sast.
DevSecOps для тех, кто не безопасник: как встроить SAST, SCA и поиск секретов в CI-CD
Типичная сцена из жизни команды разработки: тимлиду или DevOps-инженеру прилетает задача от руководства — «нужно прикрутить безопасность к пайплайну». Вы не безопасник, но задача стоит, и ваш минимум: чтобы не пускало уязвимости в прод. Обычный и логичный путь — взять популярный сканер (Trivy, SonarQube, Semgrep), воткнуть его новым шагом в пайплайн GitLab CI или GitHub Actions с дефолтным конфигом и запустить на мастере.
PVS-Studio 8.01: OWASP Benchmark, поддержка JDK 25, Go 1.27 и многое другое
Вышел новый релиз PVS-Studio — 8.01. В нём: расширение поддержки OWASP, поддержка новых версий Java и Go и многое другое.OWASP Benchmark for JavaВ этом релизе мы проверили соответствие SAST-правил анализатора Java бенчмарку OWASP Benchmark for Java.
False positive под небом цвета телевизора, настроенного на мертвый канал
LLM-триаж SAST, который не стыдно пустить в pipeline AppSec-инженер перед терминалами ночью
Статический анализ, заряженный ИИ: как LLM ищут уязвимости в коде и где их границы
На связи Денис Макрушин из команды SourceCraft. Индустрия AppSec десятилетиями жила в жёстком конфликте между полнотой и точностью поиска угроз. Классические SAST‑инструменты генерируют шум, на ручной разбор которого уходит больше времени, чем на реальную работу с угрозами. Релиз Claude Code Security от Anthropic заметно встряхнул индустрию кибербезопасности: капитализация традиционных вендоров просела, а генеральный директор крупного игрока Snyk заявил, что будущее компании теперь должен определять ИИ‑центричный лидер.
А сейчас я покажу, откуда на вайбкод готовилось нападение
Часть 1 — С чего всё началось (и немного теории)Введение
Вайбкод и безопасность: как не задеплоить уязвимости вместе с фичами
Часть 1 — С чего всё началось (и немного теории)Введение
Как поймать фишеров: обзор технических средств для защиты почтового трафика
Несмотря на непрерывную борьбу с фишинговыми атаками, их количество продолжает увеличиваться
Необходимость статического анализа для РБПО на примере 190 багов в TDengine
Одна из важнейших составляющих безопасной разработки программного обеспечения — это статический анализ кода. Он позволяет выявить ошибки и потенциальные уязвимости на ранних этапах разработки ПО, что сокращает стоимость их исправления. Но что ещё важнее, он позволяет выявить те проблемы и дефекты безопасности, о которых разработчики даже не подозревают.
