va bene buongiorno
quello era il mio bel Mic Check suona forte
per me puoi sentirmi tutto bene
favoloso sei tutti un caffeina sì
bravissimo, è ancora meglio
il mio nome è Laura e se ti piace il loro a
schermi su ogni lato mi puoi trovare su
Twitter come signora sottolinea nerd I
menzionalo perché il trattino basso è
importante il vero nerd della donna no
capire i micro-servizi tutta la sicurezza
tutti mi piacciono le persone che mi trovano dopo un
conferenza quindi per favore trova quella giusta
va bene va bene così questo discorso è di essere
registrato quindi scusate la diapositiva questo
è per le persone che stanno andando a guardare
video a casa siamo in un ritmo veloce
l’industria è davvero molto veloce così
questo è tutto rilevante per oggi
gli esempi sono tirati dall’ultimo
paio di mesi alcuni di essi dal
ultimi due giorni ma se lo sei
guardando questo a casa per favore assicurati
stai guardando gli ultimi consigli per
qualunque sia il campo in cui ti trovi
seriamente c’è qualcosa di spaventoso fuori
ci va bene così chi diavolo sono io e perché
sono su un palco qui lo puoi dire dal
accento Non vengo da qui vivo
in Nuova Zelanda vengo dal Regno Unito
originariamente e gestisco una piccola sicurezza
telefono chiamato pila sicura Non sono qui per
vendi a te che è una cosa bella
perché vivo migliaia di chilometri sul
dall’altra parte del pianeta, quindi cosa faccio?
bene, ho passato gli ultimi dieci anni a fare
cose cattive a brave persone codice per bene
le persone in generale mentono barare e
rubare e fare un po ‘ di software
lo sviluppo sul lato questo è il mio
finestra nel mio ufficio
è il mio consiglio Kanban che spendiamo il 50% del nostro
tempo facendo lo sviluppo del software e
costruire cose e il 50% del nostro tempo
aiutare le aziende che si muovono molto velocemente
sicurezza e questo significa fare sicurezza
in un modo che non intralcia
fare cose fantastiche perché per favore
alza la mano se pensi che la Sicurezza
la parte divertente del tuo lavoro solo io
destra
buona va bene così che cosa stiamo andando a
fare bene oggi ne vedremo alcuni
fondamentali, ovviamente, hai avuto modo di
inizia nello stesso posto e io no
andando a
consumo ‘è sul punto in cui siete tutti a
non siamo tutte le persone che hanno scritto il
prenota su un argomento a cui non tutti arriviamo
usa tecnologie unicorno e noi no
vado sempre vestito per tutto il tempo che conosco
questo perché lavoro solo con le persone
come te ne parleremo
la prevenzione e il modo in cui prevenire alcune delle
gli attacchi accadrà contro
i tuoi servizi micro tuo micro così Sarka
texture e poi andremo a parlare
sul rilevamento perché in realtà
la prevenzione è un puzzle impossibile
non ne avrai mai cento
per cento sicuro ci può anche dare quel
in questo momento, se vieni a pensare a me
sarà al sicuro, alla fine di questo non dispiace
sei fregato
ma parleremo di come noi
sappi che siamo nei guai perché
è altrettanto importante, quindi cominciamo
all’inizio è così che eravamo abituati
costruire applicazioni che non mi piacciono
il codice scorre molto spesso perché bene
la maggior parte passi tempo a guardare la mia sintassi
e io sono quello che chiamano un programmatore delle operazioni
il che significa che ne ho scritti alcuni
il C ++ più sporco che vedrai mai nel tuo
vita e ne sono orgoglioso scrivo Python
giorno per giorno mi stai solo per giudicare
per scelta della lingua quindi questo è un monolite
era un grande pezzo di evoluzione naturale
codice sorgente che fondamentalmente significava noi
ha dato alcuni stagisti del progetto per scrivere
una volta hanno scritto un bel po ‘
progetto abbiamo messo in diretta sul
Internet e 15 anni dopo abbiamo ereditato
e in qualche modo è ancora vita e dentro
la produzione ci piace dividere in lotti
di piccoli pezzi e pezzi ciascuno con il suo
età e storia a volte ciascuna con
la propria tecnologia che è dove siamo
in questo momento perché è così importante per a
fondamentale perché di cosa stiamo parlando
circa è che abbiamo cambiato il nostro attacco
superficie abbiamo cambiato la nostra architettura
dovremmo sapere le basi di Microsoft
è ormai hai letteralmente il
persona che ha scritto il libro nella stanza
gestendo questo tipo di traccia oggi
sai che non ho bisogno di approfondire questo
profondità ma conosciamo i benefici di ciò
che sono lì per qualcuno come me
comunque qualcuno che ha vissuto nel
posti oscuri su Internet ha speso a
molto tempo rompe le cose che cambia
il modo in cui dobbiamo affrontare la sicurezza a
piccolo
Dovrò scusare la voce che ho volato
dalla Nuova Zelanda e in qualche modo catturati
piaga aerea va bene così cosa facciamo
preoccupati della sicurezza prima di entrare
la prevenzione e la rilevazione di tutti
il pratico quindi se vuoi andare avanti
prendiamo un paio di basi
dritto ci sono tre cose a cui tengo
come una persona di Scrooge a cui tengo
riservatezza quindi se ti fidi di me
le tue informazioni e ti fidi di me
darlo a una persona nel complesso
mondo quindi questo è il mio dovere di diligenza
questo è quello che devo fare quanti di voi
ha lavorato per un’organizzazione che memorizza
i dati per altre persone buona impressionante più
di voi nei lavori software, allora va bene
è quello che facciamo giorno dopo giorno siamo
custodi segreti per tutti i tipi di persone
se si tratta di informazioni sulla carta o
informazioni sanitarie dati personali
non importa cosa ti stiamo immagazzinando
potrebbe scrivere tinder per il francese
barboncini non importa che stai memorizzando
qualcosa per qualcun altro integrità se
iniziamo con i nostri dati informiamo che vogliamo
essere forma alla fine o almeno
abbiamo bisogno di sapere quale forma la sua gonna be
in e disponibilità non dimentichiamo e
molte persone dicono bene un sistema sicuro
basta spegnerlo e avvolgerlo in cemento
e metti la bomba sull’oceano che è
il tuo sistema sicuro non è vero così
i sistemi sicuri sono sistemi disponibili
i loro sistemi si può effettivamente arrivare a
e fai il lavoro che vuoi fare sicurezza
persone non siamo in realtà il principale
attrazione qui siamo come una casta laterale
siamo qui per assicurarci che quello che fai sia
fantastico e le persone possono usarlo perché se
non lo usano, non vengono pagati
e mi piace molto essere pagato così l’ultimo
un po ‘ del nostro fondamento sono i tipi di
cose a cui ci interesseremo in questo
sessione quindi se qualcuno di voi ha fatto minacce
modellare prima di notare che questo è
il set di minacce da passo che guardiamo
a è i sei rischi per la sicurezza comuni
affrontato dalla maggior parte delle applicazioni in modo spoofing
informazioni di ripudio di manomissione
divulgazione negazione del servizio di escalation
di privilegio queste sono le cose che
sono il nostro percorso di attaccante per ottenere
le cose buone questo è quello che sto facendo
quando sto attaccando l’applicazione per provare
e arrivare a
dati o ad altri sistemi che controlli e
non dimenticare che potrei fare queste cose
contro di te potrei farlo contro
la tua base di utenti potrei essere bravo a farlo
contro una persona per arrivare a un’altra
non è tutto così semplice come ci piace
fai così partiamo con la prevenzione
come mai smettiamo di essere attaccati
