Доброго вечора)

Я знаю, я обіцяв і не забув.
Сьогодні трохи про безпеку. Не лекція, а просто по-людськи, шо я юзав, юзаю, і за що не соромно порадити.
Тема реально зараз гаряча, всі говорять про CVE, вразливості, атаки на прод, і навіть QA вже не може нічого не знаю, я тільки тестую кнопочки.

Ну шо я маю вам сказать ось вам 4 тули, які я сам юзав и окремі юзаю іноді зараз

Snyk, коли треба перевірити код і залежності
Юзав його прямо в CI, бо він може автоматом знайти вразливі бібліотеки ще до релізу.
CVE-шки витягує це прям кайф.
Як мінус це трохи обмежений безкоштовний тариф, але на перевірити вистачає.
https://snyk.io/

ZAP (OWASP) ну це прям класика для перевірки вебдодатків (DAST) ну я думаю багато хто про нього знає)
Я його юзаю, коли треба швидко прогнати фронт.
Просто, без зайвого, є UI, можна інтегрувати.
Для автоскану на тесті прям те, що треба.
Поставив, запустив, і він уже щось гризе твій проєкт
https://www.zaproxy.org/

Burp Suite якщо хочеш прямо сам руками все перевірити
Юзається для ручного тестування безпеки, редіректи, токени, фуззинг, інспекція респонсів.
Це вже не натисни кнопку а це прямо дай-но я сам подивлюсь, що ви тут натворили.
Складніший, але кайфовий інструмент.
https://portswigger.net/burp/pro

Nessus це коли ми говоримо вже не про UI, а про сервери і мережі
Я юзав його, коли треба було глянути, чи є відкриті порти, погано захищені сервіси, або просто пробігтись по інфраструктурі.
Юзав у внутрішній мережі між сегментами допоміг знайти лишні доступи, які мали б бути закриті.
https://www.tenable.com/products/nessus

Це, звісно, не повний список, але ті, які реально працювали у мене в роботі, не з гугла, а з життя.

Якщо цікаво то з вас серденько, зроблю по кожному окремо мінігайд як, де і навіщо юзати.

Пишіть, що пробували самі і який тул у вас must-have.

Всім гарного вечора) і не тикайте на почті лінки про те шо ви виграли 100000000000000$
Обняв 💙