На форуме Positive Hack Days 9 в течение двух дней пройдет секция по безопасной разработке сообщества Positive Development User Group. Участников ждут 12 выступлений: в первой части каждого дня пройдут технические доклады, во второй — посвященные бизнес-процессам.

21 мая

Владимир Кочетков и Валерий Пушкарь (Positive Technologies) поделятся опытом разработки эффективного статического анализатора JavaScript-кода, а также продемонстрируют работу анализатора на сложных примерах.

Сергей Хренов (PVS-Studio) расскажет о SAST, CWE, CVE, SEI CERT, DevSecOps и познакомит разработчиков со стандартами программирования, которые помогают создавать надежные приложения.

Доклад Михаила Щербакова (Королевский технологический институт, Швеция) посвящен уязвимостям в процессе десериализации в .NET. Слушатели также узнают, какие сериализаторы .NET уязвимы, какие инструменты можно использовать для поиска уязвимостей, какие payloads известны для .NET-приложений.

Как последовательно прививать безопасную разработку с самого начала обучения, расскажут Александр Чернов (МГУ) и Екатерина Трошина (ВШЭ). Они сформулируют цели и задачи обучения безопасной разработке на примере базовых курсов по низкоуровневому программированию и операционным системам.

Из выступления Сергея Горохова (EPAM Systems) слушатели узнают, как привести программный продукт в соответствие с европейским законом GDPR и что делать, если заказчик просит «сделать GDPR-compliant продукт».

?22 мая

?Актуальные вопросы безопасности Android-приложений затронут Дмитрий Терешин и Николай Исламов ?(Тинькофф-банк). Они выделят причины уязвимости Android-приложений, недостаточно освещенные в гайдах OWASP.

Презентация Алексея Дремина (независимый эксперт) — о построении конвейера непрерывной проверки приложений на безопасность. Он разберет, в какой момент запускать конвейер, как и какие интеграции нужно сделать c CI/CD, куда сохранять и где обрабатывать результаты.

О построении процесса безопасного программирования можно будет услышать на выступлении Владимира Садовского («М.Видео»). Он расскажет про архитектурное проектирование, автоматизированные тесты, выявление ошибок бизнес-логики, про bug bounty.

Алексей Рыжков (EPAM Systems), основываясь на опыте внедрения процессов безопасной разработки компании EPAM, расскажет о построении процесса анализа каждой фичи с точки зрения влияния на безопасность проекта (security impact analysis).

Сергей Прилуцкий (MixBytes) поднимет тему автоматического аудита безопасности смарт-контрактов: он расскажет об особенностях исполняемого кода смарт-контрактов и анализаторов для работы с ними на примере Ethereum Virtual Machine, а также о векторах атак на смарт-контракты и возможностях их автоматического детектирования.

Доклад Виталия Катунина (EPAM Systems) посвящен оценке рисков безопасности: слушатели узнают, как сделать оценку рисков прозрачной для всех стейкхолдеров и добиться обратной совместимости угроз и security-требований.

Антон Башарин (Swordfish Security) поделится своим опытом автоматизации процессов AppSec, сбора метрик, их визуализации и анализа.?

Как попасть на секцию

Для участников сообщества PDUG билеты на трек традиционно бесплатные, но их всего 100! Чтобы получить билет — подайте заявку и дождитесь ее подтверждения. Пожалуйста, указывайте реальные имя и фамилию, иначе оргкомитет будет вынужден отклонить заявку. После подтверждения регистрации вы получите приглашение по электронной почте. Регистрация закрывается 17 мая.

Посмотреть записи докладов с предыдущих PDUG-секций можно на YouTube-канале.