Baixado 21 vezes
Carregado poriMasters
DevCommerce Conference 2016: SecDevOps – Testes contínuos de segurança em aplicações
O documento discute a implementação de segurança contínua em DevOps, destacando a importância da integração de desenvolvedores e a utilização de ferramentas para testes de segurança. Aborda conceitos como SAST, DAST e RASP, além de frameworks de hardening e práticas recomendadas para incorporar a segurança no desenvolvimento. O autor, Marcos Ferreira, oferece também contatos para dúvidas e suporte na área de segurança.
Mais conteúdo relacionado
Semelhante a DevCommerce Conference 2016: SecDevOps – Testes contínuos de segurança em aplicações
![[GUTS-RS] - Testes de Segurança: O que preciso saber para planejar](https://cdn.slidesharecdn.com/ss_thumbnails/testesdeseguranca-guts-210827225920-thumbnail.jpg?width=640&height=640&fit=bounds)
DevCommerce Conference 2016: SecDevOps – Testes contínuos de segurança em aplicações
- 1. Testes contínuos de segurançaem aplicações
- 2. 15 anos deexperiência na área de SI Consultoria de segurança, Análise de vulnerabilidade e Pentest, Engenharia Social, Incident Response Voluntário no SANS Institute Top 20 Marcos Ferreira
- 3. Agenda • O queé o SecDevOps? • Onde e quando é implementado? • Ferramentas para testes • Dúvidas • Contatos
- 4. Como funciona oDevOps • Entrega e implementação contínua • Não precisa esperar release • Entrega de features • Agilidade
- 5.
- 6.
- 7. Processo atual • Processosmanuais • Documentos antigos • Não são ágeis • Levam muito tempo Normas Dev Testes Pentest Scans Ops ISO / PCI / OWASP / Políticas
- 8. Como começar • Planejea segurança • Traga os desenvolvedores para próximo de segurança • Disponibilize ferramentas • Faça verificações constantes
- 9. Implementar sec noprocesso Source: https://insights.sei.cmu.edu/sei_blog/2014/12/security-in-continuous-integration.html
- 10. SAST, DAST ouRASP? • Static Application Security Testing (SAST) • Acesso ao código fonte • Verificação bem detalhada • Dynamic Application Security Testing (DAST) • Baseado em requisições e respostas • Não precisa ter acesso ao código fonte • Runtime Application Self-Protection (RASP) • Identificação e bloqueio de ataques em tempo real • Integrado diretamente na aplicação
- 11. Ferramentas de testese DevSecOps GAUNTLT Hardening Framework Mittn
- 12. Hardening Framework • AutomaticServer Hardening • Chef, Puppet e Ansible • OS hardening • SSH / MySql / PostgreSQL / Apache / Nginx • Ubuntu / RedHat / CentOS / Debian http://dev-sec.io/
- 13. Clair • Análise devulnerabilidade estática • Containers Appc e Docker • Ubuntu / RedHat / Debian https://github.com/coreos/clair
- 14. Bdd-Security • Behavior-Driven Development(BDD) • Framework escrito Java e based no JBehave e Selenium 2 (WebDriver) • Usa o formato Given, When, Then • Pode ser integrado com Jenkins • Integração com OWASP ZAP / Nessus • Não precisa de acesso ao código https://github.com/continuumsecurity/bdd-security
- 15. GAUNTLT • Behavior-Driven Development(BDD) • Baseado em ruby • Usa o formato Given, When, Then • Integração com Nmap / sqlmap / arachni http://gauntlt.org/
- 16. Mittn • Projetado nocontexto de Continuous Integration • Baseado em python • Usa o formato Given, When, Then • Integração com Burp / sslyze / Radamsa https://github.com/F-Secure/mittn
- 17.
- 18. SEMPRE TESTE... ...E ATUALIZETUDO! =)
- 19.
- 20. Email: marcos.ferreira@siteblindado.com.br Linkedin: https://br.linkedin.com/in/mferreira Blog:http://labs.siteblindado.com Fone: +55 11 3454-3310 Marcos Ferreira Obrigado!
- 21.