Встроить сканеры в пайплайн не так сложно. SAST, SCA, DAST, secret detection, контейнеры, IaC, все это можно прикрутить, настроить пороги, сделать красивые дашборды и радостно наблюдать, как разработка начинает ненавидеть безопасность еще чуть сильнее.
Но мне не нужен человек, который просто относит отчетики разработчикам.
• Вот тут у вас high, почините
• А как починить?
• Ну там в отчете написано
• А это вообще эксплуатируется?
• Сканер сказал
• А почему это не false positive?
• Ну...
Вот на этом месте DevSecOps заканчивается и начинается курьерская доставка PDF.
Нормальный инженер должен понимать, что он принес разработке. Почему это уязвимость, как она работает, в каких условиях реально эксплуатируется, какой impact, как это нормально закрыть и как проверить, что закрыли.
Не обязательно быть пентестером уровня «я руками переписываю шеллкод на салфетке». Но если ты работаешь на стыке разработки и безопасности, ты должен уметь хотя бы базово воспроизвести проблему, объяснить механику и не развалиться от первого вопроса разработчика.
Потому что разработка не обязана верить сканеру. И часто правильно делает, что не верит.
DevSecOps это не про «запустил тулзу и пошел пить кофе». Это про то, чтобы встроить безопасность в процесс так, чтобы она была полезной, понятной и доказуемой.А для этого надо не только уметь включать сканеры, но и понимать, что они нашли. И иногда уметь сломать самому, чтобы потом нормально защитить
давно не было обсуждений на эту тему 😉 Ждем новое поколение "ИИ сказал, что не опасно?")
👀@ever_secure | 💪 Обучене | 💳Поддержать