Sergey Gordeychik, Application Security in real word

Безопасность прикладных систем. Разработчик, аудитор, пользователь. Сергей Гордейчик Positive Technologies

Зачем заниматься безопасностью приложений? ,[object Object],[object Object],[object Object],[object Object]

Регулятивные требования ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Регулятивные требования ,[object Object],Степень соответствия PCI DSS (WASC) Степень соответствия PCI DSS ASV (WASC)

[object Object],Собственно безопасность

Собственно безопасность «Статистика уязвимостей Web-приложений за 2008 год» - WASC

Пример : атака на Heartland Payment Systems «США против Гонзалеса и сообщников»

Сценарий ,[object Object],[object Object],[object Object],[object Object],Схема действовала с октября 2006 г. по май 2008 г. Было скомпрометировано 130,000,000 карт. Несмотря на предупреждения о возможном фроде, HPS признала утечку и оповестила клиентов только в январе 2009 Это самая масштабная утечка, по ее итогам HPS была «задним числом» признана не соответствующей PCI DSS

PR, MC & Business ,[object Object],[object Object],[object Object]

PR, MC & Business NetCraft Market Share for Top Servers Авторитетная аналитическая компания призывает всех незамедлительно отказаться от использования веб-серверов Microsoft. В них столько ошибок, что это представляет реальную опасность 25 сентября 2001 года, 15:45 | Текст: К. Т.

Just for FUN ,[object Object],[object Object],[object Object],[object Object]

Безопасное Web- приложение ,[object Object],[object Object]

Безопасное Web- приложение ,[object Object],Проектирование Разработка Поддержка

Проектирование ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Проектирование - Учет требований безопасности ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Проектирование - Источники ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

OWASP TOP 10 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Больше ориентирован на разработку

Web Application Security Consortium WSTCv2 ,[object Object],[object Object],Две группы: уязвимости и атаки. Наиболее полное описание проблем безопасности Web- приложений

Common Weakness Enumeration ,[object Object],Исчерпывающее описание уязвимостей и атак Различные взгляды на данные – для разработчиков, исследователей…

Разработка – реализация требований безопасности ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Разработка – Тестирование ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Тестирование – что лучше? «Статистика уязвимостей Web-приложений за 2008 год» - WASC

Поддержка – поддержание защищенного состояния ,[object Object],Фактическое устранение уязвимостей

Поддержка – уязвимости после «запуска» приложения ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Поддержка – вовлеченные стороны ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Устранение уязвимостей – попытки формализации ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Спасибо за внимание! [email_address] http://www.ptsecurity.ru/ http://sgordey.blogspot.com/

Sergey Gordeychik, Application Security in real word

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to Sergey Gordeychik, Application Security in real word

Similar to Sergey Gordeychik, Application Security in real word (20)

More from qqlan

More from qqlan (20)

Sergey Gordeychik, Application Security in real word