in uno spazio di servizio micro perché
speriamo di ottenere tutto un po ‘perfetto
non veniamo mai attaccati e quindi non lo facciamo mai
devi preoccuparti di quanti di voi si sono seduti lì
andando non sono mai stato attaccato così è
fantastico devo averlo già fatto bene
chiunque non è solo una persona anche
se nel tuo io segreto sei come si
Ho questa prevenzione è in realtà un
grande area e passiamo quasi tutto il nostro
risorse su di esso, ma è ciò che chiamiamo un
problema asimmetrico per ogni sviluppatore
là fuori ci sono 10 attaccanti che stanno facendo
ricerca delle vulnerabilità o alla ricerca di
un modo per trasmettere i loro obiettivi e
motivazioni così quando proviamo a prevenire
loro non abbiamo tante risorse o
tempo come i nostri attaccanti fanno così è a
problema imperfetto che non possiamo mai ottenere
fino al punto in cui potremmo respingere
tutto quindi iniziamo con alcune nozioni di base
prima oh mio dio Internet è un
luogo terribile quanti di voi hanno mai
Ho scritto un codice e sono rimasto bloccato in parte
attraverso e andando su Stack Overflow
per una soluzione a chiunque non aumenti la propria
mano è un bugiardo ok io non sto dicendo che
non può farlo non con qualsiasi estensione del
immaginazione facciamo tutti questo in effetti
luoghi come Stack Overflow sono diventati un
buona fonte di informazioni provenienti dalla folla
tuttavia non è sempre vero questo piccolo gioiello
è arrivato da Stack Overflow questa mattina
raccomandando questa nostra bella domanda
la domanda originale produttore dovrebbe
basta usare password vuote di cinque piani
ottimo perché qualsiasi altra cosa è giusta
essere paranoico ora
quanti di voi hanno una scheda grafica
il tuo computer sì, tutti voi ne fate la maggior parte
tu io
c’è una ragione per cui non ci piace MD5
più è perché quel piccolo
la scheda grafica nella maggior parte dei computer di casa è
ora abbastanza veloce da decifrare le password usando
MD5 che anche quando sono salati questo
non è un controllo, ma internet ha detto
così
quindi qualcuno da qualche parte sta ancora costruendo
un sistema come questo sono entrato in un
cliente due settimane fa e hanno detto che è
okay, abbiamo iniziato a usare bcrypt e io
è andato sì, ma abbiamo scoperto che era abbastanza
difficile così accanto ad esso abbiamo messo il
testo semplice nel caso in cui il supporto clienti
ne hai bisogno okay, si tratta di una specie di schifo
che abbiamo su internet
consiglio di sicurezza in sé non sono qui per
darti i trucchi magici di qui è un
OAuth top ten ed ecco come far apparire un
Casella di avviso JavaScript non lo faccio
tipo di parlare ci sono centinaia di discorsi
là fuori sono proprio così
Sono qui per fare è mostrarti un po ‘
delle vere insidie che sto vedendo giorno
oggi e come li stiamo affrontando così
innalzare la mano in primo luogo, se tu
non so che cosa vada bene una vespa
benvenuto è il più importante
lezione che porterai da oggi
Oh wasp è l’applicazione web aperta
progetto di sicurezza è gratuito è a
comunità globale di persone di sicurezza che
stanno lavorando per dare risorse gratuite a
le guide della comunità strumenti imbrogliano
fogli tutto sulla sicurezza è fantastico
dovresti essere coinvolto lì
un link su questo far scorrere le diapositive noi
condiviso in seguito ma basta andare e scavare
ora viene fornito con un avvertimento sul loro sito web
sembra che sia sfuggito dal 1998
non è colpa mia, mi dispiace ma il
il consiglio è ancora molto buono quindi questo è il
ultimo dei nostri posti dove andare per informazioni
così Stack Overflow
può essere buono ma usare un po ‘di buon senso
controlla subito le fonti autorevoli
questa è la mia personale crociata, quindi cosa fa
tutti stanno per poter essere tutti chiari per a
secondo abbiamo due remi nella nostra vita noi
avere l’ autenticazione e l’autorizzazione
e non sono la stessa cosa ora quando
abbiamo a che fare con i servizi di micro esso
diventa davvero importante per ottenere questo
dritto
perché i componenti che stanno facendo
la tua autenticazione potrebbe non essere la stessa
componenti che stanno facendo il tuo
autorizzazione che la tua autorizzazione potrebbe
accadere diversamente in modo diverso
luoghi della tua applicazione
ogni volta che vedo una specifica che dice
faccio cose spiacevoli ne ho un po ‘
preoccupato perché spesso noi generalizziamo
e li abbiamo messi nello stesso secchio così
la mia prima cosa che ti chiedo i tuoi compiti
ogni volta che vai e vedi un requisito
spec e dice do auth please just
spingerlo indietro con la tua penna rossa tu solo
andare grande croce attraverso di essa dire riprovare
prova più difficile perché questa è la radice di
il nostro problema è la sicurezza , usiamo il ronzio
le parole che usiamo abbreviazioni non lo facciamo
li considero davvero ora in micro
servizi abbiamo il lusso di rompere
giù i nostri componenti e in realtà facendo
questo in posti individuali ora siamo
andando a tornare a orchestrazione
strati dopo perché sono giusti
significativo in questo spazio ma tu no
devi averne uno che puoi semplicemente creare
i tuoi piccoli servizi per essere Tommy
lavorerò sulla stanza o potresti
basta avere uno dei tuoi piccoli servizi
che fa autenticazione altro
con questa autorizzazione
hai la massima flessibilità che è
parte della bellezza di questa parte di cosa
può scalare e parte del motivo per cui è possibile inviare
su più squadre ma allo stesso tempo
tempo significa che non hai un pari
superficie quando si tratta del tuo
autenticazione o la tua autorizzazione ora
se guardiamo tutte le occations inviate prima di noi
potrebbe identificare componenti centrali come
il piccolo quadrato bianco su questo e
Diciamo che dovremo prendere in considerazione questo
è sicuramente importante nel mezzo
ma ciò a cui non teniamo conto è questo
c’è una fiducia implicita tra il nostro micro
servizi che potrebbero essere utenti
autenticarsi e autorizzare alla frontiera
punti in cui interagiscono ci sono
piccoli meccanismi di fiducia in corso all’interno
l’app che significa che puoi andare da un a
bassa attendibilità dell’applicazione ad un alto livello di fiducia
applicazione senza senza veramente
notando che l’hai fatto oh sto perdendo
i microfoni sono anche bravi con tutto
l’ educazione è che deve essere coerente
deve essere pianificato ora potrebbe sembrare
come il buon senso ma molto del tempo
Ho visto le architetture di Microsoft
spuntare in luoghi che hanno un grande
codice base legacy e se stai lavorando
con una base di codice legacy e lasciarti
ho ancora dotnet dio sa quale versione
vecchio nel tuo
vita sì Java 1.4 oh sì mi dispiace, sì
questo è il mondo in cui viviamo nel nostro
i servizi non sono tutti scritti in ultima istanza
nodo con reagire agli occhi e con studioso
qui e ruggine laggiù che non lo è
come funziona così la maggior parte di noi così finisci
con componenti che sono limitati da
le tecnologie che sono in realtà
scritto in vecchie versioni di Java e.net
non hanno le stesse funzionalità di nuovo
versioni di alcune delle lingue successive
quindi dobbiamo avere un piano coerente
approccio e dobbiamo essere in grado di testare
ora l’autorizzazione è autorizzata
il tuo prossimo passo raddrizza la tua autenticazione
sei tu chi dici di essere grande?
