нюансов – он хорош для получения информации о содержании и структуре, анализа слове и изменений, но… он все равно запускает контейнер. Если надо нечто более простое и с меньшим функционалом, то cek – Container Exploration Kit – может...

DevSecOps митап на CyberCamp! 27 марта в 12:00 МСК С прошлого DevSecOps митапа CyberCamp прошло целых три года, огромное количество событий успели произойти за это время, вышли новые фреймворки и инструменты DevSecOps, изменились подходы к анализу кода и процессам безопасной разработки. И все эти изменения будут освещены на самом большом митапе в истории CyberCamp! Интересные доклады, практические задания, море интерактива ждут тебя, дорогой читатель, как онлайн, так и в оффлайн-студии! Спикеры:...

Использование AI агентов для исследования CVE Всем привет! В статье от Praetorian описан концепт, в котором AI агенты используются для автоматизации процесса исследования уязвимостей (CVE). За основу взят Google’s Agent Development Kit (ADK), который «координирует» весь процесс, состоящий из 4-х шагов. Шаги представляют из себя: 🍭 Deep Research. Получение максимального количества информации о CVE 🍭 Technology Reconnaissance. Определение технологий, которые могут быть «подвержены» CVE 🍭 Actor-...

SecScore: оценка безопасности сборки Всем привет! SecScore – open-source утилита, которая позволяет описать правила (не) прохождения сборки, основываясь на критериях. Да, по факту это некий аналог Security/Quality Gate. Работает это примерно так: 🍭 Вы определяется «оценку», по достижении которой сборка считается «неудачной» (например, 100) 🍭 Для разных уровней критичности определяются свои веса (например, High – 20, Medium – 7 и т.д.) 🍭 Кроме этого, можно указать «Hard Fails» - т.е. нечто, че...

Gateway API Benchmarks Всем привет! Вопрос замены Ingress NGINX на нечто иное становится важнее день ото дня. Недавно был выпущен его финальный релиз, а в скором времени проект перейдёт в статус Archive. Одной из возможных замен является Gateway API. Но какую реализацию выбрать? Возможно, что вот это сравнение сможет вам помочь. В нем Авторы сравнивают реализации: 🍭 Agentgateway 🍭 Envoy Gateway 🍭 Istio 🍭 Kong 🍭 Traefik 🍭 Nginx (да, он все еще попал в сравнение) Помимо общих результатов сра...