Frontend Risks #1: CMS Битрикс отправляет данные ваших клиентов в Ирландию

В результате проведенного мной исследования безопасности 3000 российских frontend-приложений было обнаружено, что CMS Битрикс более 11 лет передает персональные данные посетителей сайтов на территорию Ирландии. Компании рискуют получить штрафы Роскомнадзора за трансграничную передачу данных без уведомления регулятора.

https://habr.com/ru/articles/919534/

#1СБитрикс #персональные_данные #система_аналитики #ндв #frontend #безопасность_вебприложений #безопасная_разработка #devsecops #рбпо #роскомнадзор

Фильтрация предупреждений PVS-Studio, выявляющих критические ошибки (согласно классификации ГОСТ Р 71207-2024)

ГОСТ Р 71207-2024 "Статический анализ кода" выделят класс дефектов в коде, называемых критическими ошибками. При разработке безопасного программного обеспечения (РБПО) такие дефекты должны в обязательном порядке выявляться и исправляться в приоритетном режиме. Статический анализатор PVS-Studio разрабатывается с учётом этого стандарта и позволяет выявлять все типы критических ошибок в коде программ, написанных на языках C, C++, C#, Java. Рассмотрим эти типы предупреждений и как их можно выделить среди других предупреждений, выдаваемых анализатором.

https://habr.com/ru/companies/pvs-studio/articles/919456/

#pvsstudio #статический_анализ_кода #фстэк #гост_р_712072024 #C #C++ #c# #java #рбпо #программирование

Необходимость статического анализа для РБПО на примере 190 багов в TDengine

Одна из важнейших составляющих безопасной разработки программного обеспечения — это статический анализ кода. Он позволяет выявить ошибки и потенциальные уязвимости на ранних этапах разработки ПО, что сокращает стоимость их исправления. Но что ещё важнее, он позволяет выявить те проблемы и дефекты безопасности, о которых разработчики даже не подозревают.

https://habr.com/ru/companies/pvs-studio/articles/907674/

#рбпо #статический_анализ_кода #sast #информационная_безопасность #iot #iot_разработка #pvsstudio #ГОСТ_Р_569392024 #гост_р_56939 #гост_р_712072024 #разработка_безопасного_по #TDengine

Регуляторика РБПО. Часть 5 – Ответственность, взгляд в будущее, инфографика всего обзора

Приветы после долгого перерыва! С вами Альбина Аскерова, руководитель направления по взаимодействию с регуляторами в Swordfish Security. Сегодня в завершающей статье по Регуляторике РБПО: - напомним о применимой законодательной ответственности, - расскажем, что сейчас в проектах у регуляторов на 2025 год, а что уже есть нового утвержденного, - покажем майндкарты регуляторики. В конце будет розыгрыш мерча, который обещали в 1 части 😊

https://habr.com/ru/companies/swordfish_security/articles/905168/

#безопасная_разработка #безопасность_приложений #регуляторика #devsecops #рбпо #гост #нормативные_требования #законодательство #требования_регуляторов #информационная_безопасность

РБПО на конвейере: как Hantis избавляет исследователя от рутины

Команда направления безопасности разработки программного обеспечения «Базальт СПО» создала инструмент, позволяющий минимизировать рутинные операции при проведении РБПО-исследований. Конвейер автоматизации Hantis был представлен на ТБ Форуме 2024 , а теперь мы рассказываем о нем и здесь.

https://habr.com/ru/companies/basealtspo/articles/889892/

#hantis #basealt #alt_linux #рбпо #конвейер_автоматизации #статистический_анализ #фаззинг #linux #альт #базальт_спо

PVS-Studio соответствует требованиям ГОСТ Р 71207—2024 (статический анализ программного обеспечения)

Инструментальное средство PVS-Studio разрабатывается с учётом требований, предъявляемых к статическим анализаторам в ГОСТ Р 71207–2024, выявляет критические ошибки и может использоваться при разработке безопасного программного обеспечения. Рассмотрим функциональные возможности, реализованные в PVS-Studio на конец 2024 года в отношении анализа исходного кода программного обеспечения, написанного на компилируемых языках программирования C, C++, C#, Java.

https://habr.com/ru/companies/pvs-studio/articles/868578/

#pvsstudio #информационная_безопасность #статический_анализ_кода #ГОСТ_Р_712072024 #ГОСТ_Р_71207 #ГОСТ_Р_56939 #SAST #c #c++ #java #c# #си #си++ #static_code_analysis #анализ_программы #анализ_потоков_данных #контекстночувствительный_анализ #критические_ошибки #CWE #SARIF #РБПО #разработка_безопасного_ПО #использование_чувствительных_данных

Использование статических анализаторов кода при разработке безопасного ПО

Как часто анализировать проект? Сколько анализаторов использовать? Как размечать полученные предупреждения? Отвечаем на эти и другие вопросы, разбираясь в подробностях свежего ГОСТ Р 71207-2024, посвящённого статическому анализу.

https://habr.com/ru/companies/pvs-studio/articles/854248/

#ГОСТ_Р_71207–2024 #РБПО #Критическая_ошибка #ГОСТ_Р_56939–2016 #Информационная_безопасность #Статический_анализ

ГОСТ Р 71207–2024 глазами разработчика статических анализаторов кода

1 апреля 2024 года введён в действие новый ГОСТ "Статический анализ программного обеспечения". Если в ГОСТ Р 56939–2016 говорится о необходимости использования статического анализа при разработке безопасного программного обеспечения (РБПО), то ГОСТ Р 71207–2024 уточняет, что именно это означает. В стандарте: перечислены требования к инструментам статического анализа; указано, какие ошибки они должны находить; какие технологии использовать; описан порядок внедрения в процесс разработки; описан процесс регулярного использования; и так далее. Информация в ГОСТ очень плотная, и её тяжело сразу воспринять, если вы ранее не имели дело со статическим анализом кода и РБПО. Поэтому я подготовил и провёл цикл из 5 вебинаров, где разобрал различные аспекты ГОСТ и примерами пояснил некоторых термины. Вебинары вытекают один из другого, но в принципе они достаточно независимые, и вы можете начать знакомиться с новым ГОСТ с просмотра любого из них. Но обо всём по порядку.

https://habr.com/ru/companies/pvs-studio/articles/844070/

#статический_анализ #статический_анализ_ПО #ГОСТ #ГОСТ_Р_71207–2024 #ГОСТ_Р_56939–2016 #РБПО #pvsstudio #информационная_безопасность #критические_ошибки #вебинары #вебинары_для_разработчиков #вебинары_по_инфобезопасности #C++ #C# #Java