meraviglioso Ho intenzione di farvi del
porta ma ti lascerò fare
tutto bene probabilmente non per impostazione predefinita
speriamo che pensi a questo come al tuo
porte scorrevoli che entrano nell’atrio di
alcune porte scorrevoli hanno una tendenza
fallire aprire se si rompono stanno andando
per farti entrare e uscire perché se ci
era un fuoco o qualcosa che stanno andando
lascia che tu lasci l’edificio e non l’abbia
un finale orribile in sicurezza noi
in realtà voglio andare nell’altro modo in cui lo fai
non voglio essere la tua porta scorrevole tu
voglio essere una prigione se le cose stanno andando
male se non avete preso una decisione che
dovrebbe essere chiuso così tanti quadri danno
tu questo sai che puoi usare il
decoratori per i tuoi servizi o puoi
usa alcuni pensando al tuo generale
la configurazione ha la tua base l’una
sta per fallire per essere senza ottenere
niente per te qui
perché fallire è veramente pericoloso
per noi non vogliamo che il nostro pubblico di fronte
L’API non funziona e questo deve essere
applicato ad ogni oggetto ogni metodo
ogni endpoint nella tua architettura ora
se va bene quando fai come andare
101 micro fonti e ne hai tre
micro servizi e ti senti davvero
Ho avuto un successo spettacolare nel mondo
i clienti che hanno più di 300 micro
servizi che non è facile fare su questo
tipo di scala diventa anche difficile
quando iniziamo a guardare i meccanismi
stiamo usando per la nostra autenticazione o
autorizzazione della tokenizzazione
quindi ci sono molti diversi intriganti
puoi usare per i token che puoi
homebrew assolutamente tutto ciò che puoi
scrivi puoi sicuramente scriverlo allora
faccio un sistema di token con esso probabilmente
non lo farei, ma tu puoi i problemi che siamo
vedendo comunemente bontà che faccio
scusa un secondo che sto per finire
tenendo questo a destra ok così il
problemi che vediamo comunemente nel
lo spazio dell’autenticazione dell’autenticazione è
che i token non stanno bene
gestito non ci sono di alta qualità
sopravvivono molto più a lungo di loro
dovremmo avere che non è una novità
problema questo è un vecchio problema che abbiamo avuto
questo per sessioni per un tempo molto lungo
ma ora abbiamo diversi token
l’ unica cosa di cui stiamo tornando indietro
e ora è questo segno molto grande ora
cose che dovete considerare dove
vengono memorizzati dove sono i token
in genere viene memorizzato nel tuo
le applicazioni ora sono sicuramente uiz
Giusto potrebbe essere in nessun posto potrebbe essere
stai solo scrivendo richieste di ricciolo o
usando il postino e sta appena ottenendo
caffè e incollarlo ma potrebbe anche
sii che li stai immagazzinando in locale
archiviazione o da qualche parte in un dispositivo mobile
e ricorda un sacco di questi spazi
i posti non sono sicuri di default questi
non sono negozi crittografati, se hai
Chrome sul tuo laptop puoi interferire
con la tua memoria locale o pasticciare
con quei token se puoi farlo come un
ingegnere devi presumere che il tuo
gli utenti possono farlo anche tu e i tuoi aggressori
quindi devi gestire questo token
con molta attenzione e aggressività
monitoraggio per comportamento strano o
strano uso di quel token perché se
quel modello di utilizzo cambia di cui hai bisogno
No, non mi fido di te adesso
avremo bisogno di trasferirci di cui abbiamo bisogno
per verificare che abbiamo bisogno di fare input
convalida ora è passato molto tempo
tempo da quando sono stato nel campo e
l’unica lezione che continuiamo a ripetere e
ancora e ancora e ancora e ancora e
di nuovo si prega di convalidare il tuo input e
sì, la top 10 degli URL è rimasta in gran parte
invariato per circa 10 anni perché
la convalida dell’input non fa bene
a tutto questo ora molti dei tuoi quadri
fare cose davvero buone
impostazione standard , quindi non lasciare che ci sia
alcune cose incredibili c-sharp è incredibile
roba Django che trascorro molto tempo
in ha alcune buone impostazioni predefinite
la scatola ma il secondo in cui inizi a scrivere
API personalizzate o cose che non usano
la roba di struttura generica ingombrante
e tu provi e scrivi qualcosa
leggero sul lato che rinunciamo ad alcuni
di questo l’altra cosa che succede è
ci aspettiamo che tutte le nostre lingue facciano
questo per noi quindi se vieni da dire a
c-sharp background e si sposta
qualcosa come il nodo per esempio tu
spesso presumo che se sta usando lo stesso
parola significa la stessa cosa
non è davvero tornerò
per che, quando si parla di lingue
stiamo usando in loro e come sono
che influisce su una convalida di sicurezza deve
accadere in ogni intestazione di ogni richiesta su
ogni metodo che suona davvero comune
senso, ma se si accoppia questo con il
Infatti, raramente abbiamo messo la destra
tipo di contenuto sui nostri rendimenti
la convalida ci sta impedendo di tornare
script e cose per le nostre interfacce utente che
non so meglio stanno andando
per rendere le cose sullo schermo così servizio
composizione hai un monolite fantastico
fantastica fantastica meteora e affari
ed è grandioso che stai per rompere
giù in piccoli pezzi e sei
lo spedirò su Internet come
Microsoft vede e il mondo sarà a
ottimo posto fantastico indipendentemente da come
molti libri che hai letto e quanti video
e quanti tutorial ti guardano
in realtà non è così facile la prima volta
round soprattutto se hai a che fare con
un’applicazione complessa esistente che tendiamo
per dividerlo verrà codificato il nostro piccolo servizio
inizia a distribuirli e poi a noi
passare a quello successivo ed è molto
difficile tornare ai vecchi per
dare un’occhiata a loro, ora che ha un
effetto interessante quando iniziamo a guardare
per la sicurezza delle nostre applicazioni
questo è un esempio rozzo visto di nuovo in
il mondo
ovviamente nessun codice non farti confondere
so che è la stessa lezione senza
il codice lì quindi abbiamo tre micro
servizi due di loro utilizzando token JWT
per la loro autentica roba di autenticazione
semplici librerie di buone linee e
quadri ultimo quello che è quello
base64 e se non si è familiari è
è stato un po ‘di tempo da quando hai guardato il
differenza tra codifica hashing e
crittografia che non è particolarmente
sicuro e anche se dovessi decodificarlo
probabilmente non è un token di alta qualità
o ricorda così la via del cuore
è di un’applicazione come un utente malintenzionato
attraverso la sua parte più debole così normalmente il
più antico servizio che hai scritto quello
hai scritto mentre stavi ancora guardando
i tutorial di un drink o mestiere o
qualcosa su Internet
quindi torna indietro e guarda quei vecchi pezzi di
codice So che ho gremlins nel mio
vecchi pezzi di codice sono probabilmente sicuro di te
anche noi sappiamo tutti che Microsoft è
dovrebbe essere piccolo e semplice
abbastanza semplice impressionante quanti
di te sei imbattuto in un mostro micro
servizio un micro servizio che è
fingendo molto duramente che sia un
ragazzo carino e vuole davvero venire
la festa ma in realtà hai preso un
sviluppatore monolitico e tu hai detto di fare
un’API ed ecco che hanno fatto, ma
è gigantesco è 500 linee più di
codice altamente complesso altamente complesso
quello probabilmente fa tre o quattro
diverse funzioni quando dovrebbe essere
facendo uno sì questo è Microsoft sono io
non qui per dirti il futuro glorioso
di micro servizi sono qui per mostrarti
gli scheletri che vedo ogni giorno e
va bene, non ti preoccupare se lo vedi
tipo di cose significa che sei in un
organizzazione normale non hai abbastanza
arrivati lì va tutto bene ma chiama
Se sappiamo, tutti conosciamo la regola
facendo una revisione del codice se ti viene dato
10.000 linee di codice da rivedere
individuare quanti bug contengono 10.000 righe zero
dirai che va bene se lo spedisco
sei sei righe troverai dieci libri così
tratta il tuo micro sistema allo stesso modo se
hai migliaia di linee di codice
non è un micro servizio, va bene, fallo
in modo irreprensibile ma semplicemente
