DevSecOps Talks

Public

Просмотреть канал

18.6K

7.3K

4.9K

Не можете присоединиться? @devsecops_weekly

7.7k Участники

Обновлено: May 5, 2026 at 7:05 PM

DevSecOps Talks

Рассказываем об актуальном в мире DevSecOps. Канал DevSecOps-команды "Инфосистемы Джет"

Join @devsecops_weekly for exclusive devsecops and devsecops content and discussions in 12

Рейтинг

Глобальный рейтинг

#456

Рейтинг по языку

#45

Рейтинг по категории

#23

-1

Рост участников (Последние 3 дней)

Всего: 7.7K

Рост за 24ч: +0 0%

Последние посты

DevSecOps Talks

23 апр. 2026 г., 07:04

Безопасность CI/CD: рекомендации Latio

Всем привет!

Сканирование зависимостей и образов контейнеров на наличие уязвимостей практика, безусловно, полезная, но не всегда достаточная.

Особенно, когда речь касается безопасности процесса сборки. Причина проста – поверхность атаки гораздо больше.

Чтобы разобраться что к чему и с чего начать, можно воспользоваться https://pulse.latio.tech/p/the-complete-guide-to-preventing от Latio.

Ребята собрали набор практик по следующим разделам:
🍭 Third-Party Packages
🍭 Container Images
🍭 GitHub Actions
🍭 Infrastructure-as-Code Modules
🍭 AI/ML Modules
🍭 IDE Extensions and Developer Tools

Для каждого раздела приведен checklist, состоящий из двух разделов.

Первый – Immediate Actions – описывает высокоприоритетные задачи, которые помогут значительно «сократить» поверхность атаки.

Второй – Long-term Initiatives – предлагает набор практик для развития и дальнейшего улучшения.

В завершении статьи можно найти примеры атак по рассмотренным выше областям.

Кстати, проверки всех checklist’ов можно автоматизировать с использованием Claude Code Plugin, ссылку на который можно найти в статье.

1,890

DevSecOps Talks

23 апр. 2026 г., 07:04

GitHub Actions: Security Roadmap

Всем привет!

События последних недель ясно дали понять, что безопасность цепочки поставки ПО – вещь достаточно важная и значимая.

Команда GitHub это понимает и ведёт работы в этом направлении. Недавно они опубликовали перечень нововведений, которые будут реализованы для повышения уровня информационной безопасности.

Ознакомиться с получившимся Security Roadmap можно по https://github.blog/news-insights/product-news/whats-coming-to-our-github-actions-2026-security-roadmap.

Если говорить в общем, то работа ведётся в трёх направлениях:
🍭 Ecosystem. Явное определение зависимостей и безопасная публикация
🍭 Attack Surface. Управление политиками, настройками по умолчанию и ограничение области действий учётных данных
🍭 Infrastructure. Контроль действий в реальном времени, ограничение сетевого взаимодействия runner’ов

Для каждой области в статье описано что именно планируется реализовать. Например, раздел dependencies, в котором можно явно указать необходимый перечень для сборки.

Или же создание политик, которые явно определяет кто именно/какое событие может запускать сборку.

И, конечно же, какой Roadmap без сроков – информацию о доступности нововведений можно найти в статье.

1,780

DevSecOps Talks

23 апр. 2026 г., 07:04

📷 Photo

Регистрация на Альфа ЦТФ уже открыта ⚡️

25 апреля Альфа-Банк проводит соревнование по захвату флага — Цепляй Трофейный Флаг. Будете искать уязвимости на городских высотах и бороться за призовой фонд 3 100 000 рублей.

Что нужно сделать:
➡ Выпить бодрящий кофе перед стартом и настроиться на маршрут
➡ Сгонять на велозаезд — или хотя бы сделать вид
➡ Искать флаги как в городе, так и внутри систем
➡ Не теряться на сложных участках
➡ Находить и разбирать уязвимости

Во время соревнования будут доступны ИТ-хабы в Москве, Санкт-Петербурге, Екатеринбурге и Сочи, а также коворкинги в вузах-партнёрах: Финансовом университете, ИТМО и Сириусе.

Будет 4 направления:
🚩 ЦТФ-трек для специалистов по ИБ и опытных игроков, которые готовы к сложным заданиям
🔢 ИТ-трек для ИТ-специалистов кроме тех, кто работает в кибербезопасности или участвовал в соревнованиях по спортивному хакингу
😁 Студенческий трек для учащихся вузов и колледжей
👟 Школьный трек — впервые могут участвовать подростки 14–18 лет

https://alfa.me/xzoEXY, собирайте команду или залетайте в соло!

DevSecOps Talks

23 апр. 2026 г., 07:04

Infralens: анализ service-to-service взаимодействия

Всем привет!

https://github.com/Herenn/Infralens – open-source проект, который использует eBPF для автоматического обнаружения и визуализации взаимодействия service-to-service в кластерах Kubernetes.

Из ключевых функций можно отметить:
🍭 Отсутствие инструментации: никаких sidecars, изменения кодовой базы
🍭 Отображение топологии в режиме реального времени
🍭 Поддержка IPv4 и IPv6
🍭 Аналитика потребляемых ресурсов (CPU, RAM) узлами кластера
🍭 Интерактивная визуализация и не только

Кроме этого, Infralens позволяет генерировать автоматическое описание используемых сервисов при помощи AI.

Такая документация включает в себя: что делает сервис, какие используются технологии для его создания, описание сетевого поведения и т.д.

Подробности про возможности Infralens, его архитектуру, способы установки и настройки можно найти в GitHub-репозитории проекта.

2,300

DevSecOps Talks

23 апр. 2026 г., 07:04

Безопасная работа с npm

Всем привет!

В https://github.com/lirantal/npm-security-best-practices собраны лучшие практики, позволяющие повысить уровень информационной безопасности при работе с npm.

Глобально материал «разбит» на разделы:
🍭 npm Security Best Practices
🍭 Secure Local Development Best Practices
🍭 npm Maintainer Security Best Practices
🍭 npm Package Health Best Practices

Каждый из описанных выше разделов состоит из набора рекомендаций, перечень которых варьируется.

Для каждой рекомендации приводятся некоторые советы и набор команд, в которых указано как её можно реализовать на практике.

Кратко, по делу и ничего лишнего. Рекомендуем!

2,550

DevSecOps Talks

23 апр. 2026 г., 07:04

Атака на цепочку поставки: LiteLLM

Всем привет!

Атака на Trivy – вероятно самая обсуждаемая тема нескольких последних недель.

Но не ей единой. Компрометации подверглась и LiteLLM.

47 000 скачиваний уязвимых версий (1.82.7, 1.82.8) за 46 минут.

Вредоносное ПО делает следующее:
🍭 Сбор чувствительных данных (SSH-ключи, информация из конфигурационных файлов, shell-история и т.д.)
🍭 Собранные данные зашифровываются и передаются на https://models.litellm.cloud
🍭 Кроме этого, если присутствует Kubernetes Service Account Token, то вредоносное ПО пытается получить доступ о всех секретах кластера и создать pod и сделать некоторый mount на узел кластера

Подробнее об атаке на LiteLLM можно прочесть в статьях: https://futuresearch.ai/blog/litellm-hack-were-you-one-of-the-47000/ посвящена общему анализу и хронологии событий, https://futuresearch.ai/blog/litellm-pypi-supply-chain-attack/ – описанию вредоносного ПО.

2,230

DevSecOps Talks

23 апр. 2026 г., 07:04

Kubelet: зачем он нужен и как устроен

Всем привет!

Kubelet – основной «агент» узлов кластера, который отвечает за жизненный цикл запускаемых на нём pod’ов.

Поэтому понимание принципов его работы крайне важно. Особенно, если pod постоянно находится в состояниях Pending или ContainerCreating.

Помочь в этом сможет https://issaouiadam.medium.com/the-kubelet-deep-dive-understanding-pod-startup-failures-155f94ba7433, в которой Автор сделал очень неплохой «обзор» на Kubelet.

Материал содержит разделы:
🍭 Архитектура Kubelet
🍭 Основные (core) компоненты Kubelet
🍭 Описание процесса создания pod
Механизм синхронизации
🍭 Описание основных причин «падения» контейнеров и не только

Очень много различных схем, диаграмм последовательностей, примеров команд, позволяющих разобраться в происходящем.

Самое «то» для того, чтобы лучше представлять себе процесс создания pod и его основных «участников».

