Разглядываем CodeScoring с помощью Natch

ГОСТ Р 56939-2024 описывает общие требования к процессам разработки безопасного ПО – от образования, до технической поддержки, от статического, до динамического анализа, однако особое внимание уделяется определению поверхности атаки, то есть поиску множества потенциально уязвимых функций и модулей ПО, занимающихся обработкой пользовательских данных или чувствительной информации, а также интерфейсов, через которые эти данные поступают. Обычно поверхность атаки определяют экспертным методом, однако тут же возникает вопрос полноты этого метода: что если эксперт пропустил действительно важные функции, участвующие в обработке данных, поскольку ПО имеет распределенную архитектуру, за потоком данных которой очень сложно следить извне, или выбрал такие функции для фаззинга, которые даже не задействованы при обработке пользовательских данных? Какие тогда функции выбирать?

https://habr.com/ru/companies/isp_ras/articles/892548/

#natch #codescoring

Как надёжно стереть секретную информацию из базы данных

Зачем вообще "надёжно" стирать данные? Главное же, чтобы пользователь через интерфейс СУБД не мог их достать. Мало ли, что там за остатки данных в файлах болтаются, это же не проблема. Или нет?

https://habr.com/ru/companies/isp_ras/articles/827830/

#natch #mariadb #postgresql #mysql

Зачем искать поверхность атаки для своего проекта

Любые программные системы включают в себя нужные и не очень нужные пакеты. Получается огромный объём кода (для одного несложного сайта npm list -a выдаёт список из 4256 зависимостей). А так как "весь код — это ваш код", то такие зависимости надо тестировать. И регулятор требует, да и просто собственные продукты хочется защитить от вторжений, утечек и других неприятностей.

https://habr.com/ru/companies/isp_ras/articles/801459/

#natch #qemu #sdlc #безопасная_разработка

Как найти поверхность атаки незнакомых приложений с помощью Natch

Поиск ошибок в программах дело творческое и интересное. Чаще всего мы ищем ошибки в своём коде, чтобы его починить. Кто-то может искать ошибки в чужом коде, чтобы его сломать или поучастовать в баунти-программе. А вот где именно искать ошибки? Какие функции тестировать? Хорошо, если программа полностью ваша. Но что если вы занимаетесь тестированием, а эти программисты постоянно придумывают что-то новое? Никаких рук не напасёшься. Как хоть немного автоматизировать процесс?

https://habr.com/ru/companies/isp_ras/articles/788490/

#natch #qemu #безопасная_разработка_приложений #фаззинг #поверхность_атаки #sdlc

Stichwort #Zahnputztabletten

#choose ziehen innerhalb kürzester Zeit Feuchtigkeit. Werden pappig und zerbröseln.
Nix gut!

#Denttabs blödes Gefühl beim zerkauen. Geschmack gut, für mich zu wenig Schaum.
Ganz Ok.!

#natch (black)
Wow. Lecker, vllt einen ticken zu süss. Frisch. Gutes Mundgefühl.
Nehme ich weiter, freu mich auf die anderen Sorten.