sai dire, torna di nuovo, prova di nuovo
ricordalo mentre stiamo crollando
i nostri servizi ci stanno andando naturalmente
essere un po ‘di accoppiamento tra loro è
molto inusuale per te essere in grado di
fare micro servizi che possono funzionare
interamente atomicamente
tutto da solo ora è interessante
quando inizi a scoppiare qualcuno che lo fa
sollevamento più pesante rispetto ad altri così per
esempio elaborazione batch o trattare
qualsiasi tipo di grande trasformazione dei dati o
Dì il tuo sistema di autenticazione perché
se non consideri questo accoppiamento tu
finire in territorio di negazione del servizio se
Non riesco a ottenere il mio obiettivo, quindi se lo voglio
prendere soldi o avere problemi
oh mio microfono contro ci andiamo
fantastico, ho intenzione di vendermi questo
è fantastico, sì, l’ ho visto qui prima di tutto
giusto verrà subito è questo
impressionante favoloso tutto bene, quindi se abbiamo
ha i servizi per connettersi l’un l’ altro
e non posso raggiungere il mio obiettivo, quindi il mio
l’obiettivo è la tua proprietà intellettuale
o dati dei bambini o qualunque cosa io sia
cercando di arrivare a volte a volte solo
può causare una negazione del servizio
effetto in sé e per sé posso distruggere
la tua reputazione nel settore che posso
interrompere una transazione cruciale che è
andando avanti facendo in modo che il
l’accoppiamento nei tuoi servizi significa che se
uno non riesce che gli altri non vanno giù
con esso quanti di voi fanno qualsiasi tipo di
test di carico o tipo di test di fallimento
in questo modo se non lo fai è davvero
modo divertente di fare test se pensi
test è noioso questo è quello da ottenere
è iniziato perché in pratica sei tu
distruggerò la tua intera architettura
ed è tutto per le cose buone che puoi
come ottenere KPI e cose per noi il
altra cosa da sapere è che potrebbe non esserlo
il tuo codice che non funziona sotto pressione ora
abbiamo deciso tutti di usare il cloud
è buono e ci torneremo a che io
Come le nuvole non non ti preoccupare
la nuvola ma quanti di noi l’amore è AWS
documentazione sì non ci sarà nessuno
a volte non è il nostro codice che è
andando a paralizzare i nostri servizi di mercato
è qualunque cosa l’ abbiamo pubblicata e
tuttavia , l’abbiamo configurato indipendentemente dal fatto
sta andando in scala automatica o non la nostra auto
ridimensiona se hai impostato un limite di fatturazione
su di esso e hai intenzione di colpirlo
limite di fatturazione e bloccare effettivamente tutto
i tuoi account per tutto il tempo che è
qui è il tuo approccio siamo riusciti a
causa interruzioni e sistemi di tre settimane entro il
innescando in
controlli su piattaforma-as-a-service not
perché intendevamo ovviamente ma tu
non voglio vivere in un settore in cui
tre settimane interrompe una cosa che tu
potrebbe effettivamente accadere che dovrebbero
sta succedendo a te giusto quanti di
pensi che il tuo capo sta andando essere felice se
tre settimane dopo il tuo codice non lo è ancora
correndo sì nessuno sarà felice così
abbiamo iniziato ad abbattere i nostri servizi
abbiamo deciso di non voler mettere tutto
quell’acacia a nord in ognuno di loro
stiamo andando in outsourcing tutto questo a un
strato di orchestrazione fantastico ci sono
quelli grandi là fuori sono molti disponibili
Non sono qui per chiedere un venditore
non importa quale scegli tu scelga
quella che ha belle adesivi come
punto di partenza penso che sia così
funziona così bene che avrai un
componente davvero potente e molto
piccoli componenti minuscoli impressionante quanti
di te ti senti un po ‘ preoccupato per questo
dovrebbe questo è preoccupante perché afferma
come questo accada questo è stata presa per un
sito web del fornitore questa mattina sono
promettendo non solo di fare il tuo
orchestrazione per proteggerti da tutti
OWASP Top 10 e minacce adattive
come BOT male non so che male
I BOT sono e sono una persona flagrante quindi se
puoi capirlo quando ti prego di farlo
so che sarei interessato a sapere cosa
questo in realtà significa, ma c’è una preoccupazione
qui quello che abbiamo fatto è che abbiamo detto bene
tu conosci la cosa della sicurezza che io non conosco
davvero bisogno di preoccuparsi di questo perché
il mio livello di orchestrazione lo farà
per me sì, questo è veramente pericoloso
questo crea un approccio nel nostro
team di sviluppo di non il mio problema
qualcun altro può occuparsi di quel bit noi
basta fare la nostra pura funzionalità di base
è spazzatura
a un certo punto cambierai
il tuo strato di castrazione o il tuo
il livello di orchestrazione ti lascerà
giù in qualche modo e tu sarai
davvero davvero nei guai a questo punto
se sembra magia, probabilmente lo è
cazzate okay altre cose che dovresti
conosci gente come me gente che attacca chi
fai quello che faccio ma loro mi assomigliano
sono incredibilmente pigri incredibilmente pigri se
è una scelta tra fare qualcosa
tipo di undici tipo di rapina dell’Oceano
ci vorranno tre settimane di pianificazione
e come ho bisogno di una persona di ruote e
qualcuno con cui parlare è davvero bravo
gli umani o io posso semplicemente rubare il tuo laptop
nell’atrio sto per rubare il tuo laptop
ora lo stesso vale per il livello di orchestrazione
attacchi se hai 300 micro-servizi
ma so che il tuo livello di orchestrazione è
il Gateway per ognuno di loro
Non ho intenzione di seguire i tuoi micro servizi
Vado a cercare il tuo livello di orchestrazione
ora per molti di noi è un’area che noi
non controllare nemmeno che potrebbe essere un terzo
servizio party un software come servizio
prodotto potrebbe essere qualcosa che abbiamo
internamente nella nostra rete ma per la maggior parte
di noi è qualcun altro interamente
ora queste sono le caratteristiche che sto iniziando
per vedere nei livelli di orchestrazione quello
mi spaventa così l’impersonificazione qualcuno dentro
l’orchestrazione completa della squadra di supporto
il servizio numero tre può fingere di essere
me in qualsiasi momento e presentarsi nei registri
come me ora è davvero spaventoso, voglio
essere in grado di vedere se un amministratore o un super
l’amministratore accede Voglio vedere cosa fanno
in particolare e non dovrebbe mai essere
mascherato come me stiamo vedendo
modalità investigativa o intercettazione SSL
così SSL è un dolore nel culo per configurare
nel migliore dei casi se non hai corso
i tuoi strumenti attraverso qualcosa come SSL
scansione o utilizzare laboratori SSL per testare ciò che il tuo
Lo stato SSL è quindi per favore vai a farlo
perché inizierai ad avere un sentimento
per quanto sia complesso qualcosa come SSL
configurare e mantenere giorno per giorno che faccio
non voglio alcuni dei venditori sul
internet che interferisce con il mio traffico SSL
quel tipo di rompe il punto intero di
viene crittografato ora se lo stai mettendo
tutti i servizi nelle tue reti che dicono
oh va bene noi man-in-the-middle the
Traffico SSL e poi lo ricostruiamo noi
mandalo per la sua strada chiediti sempre
bene chi guarda a quel punto chi
in realtà non riesco a vedere quei dati e lo farai
capire perché è importante solo in
seconda password dei peccati di terzi
fornitore Sono abbastanza sfortunato da avere
fatto così tante revisioni SAS di sicurezza in
negli ultimi mesi che posso probabilmente
fallo nel sonno quanti di voi corri
o funziona per un prodotto SAS tre o
quattro di voi per favore ti sto chiedendo per favore
solo una volta te lo chiederò gentilmente
ambasciatori per il tuo settore
si prega di migliorare con le password per favore
inizia a preoccuparti di cose come
autenticazione a due fattori
per favore inizia a preoccuparti di avere il bene
password Lentz non Maksim avere un max
lunghezza su una password non è un bene
idea così come lo facciamo questo abbiamo bisogno di
scegliere le tecnologie appropriate è
okay per dire no al nuovo hipster unicorno
tecnologie perché non sono pronte
eppure è difficile non sentirti figo