2,190

DevSecOps Talks

23 апр. 2026 г., 07:04

📷 Photo

Митап по DevSecOps от СyberCamp — скоро начинаем 😄

😎😎😎😎😎
😎😎😎😎😎

Подключайтесь к трансляции в https://vkvideo.ru/video-18872388_456239818?sh=4 в 12:00 МСК. Топовые ведущие — Полина и Антон! Вместе с нашими гостями поговорим про:

12:10 SAST в DevSecOps
12:50 Моделирование угроз при разработке ПО
13:25 Композиционный анализ ПО
14:05 Будни AppSec
15:20 Анализ состава образов контейнеров
15:50 Защиту мобильных устройств
16:30 Динамический анализ ПО
17:25 Масштабирование анализа уязвимостей в AppSec
18:10 Безопасность контейнерной инфраструктуры

Смотрите эфир в https://vkvideo.ru/video-18872388_456239818?sh=4 https://vkvideo.ru/video-18872388_456239818?sh=4 задавайте вопросы спикерам и следите за событиями митапа в чате комьюнити CyberCamp.

⚠️ Киберучения на платформе Jet CyberCamp стартуют завтра в 10:00 МСК. Сегодня мы пришлем всем участникам инструкцию по доступу — скачайте заранее необходимые для заданий материалы.

🧿  https://cybercamp.su/devsecops-episode2?utm_source=tg&utm_medium=post&utm_campaign=cc_dso_2&utm_term=cybercamp-hello l 👋 Комьюнити
🥰 https://t.me/boost

DevSecOps Talks

23 апр. 2026 г., 07:04

📎 File

The Agentic Coding Security Report

Всем привет!

В приложении можно найти небольшой отчёт (~ 14 страниц) от DryRun Security – The Agentic Coding Security Report.

В нём отражена точка зрения на вопрос: «AI-агенты всё чаще и чаще используются для разработки ПО. Но как это влияет на уровень информационной безопасности?».

Для этого команда «поставила задачу» трём агентам – Claude, Codex и Gemini – по разработке ПО с последующей его «доработкой» через PR.

По завершению «работы» итоговые варианты программного обеспечения были проанализированы на наличие ИБ-дефектов.

Если кратко, то:
🍭 87% PR содержали ИБ-дефекты
🍭 Большинство ИБ-дефектов были «Высокого» уровня критичности
🍭 Разные агенты допускали идентичные ошибки (Broken Access Control, TOCTOU, XSS, User Enumeration и т.д.)
🍭 Codex показал лучшие результаты ☺️

Больше деталей, включая описание подхода к реализации поставленной задачи и описание итоговых результатов, можно найти в отчёте.

2,500

DevSecOps Talks

23 апр. 2026 г., 07:04

Изучаем Istio: the Hard Way

Всем привет!

Если вы хотели притронуться к технологии Service Mesh и руки всё никак не могли дойти, то, возможно, эта https://dev.to/denyme24/learning-istio-the-hard-way-a-real-service-mesh-lab-with-canary-mtls-and-tracing-m82 сможет вам помочь.

В ней Автор на примере Istio разбирает что это такое, как это работает и как настраивается.

Статья содержит разделы
🍭 Описание «лаборатории» (все материалы можно найти в этом https://github.com/Denyme24/3RVision-Platform)
🍭 Краткое описание логики работы Istio
Управление трафиком (VirtualServices, DestinationRules, Subsets)
🍭 Реализация ZeroTrust-концепта с использованием mTLS
🍭 Балансировка нагрузки и не только

Краткое описание того, что происходит приводится в статье.

Если нужно больше информации (например, для самостоятельного воспроизведения), то её можно найти в GitHub-репозитории.

2,400

Showing 10 of 10 posts

No more posts

Рейтинг

Требуется вход

Отзывы пользователей (0)

Пока нет отзывов. Будьте первым, кто поделится своим опытом!

DevSecOps Talks

DevSecOps Talks

Рейтинг

Рост участников (Последние 3 дней)

Последние посты

Рейтинг

Отзывы пользователей (0)

Похожие каналы Telegram

Музыка со вкусом. 1968

Архивный гик

Аркадий II Романов

hot stud1es 4 cool k1ds

РАДИО🎙️ОРАТОР ОТ ДУШИ

Душевные инвест-подкасты

В огороде Деррида

baCk2fUtuRe Sounds

Похожие каналы Telegram

Музыка со вкусом. 1968

Архивный гик

Аркадий II Романов

hot stud1es 4 cool k1ds

РАДИО🎙️ОРАТОР ОТ ДУШИ

Душевные инвест-подкасты

В огороде Деррида

baCk2fUtuRe Sounds

Отзывы пользователей (0)

Последние посты