DevCommerce Conference 2016: SecDevOps – Testes contínuos de segurança em aplicações
•
1 j'aime•753 vues
Marcos Ferreira, Analista de Segurança Sênior do Site Blindado, palestrou sobre "SecDevOps – Testes contínuos de segurança em aplicações", no DevCommerce Conference 2016. O DevCommerce Conference 2016 aconteceu nos dias 06 e 07 de junho de 2016, no Hotel Tivoli em São Paulo-SP http://devcommerce2016.imasters.com.br/
Recommandé
Recommandé
Contenu connexe
Tendances
Tendances (20)
En vedette
En vedette (17)
Similaire à DevCommerce Conference 2016: SecDevOps – Testes contínuos de segurança em aplicações
Similaire à DevCommerce Conference 2016: SecDevOps – Testes contínuos de segurança em aplicações (20)
Plus de iMasters
Plus de iMasters (20)
Dernier
Dernier (20)
DevCommerce Conference 2016: SecDevOps – Testes contínuos de segurança em aplicações
- 1. Testes contínuos de segurança em aplicações
- 2. 15 anos de experiência na área de SI Consultoria de segurança, Análise de vulnerabilidade e Pentest, Engenharia Social, Incident Response Voluntário no SANS Institute Top 20 Marcos Ferreira
- 3. Agenda • O que é o SecDevOps? • Onde e quando é implementado? • Ferramentas para testes • Dúvidas • Contatos
- 4. Como funciona o DevOps • Entrega e implementação contínua • Não precisa esperar release • Entrega de features • Agilidade
- 7. Processo atual • Processos manuais • Documentos antigos • Não são ágeis • Levam muito tempo Normas Dev Testes Pentest Scans Ops ISO / PCI / OWASP / Políticas
- 8. Como começar • Planeje a segurança • Traga os desenvolvedores para próximo de segurança • Disponibilize ferramentas • Faça verificações constantes
- 9. Implementar sec no processo Source: https://insights.sei.cmu.edu/sei_blog/2014/12/security-in-continuous-integration.html
- 10. SAST, DAST ou RASP? • Static Application Security Testing (SAST) • Acesso ao código fonte • Verificação bem detalhada • Dynamic Application Security Testing (DAST) • Baseado em requisições e respostas • Não precisa ter acesso ao código fonte • Runtime Application Self-Protection (RASP) • Identificação e bloqueio de ataques em tempo real • Integrado diretamente na aplicação
- 11. Ferramentas de testes e DevSecOps GAUNTLT Hardening Framework Mittn
- 12. Hardening Framework • Automatic Server Hardening • Chef, Puppet e Ansible • OS hardening • SSH / MySql / PostgreSQL / Apache / Nginx • Ubuntu / RedHat / CentOS / Debian http://dev-sec.io/
- 13. Clair • Análise de vulnerabilidade estática • Containers Appc e Docker • Ubuntu / RedHat / Debian https://github.com/coreos/clair
- 14. Bdd-Security • Behavior-Driven Development (BDD) • Framework escrito Java e based no JBehave e Selenium 2 (WebDriver) • Usa o formato Given, When, Then • Pode ser integrado com Jenkins • Integração com OWASP ZAP / Nessus • Não precisa de acesso ao código https://github.com/continuumsecurity/bdd-security
- 15. GAUNTLT • Behavior-Driven Development (BDD) • Baseado em ruby • Usa o formato Given, When, Then • Integração com Nmap / sqlmap / arachni http://gauntlt.org/
- 16. Mittn • Projetado no contexto de Continuous Integration • Baseado em python • Usa o formato Given, When, Then • Integração com Burp / sslyze / Radamsa https://github.com/F-Secure/mittn
- 18. SEMPRE TESTE... ...E ATUALIZE TUDO! =)
- 19. Dúvidas
- 20. Email: marcos.ferreira@siteblindado.com.br Linkedin: https://br.linkedin.com/in/mferreira Blog: http://labs.siteblindado.com Fone: +55 11 3454-3310 Marcos Ferreira Obrigado!