ragazzo, ma va bene
limitare l’accesso a queste cose la vostra
il livello di orchestrazione è il più potente
cosa nella tua architettura a questo punto
quindi non tutti hanno bisogno di accedervi
monitorarlo in modo aggressivo e configurarlo
bene se non viene con nessun fantastico
Lavorerò con il tuo sistema di monitoraggio
ecco un piccolo consiglio per te se lo è
ho una query API che l’API usa
qualunque linguaggio di scripting ti piaccia e
usa AWS lambda per spedire i log a qualsiasi cosa
sistema di monitoraggio tutto il resto va
dentro di te puoi essere attivo e funzionante in meno
di 40 minuti finché conosci il tuo
la sceneggiatura funziona bene e Lambda ti onora
versioning che non sempre accade
ma hai intenzione di avere reale
monitoraggio che puoi effettivamente
interagire con nello stesso luogo di
tutto il resto va non dare per scontato
tutto ciò non si assume solo perché
il loro sito di marketing è super lucido
e ha tutte le parole d’ordine giuste e questo
significa tutto ciò che non do a un topo se
tu dici che sei conforme PCI che tu
ho scritto Sox in tutto il sito web I
davvero non quello che mi interessa è quello
ti importa della mia sicurezza che tu sia
prenderà provvedimenti a tuo nome e
verranno distribuiti a tutti i tuoi
personale non solo una persona nella tua squadra
e poi voglio che tu collauda queste persone
regolarmente Voglio che fare in modo che
stanno ottenendo pen-test se lo sei
stai lavorando su un’applicazione che è
andare su internet ma non lo è
ottenere la penetrazione testata o messa in atto
in un programma di bounty bug o con un
processo di divulgazione responsabile sei tu
facendo torto ora in questo spazio lì
è uno strano equivoco che la sicurezza
i venditori sanno cosa stanno facendo quando
arriva a garantire lo sviluppo ora voglio
per chiedere a tutti voi come ingegneri migliori di
chiunque nella mia comunità sarà mai
per favore ci sfida su questo voglio
mostra solo le ultime due settimane da
uno dei nostri ricercatori nella comunità
questo è Tavis
Thomas ha un problema con la sicurezza
venditori è stato sistematicamente
vulnerabile facendo ricerche sulla vulnerabilità
su ogni antivirus un prodotto di sicurezza
può trovare e sta piovendo
le vulnerabilità ora era la scorsa settimana
questa è una settimana prima che continui
e avanti e avanti ora queste sono siamo
parlando di Symantec Norton Kaspersky
Mi metterò nei guai con qualcuno
perché questo è su internet ma
non dare per scontato se si tratta di un prodotto di sicurezza
loro sanno cosa stanno facendo sfida
respingono indietro più forte di te
sarebbe su di te perché hanno un
maggiore dovere di cura di te anche se
hai un set di bilance Fitbit tu
dovrebbe probabilmente patch it che penso
è esilarante che viviamo in un mondo
dove stai rattoppando le tue scale ma
per favore fallo
va bene così identità e gestione degli accessi
abbiamo il nostro livello di orchestrazione
ci aiuteremo speriamo
non ho deciso di fare homebrew o nessuno dei
questo useremo un bel po ‘
pratica così cose che dobbiamo preoccuparci
circa il principio del minimo privilegio e
chi lavori per un’applicazione
società di sviluppo o di un’applicazione
che ha una modalità dio o un super utente o
la modalità super admin ha la maggior parte delle applicazioni
è nascosto da qualche parte nel back – end
è la via backdoor in cui entri
e tu fai query di database non elaborate e
modifica è quello in cui è tutto finito
orribilmente orribilmente sbagliato e c’è
ancora un modo per entrare ne so di questi
le cose che ho visto li ho scritte loro
i tuoi peccati sono i miei peccati siamo in questo
insieme dobbiamo abituarci all’idea
va bene dire di no che va bene dire
in realtà hai solo bisogno di questa autorizzazione
e questo significherà che i tuoi ruoli
disponibile potrebbe diventare più diversificato
potrebbe finire con più fuori di loro e
va bene non devi avere solo
un ruolo che può fare tutte le cose
ma per farlo devi definire il tuo
ruoli bene quali sono le persone in realtà
usando la tua applicazione per ora quanti
di lavoro con team di marketing e
avere strumenti di analisi nella tua applicazione
si spera un sacco di voi perché
è così che sappiamo cosa i nostri clienti
stanno effettivamente usando qualsiasi codice che siamo
non usare dove il cliente è morto
codice e ha bisogno di essere cancellato che fa male
noi perché abbiamo messo il nostro tempo e denaro
e ci si innamori ma si cancella ancora il
codice che ora è la cosa migliore da fare
quegli strumenti di analisi che sto per fare
una persona di sicurezza ti dice di andare a usare
pazzi strumenti di marketing per capire cosa
le persone stanno usando la tua applicazione
perché allora puoi fare teoria degli insiemi
perché la matematica è divertente e guardo cosa
i ruoli esistono
sai quali sono in realtà i raggruppamenti
essere usato cosa significa la funzionalità
roba a diversi utenti che sto per
ti chiedo categoria per favore non andare è
okay abbiamo i permessi a grana fine
permessi a grana fine è il percorso
ai draghi nulla di buono viene da questo
Lavoro con un cliente ne hanno nove
centottantanove diversi
autorizzazioni a grana fine nella loro
applicazione che significa se parli
sulle possibili permutazioni che
componi i ruoli in cui stai parlando
le decine di migliaia di permutazioni di
ruoli nell’applicazione che non ti servono
questo lo dirò che siamo ingegneri
veramente bravo in questo, ma gli utenti no
cura che l’utente sarà felice se solo tu
rendi la loro vita semplice, quindi non andare giù
la strada delle autorizzazioni a grana fine
calcola sempre quante permutazioni
questo significa perché ogni permutazione
ha bisogno di monitoraggio e amore a modo suo
e poi controlla il diavolo da questo tu
davvero davvero bisogno di così tanto tempo
e monitorare la tua applicazione è
Incredibile, quindi in genere vedo le persone
usando la logica Sumer e Reagan dal
il venditore Hall fa grandi cose con i loro
logica applicativa ma ignorano il
roba di sicurezza intorno all’accesso esterno
registra se stai integrando con
qualcosa come Active Directory tutto
queste cose devono essere tirate insieme
quanti di voi sono mai stati nei pressi di a
firewall di applicazioni Web okay un paio
di te sì mi dispiace
giusta applicazione web realtà triste
firewall e normalmente il primario
difesa che abbiamo nelle nostre organizzazioni
contro le cose brutte che accadono comunque
sono dati al team di sicurezza
che è qualcuno come me o qualcuno
chi è un amministratore di sistema e loro lo proteggono
quindi lo mettiamo in modalità monitor che hai inserito
in modalità monitor e osserva
cosa e va bene se fossi nel reale
modo mi piacerebbe fare cose in questo momento e
ecco cosa farei ora in a
mondo perfetto dovremmo quindi andare a cercare
a questi registri e andiamo oh giusto sì
quello può andare avanti e quello no
e quello era un falso positivo e quello
andava bene e lo accendiamo in modalità completa
e andrà bene
otto su dieci delle aziende che ho
lavorato con negli ultimi 12 mesi chi
i firewall delle applicazioni Web sono ancora
in modalità monitoraggio dodici mesi dopo
dispiegamento che stanno generando in eccesso
di sessantasettemila allarmi al giorno
che non vengono mai guardati e
elaborato perché sta succedendo così bene
perché il tuo team di sicurezza non lo sa
il tuo codice base non sanno cosa sia
normale e cosa non lo sono non lo sanno
quale super superbo numero di servizio
tre dovrebbe apparire come loro
non so quali parametri pazzi hai
hanno detto che stanno bene così allora sembra che
Jason viene licenziato qui e lì
ovunque speriamo e non XML per favore
se sei in un ambiente che è
esternalizzato a tutta la sua sicurezza
monitoraggio ad un’altra squadra che lo sa
niente sulla tua applicazione e
chiedi loro e dai loro aiuto andare e tirare
quei log in che modo puoi vederlo perché
gli ingegneri sono molto propensi a molto
più probabile che sia in grado di usare questo di
