Positive Technologies: в России DevSecOps применяют более трети айтишников

Positive Technologies: в России DevSecOps применяют более трети айтишников

Positive Technologies: в России DevSecOps применяют более трети айтишников

По данным Positive Technologies, 45% российских ИТ-специалистов считают безопасную разработку кода (DevSecOps) полезной практикой, 56% готовы изучать этот подход даже на досуге, а 36% уже имеют определенные наработки в этой области.

Опрос, показавший такие результаты, проводился среди посетителей интернет-портала Habr, тематических сообществ и Telegram-каналов, посвященных разработке программного обеспечения, технологиям, информационной безопасности. В нем приняли участие сотрудники отечественных компаний из сфер ИТ (69%), финансов (17%), промышленности (7%), а также государственных и других учреждений разной величины.

Хотя пользу DevSecOps-практики признала почти половина респондентов, многие при этом отметили, что она подходит не всем компаниям. Ключевым элементом защиты любой организации DevSecOps назвали лишь 18% участников опроса.

«Место DevSecOps в безопасности компаний сильно зависит от профиля бизнеса и особенностей ее приложений, — пояснил Алексей Жуков, эксперт отдела систем защиты приложений Positive Technologies. — В любой организации существуют приложения, эксплуатация уязвимостей в которых является недопустимым с точки зрения бизнеса событием. Если они становятся доступны хакеру, то в конечном итоге их взлом приведет к опасным последствиям для жертвы. В данном случае безопасность кода — очевидный приоритет для бизнеса».

Более трети опрошенных сообщили, что организации, в которых они работают, уже включили меры по обеспечению безопасности в цикл разработки ПО и наработали определенную практику. Каждый седьмой айтишник уверен, что за DevSecOps будущее, но не в его компании.

Половина респондентов выразила готовность участвовать в DevSecOps-процессах работодателя, если это сможет защитить разработки от хакеров. Десятая часть опрошенных указала, что отправной точкой для развития безопасной разработки должна быть постановка задачи от руководства, которое будет контролировать ее исполнение. Такие средства мотивации, как прозрачные KPI, повышение зарплаты и отдельная роль по DevSecOps в команде, отметили по 9% респондентов.

«Концепцию непрерывного и безопасного процесса разработки можно развивать только при условии интереса и инициативы самих сотрудников, которые трансформируются в комфортные для них инструменты, — уверен Тимур Гильмуллин, руководитель направления по построению безопасной разработки центра исследований и разработки Positive Technologies. — Нужно, чтобы разработчики были заинтересованы в продуктах, чтобы эти решения их устраивали и были удобны в использовании».

Опрос также позволил выяснить, каких знаний в этой области не хватает российским специалистам. Как оказалось, 35% респонлентов интересуют практические случаи внедрения безопасной разработки, 22% были бы не прочь получить информацию о процессах, 20% — об инструментах (20%), 18% — о формальных методиках и архитектуре DevSecOps.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Вредонос Konfety для Android прячется в фейковых APK и скрывает код

Специалисты из Zimperium обнаружили новую версию Android-зловреда Konfety, который делает всё, чтобы остаться незамеченным. Он притворяется легитимными приложениями — копирует название, иконку и описание популярных программ из Google Play. Но после установки никакой пользы от него нет — только подставные уведомления, редиректы на сомнительные сайты и скрытая реклама.

Главная задача — заработать на показе скрытых рекламных блоков через CaramelAds SDK. Параллельно зловред собирает данные о системе, сети и установленных приложениях.

Само приложение после установки исчезает с экрана — его иконка и название скрываются. Внутри APK-файла зашит зашифрованный DEX-файл, который загружается уже во время работы. Это позволяет «на лету» подключать новые модули и расширять функциональность без переустановки.

Konfety пытается максимально затруднить анализ своего кода. Один из способов — искажённая структура ZIP-архива. APK-файл специально помечается как зашифрованный, хотя на самом деле не является таковым. Это вызывает ложные запросы пароля у исследователей и ломает инструменты анализа.

Кроме того, файл указывает нестандартный метод сжатия (BZIP), который не поддерживается популярными утилитами типа APKTool и JADX. В результате такие инструменты просто выдают ошибку.

Android при этом спокойно игнорирует некорректные параметры и устанавливает приложение без проблем. Более того, Konfety использует геофенсинг и может менять поведение в зависимости от региона, где находится устройство.

Распространяется зловред не через Google Play, а через сторонние магазины приложений — там, где пользователи часто ищут бесплатные версии платных программ. Особенно это актуально для тех, кто использует старые устройства без служб Google или предпочитает избегать трекинга.

 

Эксперты напоминают: не стоит устанавливать APK-файлы из непроверенных источников, даже если приложение выглядит знакомо. Лучше использовать проверенные каналы и официальные магазины.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru