Postgres Pro Team

Подборка материалов по DevSecOps от Кирилла Баранова и Максима Короткова, инженеров по информационной безопасности.

Забирайте себе и делитесь с коллегами.

🔘 Статьи:

Методика поиска уязвимостей в программном обеспечении, написанном на нескольких языках программирования
В работе описана разработанная методика для поиска уязвимостей в программном обеспечении, написанном на нескольких языках программирования (С, С++, Java, Python, Go).

В ходе ее разработки проведен анализ всех автоматически обнаруживаемых детекторов в программах на этих языках и элементов их конструкций, подлежащих анализу. Исследование выполнено с использованием статического анализатора Svace.

DevSecOps: принципы работы и сравнение SCA
Статья посвящена сравнению инструментов анализа состава ПО (Software Composition Analysis, SCA) в DevSecOps: OWASP Dependency Check, Dependency Track и коммерческого Sonatype Nexus IQ.

Использование инструментов композиционного анализа
Статья посвящена композиционному анализу ПО как одному из методов обеспечения безопасности при разработке. Композиционный анализ выполняется на этапе сборки приложения, исследуя все сторонние компоненты и их зависимости по базам известных уязвимостей. В статье есть дорожная карта внедрения.

🔘 Книги:

Эндрю С. Таненбаум и Херберт Бос «Современные операционные системы. 4-е издание»
Настольная книга для всех, кто серьезно изучает компьютерные науки. Уникальное сочетание классической теории и современной практики, написанное признанными экспертами живым языком.

SEI CERT C Coding Standard (2016 Edition)
Набор правил и рекомендаций для написания безопасного, надежного и защищенного кода на C, который минимизирует количество уязвимостей и неопределенного поведения.

Брайан Уорд «Внутреннее устройство Linux. 3-е издание»
Практическое руководство, которое последовательно раскрывает принципы работы операционной системы Linux — от командной строки до глубинных механизмов ядра и подсистем. 

Джульен Вехен «Безопасный DevOps. Эффективная эксплуатация систем»
Практическое руководство о том, как встроить безопасность в современные процессы разработки и эксплуатации программного обеспечения.

🔘 Дополнительные материалы по безопасной разработке:

Многоуровневый статический анализ исходного кода для обеспечения качества программ
Статический анализ исходного кода является одним из ключевых методов поиска дефектов. В работе рассмотрены инструменты статического анализа для языков С, С++, Java, C#. Материал на правах рукописи, автор: Белеванцев А.А.

Путеводитель C++ программиста по неопределенному поведению
Коллекция примеров и описаний ситуаций на языках C и C++, приводящих к неопределенному поведению. Ценный, хотя и неофициальный ресурс. Автор: Дмитрий Свиридкин.

🔹 🔹 🔹

Уже читали это? Круто, нам как раз нужен инженер ИБ с сильной базой в C: знающий C99 и SEI CERT C и с опытом анализа кода и поиска уязвимостей, умеющий читать Go-код и работать с SAST/SCA.

Присылайте резюме, очень ждем.
#польза

Спор о shift-left и shift-right начался задолго до CI/CD — во времена космической гонки.

Сегодня для айтишников shift-left — это поймать как можно больше проблем до релиза. Shift-right — посмотреть, как система ведет себя в реальной среде.

С ракетами все сложнее, но логика похожая: это выбор места, где именно программа ловит критические дефекты — на стенде или уже в реальном пуске.

Ко Дню космонавтики разбираем лунные программы «Сатурн-5» / «Аполлон» и Н1-Л3 и то, как США и СССР по-разному распределяли испытательный риск.

В карточках рассказали про разницу подходов США и СССР и про то, какой подход ближе нашим тестировщикам.

Бонус:

▶️ Смотрите выступление Алексея Семихатова «Как гравитация организовала почти все на свете» на PGConf.Россия 2026: Youtube и Rutube.

С праздником, слоники!

🐘🐘🐘

😀😀😀 «срочно» и «позавчера» — не статус задачи, а крик души редактора канала.

Созвоны, синки, митинги и дейлики — это все хорошо, но по-настоящему круто — увидеться вживую с коллегами из других городов.

В марте Postgres Professional исполнилось 11 лет. В день рождения собрали команду, чтобы пообщаться, круто провести время, узнать, кто откуда прилетел и снять это видео.

Ну-ка не засиживайтесь на работе. Бегите отдыхать.

И по дороге листайте карточки — в них рассказываем, куда и зачем в свободное время бегаем мы.

Хорошего вечера, слоники!

🐘🐘🐘

У всех на этом видео спина белая. Хоть и сняли мы его не 1 апреля, а 23 и 24 марта на PGConf.Россия 2026.

Манул Тимофей сейчас решает личный вопрос, а мы — профессиональный: ищем технического пресейла в коммерческий отдел Postgres Professional.

Нужен человек, который умеет сопровождать продажу технически сложных решений: проводить презентации, запускать пилотные проекты, консультировать заказчика и вести техническую сторону сделки.

От кандидата ждем уверенной работы с PostgreSQL и Linux, опыта с бэкапированием и восстановлением БД, понимания шардирования и систем высокой надежности. Плюс — умение просто и по делу объяснять сложные вещи.

Если это про вас, ищите подробности на сайте и отправляйте резюме.