chiunque altro
ora giusto per reagire ripeti quello che ho detto
su AWS o è il tuo o qualsiasi altro cloud
piattaforma come servizio questi sono fantastici
il numero di controlli che stai andando
per entrare in questo spazio rispetto alla corsa
la tua infrastruttura è comunque ottima
questo è uno spazio complesso che non è necessario
tuffarsi a capofitto dentro per favore
consultare un adulto prima di provare a
configurare gruppi e ruoli di sicurezza e
testarli in una di queste cose è
davvero difficile da assicurarsi che tu abbia
capito tutte le complessità di
i diversi componenti che stanno arrivando
insieme c’era un interessante
articolo recentemente chiamato amazon amaz
offrire più come avere blocchi che
puoi stringere insieme piuttosto che
strumenti e penso che sia giusto
valutazione non ci sono cose che
su cui puoi usare intuitivamente
il loro è necessario conoscere circa 13
diversi componenti che tutta la stringa
insieme in modi diversi dove loro
la documentazione è scritta in un altro
stile in cui potresti non sapere tutto il
cose che devi configurare in
anticipo quindi per favore non pensare al cloud
sta per salvarti con il
conoscenza che dovrai fare un po ‘
imparare o trovare qualcuno che è già
fatto questo per te e mutabile
l’architettura è come molti di noi sono
giocando con i vagabondi e i Dockers
e tutto questo tipo di cose nel
il mondo sì è fantastico è davvero
davvero fantastico e ti dirò perché
Ho intenzione di dirti perché è bello come
un bianco difensore fa schifo come attaccante
che lo stai facendo per favore continua a farlo
esso
quindi per prima cosa , probabilmente, tutti noi
vivere in qualche forma di conformità
ambiente e questo mi fa schifo davvero
non mi piace molto la conformità
essere uno spreco di energia e ci distrae
e ci dà un certificato così ci sentiamo
come abbiamo fatto roba ma è così che siamo noi
Dite nel mondo degli affari, quindi accetteremo
che pensi che ti piaccia di questo
i volti saranno verificabili
bei strumenti open-source là fuori
può mostrarti dove sono i problemi di sicurezza
sono con le tue configurazioni in particolare
per cose come docker che sono molto
in rapida evoluzione proprio nell’ultima settimana
docker ha rilasciato la recensione di sicurezza per il suo
i contenitori sono conservati nel registro
quindi questo è veramente buono
c’è uno strumento di controllo docker che è stato
circa un po ‘ci sono cose simili
per rispondere a vagabondo ma il più
bit importante, non la sua capacità di controllo
configurazione prakrit che sta ottenendo
sbarazzarsi perché si scopre che non lo sei
l’unico che sta girando il tuo server
in un fiocco di neve speciale potresti essere
farlo ma in realtà è in realtà un
attaccante che farà di più
cambiamenti interessanti e immutabili
le architetture si liberano di questo per te
Voglio darti un po ‘di prospettiva
quanto a cosa succede realmente quando noi
compromesso i tuoi host perché per la maggior parte
di noi questo è solo tu sai nero fuzzy
nuvola di sventura contraria alla credenza popolare
non andiamo lì solo per saccheggiarlo a
un po ‘ rubare i dati e uscirne la maggior parte
il tempo che è in realtà il numero tre o
quattro sulla nostra lista, la prima cosa che facciamo
certo che possiamo tornare e giocare un altro
giorno perché a tutti piace non venire
indietro e prendi le cose che hai dimenticato per ultime
tempo o tornare fuori dal lavoro
ore o potresti voler usare quell’host
per altre cose come mining bitcoin o
impostando per ruotare in un’altra rete
così attaccando qualcuno da qualcuno che hai
già attaccato è super utile e
è possibile installare strumenti lì così è
molto raro che tutti gli strumenti di cui ho bisogno
in un lavoro sono già installati sul
scatola se hai PowerShell posso abbastanza
molto fa molto ma Linux ospita speranzoso
se sono configurati bene non hanno un
molto installato su di loro quindi potrei aver bisogno di
mettere SSH su potrebbe essere necessario mettere e app
su ogni sorta di cose divertenti niente
particolarmente eccitante, non sei tu
conosci pazzi strumenti bacchetta magica ma io voglio
per vederli prossima cosa
Probabilmente sto andando a ripulire ma
chiunque altro sia stato lì prima di me
ora come un attaccante che siamo tipo di
Parassitico, abbiamo bisogno che l’ospite sia sano
continuare così se entriamo in una scatola e
troviamo qualcuno o qualcuno era già
lì allora potremmo effettivamente applicare il patch
vulnerabilità che hanno ottenuto tramite e
buttali fuori perché non mi piace
condividere la condivisione non è così divertente
puliremo noi potremmo patch noi potremmo
cambia configurazione video bloccare qualcuno
altrimenti fuori e poi siamo felici di andare
sui nostri dati vincolanti di business e successivi
l’ultima cosa che proveremo e
pivot quindi cercheremo di provarci
questo host che potrebbe essere interessante
questo qui che potrebbe essere pari
più interessante quindi nel tuo micro
fonti questo significa andare da uno a
un altro a un altro per vedere se riesco a trovare
diversi set di dati a cui accedere
diversi sistemi ora è davvero davvero
difficile da mantenere l’accesso e mantenere tutto
di questi cambiamenti piacevoli e senza effetto
come attaccante se stai usando qualcosa
come lambda o se stai usando immutabile
architetture che vengono distrutte ogni
24 ore perché hai fatto un aggiustamento o
un cambiamento quindi non vederli solo come a
cosa interessante che si potrebbe usare può
risparmiando tempo c’è in realtà un enorme
beneficio di sicurezza per questo c’è
niente di più irritante del provare
attaccare su un’organizzazione che
l’infrastruttura non esiste se non
stai inviando la tua richiesta ad esso è un
bella cosa e per favore ti voglio
far infuriare tutti i tester di penetrazione
che mai si avvicina all’architettura e
renderlo non persistente va bene, questo è un
parola strana per dire che siamo stati
facendo alcune cose stupide con le lingue
quindi una delle bellezze dei servizi di Micra
è che possiamo usare qualsiasi lingua che ci piace
è fantastico
favoloso ma siamo come bambini nelle caramelle
negozi in questo momento significa che le persone lo sono
impazzire andando bene ce l’hanno
nodo qui e poi guardo questo
parla di andare e bene lo sai che abbiamo
ho un po ‘ Java laggiù perché tu
conosci il rock nella vecchia scuola e noi
ha deciso di lottare per afferrarlo e farlo
c’è uno stack di Erlang da qualche parte
qui e prima che tu sappia cose brutte
iniziano ad accadere cose cattive a partire da
capita perché non stiamo sempre usando
gli strumenti giusti per i lavori giusti no
tutti questi strumenti sono maturi come ciascuno
l’altro e non tutti sono stati progettati
per
determinati scopi per cui se vi trovate
usando una lingua solo perché tu
ho visto un bel discorso a riguardo o perché
hai visto una demo davvero stupida chiedere sempre
è quello giusto ce n’era davvero
articolo interessante da riviste per
Etsy e parlando di come assumono
ingegneri e stava parlando
in realtà non vogliono portarne di più
strumenti nella loro architettura del bene
ingegnere può prendere un piccolo sottoinsieme di
strumenti pre-controllati e fare cose incredibili
con esso ora da una prospettiva di sicurezza
questo è ancora più importante perché no
tutte le nostre tecnologie sono uguali quando
si tratta di ciò che ti stanno fornendo
ora quanti di voi sanno che nessuno sa
gli sviluppatori sanno bene questo è davvero
bravo davvero, per favore, fantastico
Mi dispiace gente del nodo, ma lo sono
sto parlando di pad sinistro
le cose che abbiamo imparato negli ultimi
mesi sull’interdipendenza all’interno della nostra
sistemi di gestione dei pacchetti il pad sinistro
è stato tolto lo sviluppatore ha detto no
più quello che è successo ce lo aspettavamo
Andare silenziosamente nella notte lo farà
va bene quello che è successo era la maggior parte dei nodi
fallisce perché il nodo NPM è altamente
collegato pacchetto altamente dipendente
sistema la maggior parte dei pacchetti sono meno
di 20 righe di codice in lunghezza e cosa
abbiamo un fallimento a cascata
situazione in cui è possibile inserire codice in o
prendi il codice e rompe tutto
intorno a questo non è lo stesso per tutti
delle lingue così quando abbiamo così tanto
varietà nel nostro spazio linguistico siamo
aprendoci a rischiare dal
sistemi di gestione dei pacchetti stessi
altre cose interessanti sul tuo nodo
in realtà non è necessario eseguire alcuna convalida
o il vostro assegno codice per averlo in
NPM ti iscrivi crea un account noi
spingere se n’è andato ora se sei qualcuno
come me, quello che vediamo è la capacità di
quindi inserire il codice dannoso e averlo
adottato da molti molti molti altri
dipendenze e entrare in questo altamente
questa è una rete di pacchetti collegati
fondamentalmente nello stesso modo in cui funzionano i worm
quindi potrei inserire del codice dannoso
tre cose diventano dipendenti da esso ogni
di quelli hanno dieci cose sono dipendenti
su quelli e prima che tu lo sappia, lo sono
toccando ogni parte del NPM
infrastruttura o ecosistema che fa paura
quanti di voi hanno un buon Pro
per controllare i pacchetti che stai tirando
da questi posti non vedo
qualsiasi cosa in natura ancora che in realtà
potresti usare questo e controllare se questi
pacchetti sono sicuri o non è sicuro che siamo
vedere i checker CVE e cose, ma lo siamo
non vedere nulla che vada bene
ho davvero bisogno di questo è l’è
questo buon codice è sensato
ingegneria ora per finire questo piccolo
sezione su alcuni orribili leet destra
le analogie la pensano come tutti i cuccioli
lingua e ogni pacchetto che porti
nel tuo sistema è come un cucciolo è
carino tu puoi giocarci e fare tutto
alcune cose interessanti che non hai mai fatto prima
ed è fantastico e sta per fare la cacca
occasionalmente e va bene perché
si tratta di un cucciolo e basta raccoglierla
e hai a che fare con grande che poi ottieni
300 cuccioli e ora improvvisamente quella cacca
il problema sembra un problema molto più grande
di quanto non fosse in precedenza
quindi per favore prima di iniziare a portare dentro
più cuccioli nella tua vita prendi in considerazione
cosa farai con la cacca giusta?
quindi concluderò con il rilevamento
la prevenzione non è gonna get
tutto il modo per favore registra tutte le cose
ne abbiamo già parlato in precedenza
andando a spendere questa sezione martellando
cose di cui ho già parlato perché
è il più importante che richiede
18 mesi per scoprire che sei stato
compromesso e quel momento tutti i tipi di
cose divertenti saranno successe se lo hai fatto
ha solo 14 minuti di visibilità in
sei loggato per brutti momenti
quando si tratta di indagare su cosa è andato
sbagli devi vederti loggare da qualche parte
è immutabile in sé che è sicuro
sembra un buon senso, ma cosa?
vediamo che la maggior parte delle volte è memorizzata su host
va bene ora ti ricordi quella cosa
dove ti ho detto cosa farò quando
Ho compromesso i tuoi ospiti parte del
pulizia ho intenzione di sciacquarmi
dai tuoi registri saranno le tue serrature
più nitido e più pulito di quanto abbia mai fatto
sono stati nella loro vita i tuoi registri e male
i registri gestiti sono in realtà davvero buoni
via alle cose denial-of-service se
siete tutti invio a un mal
l’ end point configurato è davvero buono
il modo di abbatterti è se togli
quel punto finale quindi sì, per favore sii prudente
un altro po ‘di compiti a casa quanti
hai sentito parlare di hacking team ok hacking
squadra era un gruppo prolifico di
ricercatori di vulnerabilità fuori dall’Italia
e c’era un rapporto sul
Internet molto recentemente dal ragazzo che
compromessa
loro e aggiungere tutto il loro bucato sporco
online e li ha compromessi e questo
è una società molto focalizzata sulla sicurezza di
attaccando il loro middleware centralizzato
quindi i loro sistemi di registrazione il loro backup
i sistemi controllano la salute dei loro sistemi
chiunque usi ancora Nagios è qui
stiamo per venire dopo quindi per favore sopportare
in mente quando hai questo molto
frammentato in infrastrutture come questa
questa architettura quindi andremo a
cercare qualcosa di condiviso tra tutti
dei tuoi componenti e non abbiamo paura
per andare a cercare cose come Nagios
questi sistemi hanno davvero davvero
privilegi elevati e quindi guardare
i tuoi registri quanti ne filtrano
avvisi che arrivano nella tua casella di posta in a
cartella e alla fine arrivare a loro aha
quanti se non hai nemmeno il
avvisi perché hai annullato la sottoscrizione di quanti
di voi avete il canale lento del destino
dove stai loggando va e uno
la persona va occasionalmente ma la maggior parte di
il tempo è solo rumore e poi
regali occasionali, stiamo facendo schifo a questo
la tua più grande è la cosa più grande che puoi
fare è non preoccuparsi di quali colpi il
la lingua che vuoi fare dopo è ottenere questo
roba funzionante automatizza il diavolo
il tuo logging e farlo monitorare
investigare le cose e andare a scoprirlo
troverai più scaling e prestazioni
problemi che riguardano i registri di sicurezza e
Saresti allora a conoscenza di questo
punto posso trovare difetti di sicurezza alla ricerca
a query lenta registra nel mio sequel il tuo
i registri sono molto preziosi ma noi no
guardali a meno che qualcuno non ci dica di farlo
guardali o abbiamo rotto qualcosa
così ok è un po ‘un giro di fischietto
lo apprezzo
e quando dico demo di cose che conosci
tutti si aspettano che io vada a Lowell il suo io
hai lanciato un guscio per te che non stai andando
per imparare in questo modo è uno spettacolo magico ma
tutti gli esempi che ti ho dato sono
dai sistemi reali dalle cose nel
selvaggio e scritto da veri ingegneri no
unicorni che scrivono libri e presentatori
cose così per favore vai nel tuo mondo
le cose semplici mantengono le cose semplici e
mantienili revisionati, tienili loggati
perché è tutto molto bene passando da
il grande monolite che ci sta costando
senza perdita di dolori per affrontare l’amabile
fantastici micro servizi che possiamo essere
molto più flessibile, ma ricorda
che quando rompiamo le cose in piccolo
pezzi aumenta la superficie e
la superficie è tutti i punti e
sicurezza che possiamo attaccare se ci sono
più punti per attaccare di più
successo ho intenzione di essere
quindi se hai qualche domanda la gente lo sa
Ovviamente c’è un’applicazione che
dovresti darmi un feedback
segnando non ti ho mai detto in nessun punto
per cercare di darmi il punteggio di viola
così non è mai successo solo per il
record grazie mille per il tuo tempo
quello era il mio bel Mic Check suona forte
per me puoi sentirmi tutto bene
favoloso sei tutti un caffeina sì
bravissimo, è ancora meglio
il mio nome è Laura e se ti piace il loro a
schermi su ogni lato mi puoi trovare su
Twitter come signora sottolinea nerd I
menzionalo perché il trattino basso è
importante il vero nerd della donna no
capire i micro-servizi tutta la sicurezza
tutti mi piacciono le persone che mi trovano dopo un
conferenza quindi per favore trova quella giusta
va bene va bene così questo discorso è di essere
registrato quindi scusate la diapositiva questo
è per le persone che stanno andando a guardare
video a casa siamo in un ritmo veloce
l’industria è davvero molto veloce così
questo è tutto rilevante per oggi
gli esempi sono tirati dall’ultimo
paio di mesi alcuni di essi dal
ultimi due giorni ma se lo sei
guardando questo a casa per favore assicurati
stai guardando gli ultimi consigli per
qualunque sia il campo in cui ti trovi
seriamente c’è qualcosa di spaventoso fuori
ci va bene così chi diavolo sono io e perché
sono su un palco qui lo puoi dire dal
accento Non vengo da qui vivo
in Nuova Zelanda vengo dal Regno Unito
originariamente e gestisco una piccola sicurezza
telefono chiamato pila sicura Non sono qui per
vendi a te che è una cosa bella
perché vivo migliaia di chilometri sul
dall’altra parte del pianeta, quindi cosa faccio?
bene, ho passato gli ultimi dieci anni a fare
cose cattive a brave persone codice per bene
le persone in generale mentono barare e
rubare e fare un po ‘ di software
lo sviluppo sul lato questo è il mio
finestra nel mio ufficio
è il mio consiglio Kanban che spendiamo il 50% del nostro
tempo facendo lo sviluppo del software e
costruire cose e il 50% del nostro tempo
aiutare le aziende che si muovono molto velocemente
sicurezza e questo significa fare sicurezza
in un modo che non intralcia
fare cose fantastiche perché per favore
alza la mano se pensi che la Sicurezza
la parte divertente del tuo lavoro solo io
destra
buona va bene così che cosa stiamo andando a
fare bene oggi ne vedremo alcuni
fondamentali, ovviamente, hai avuto modo di
inizia nello stesso posto e io no
andando a
consumo ‘è sul punto in cui siete tutti a
non siamo tutte le persone che hanno scritto il
prenota su un argomento a cui non tutti arriviamo
usa tecnologie unicorno e noi no
vado sempre vestito per tutto il tempo che conosco
questo perché lavoro solo con le persone
come te ne parleremo
la prevenzione e il modo in cui prevenire alcune delle
gli attacchi accadrà contro
i tuoi servizi micro tuo micro così Sarka
texture e poi andremo a parlare
sul rilevamento perché in realtà
la prevenzione è un puzzle impossibile
non ne avrai mai cento
per cento sicuro ci può anche dare quel
in questo momento, se vieni a pensare a me
sarà al sicuro, alla fine di questo non dispiace
sei fregato
ma parleremo di come noi
sappi che siamo nei guai perché
è altrettanto importante, quindi cominciamo
all’inizio è così che eravamo abituati
costruire applicazioni che non mi piacciono
il codice scorre molto spesso perché bene
la maggior parte passi tempo a guardare la mia sintassi
e io sono quello che chiamano un programmatore delle operazioni
il che significa che ne ho scritti alcuni
il C ++ più sporco che vedrai mai nel tuo
vita e ne sono orgoglioso scrivo Python
giorno per giorno mi stai solo per giudicare
per scelta della lingua quindi questo è un monolite
era un grande pezzo di evoluzione naturale
codice sorgente che fondamentalmente significava noi
ha dato alcuni stagisti del progetto per scrivere
una volta hanno scritto un bel po ‘
progetto abbiamo messo in diretta sul
Internet e 15 anni dopo abbiamo ereditato
e in qualche modo è ancora vita e dentro
la produzione ci piace dividere in lotti
di piccoli pezzi e pezzi ciascuno con il suo
età e storia a volte ciascuna con
la propria tecnologia che è dove siamo
in questo momento perché è così importante per a
fondamentale perché di cosa stiamo parlando
circa è che abbiamo cambiato il nostro attacco
superficie abbiamo cambiato la nostra architettura
dovremmo sapere le basi di Microsoft
è ormai hai letteralmente il
persona che ha scritto il libro nella stanza
gestendo questo tipo di traccia oggi
sai che non ho bisogno di approfondire questo
profondità ma conosciamo i benefici di ciò
che sono lì per qualcuno come me
comunque qualcuno che ha vissuto nel
posti oscuri su Internet ha speso a
molto tempo rompe le cose che cambia
il modo in cui dobbiamo affrontare la sicurezza a
piccolo
Dovrò scusare la voce che ho volato
dalla Nuova Zelanda e in qualche modo catturati
piaga aerea va bene così cosa facciamo
preoccupati della sicurezza prima di entrare
la prevenzione e la rilevazione di tutti
il pratico quindi se vuoi andare avanti
prendiamo un paio di basi
dritto ci sono tre cose a cui tengo
come una persona di Scrooge a cui tengo
riservatezza quindi se ti fidi di me
le tue informazioni e ti fidi di me
darlo a una persona nel complesso
mondo quindi questo è il mio dovere di diligenza
questo è quello che devo fare quanti di voi
ha lavorato per un’organizzazione che memorizza
i dati per altre persone buona impressionante più
di voi nei lavori software, allora va bene
è quello che facciamo giorno dopo giorno siamo
custodi segreti per tutti i tipi di persone
se si tratta di informazioni sulla carta o
informazioni sanitarie dati personali
non importa cosa ti stiamo immagazzinando
potrebbe scrivere tinder per il francese
barboncini non importa che stai memorizzando
qualcosa per qualcun altro integrità se
iniziamo con i nostri dati informiamo che vogliamo
essere forma alla fine o almeno
abbiamo bisogno di sapere quale forma la sua gonna be
in e disponibilità non dimentichiamo e
molte persone dicono bene un sistema sicuro
basta spegnerlo e avvolgerlo in cemento
e metti la bomba sull’oceano che è
il tuo sistema sicuro non è vero così
i sistemi sicuri sono sistemi disponibili
i loro sistemi si può effettivamente arrivare a
e fai il lavoro che vuoi fare sicurezza
persone non siamo in realtà il principale
attrazione qui siamo come una casta laterale
siamo qui per assicurarci che quello che fai sia
fantastico e le persone possono usarlo perché se
non lo usano, non vengono pagati
e mi piace molto essere pagato così l’ultimo
un po ‘ del nostro fondamento sono i tipi di
cose a cui ci interesseremo in questo
sessione quindi se qualcuno di voi ha fatto minacce
modellare prima di notare che questo è
il set di minacce da passo che guardiamo
a è i sei rischi per la sicurezza comuni
affrontato dalla maggior parte delle applicazioni in modo spoofing
informazioni di ripudio di manomissione
divulgazione negazione del servizio di escalation
di privilegio queste sono le cose che
sono il nostro percorso di attaccante per ottenere
le cose buone questo è quello che sto facendo
quando sto attaccando l’applicazione per provare
e arrivare a
dati o ad altri sistemi che controlli e
non dimenticare che potrei fare queste cose
contro di te potrei farlo contro
la tua base di utenti potrei essere bravo a farlo
contro una persona per arrivare a un’altra
non è tutto così semplice come ci piace
fai così partiamo con la prevenzione
come mai smettiamo di essere attaccati
in uno spazio di servizio micro perché
speriamo di ottenere tutto un po ‘perfetto
non veniamo mai attaccati e quindi non lo facciamo mai
devi preoccuparti di quanti di voi si sono seduti lì
andando non sono mai stato attaccato così è
fantastico devo averlo già fatto bene
chiunque non è solo una persona anche
se nel tuo io segreto sei come si
Ho questa prevenzione è in realtà un
grande area e passiamo quasi tutto il nostro
risorse su di esso, ma è ciò che chiamiamo un
problema asimmetrico per ogni sviluppatore
là fuori ci sono 10 attaccanti che stanno facendo
ricerca delle vulnerabilità o alla ricerca di
un modo per trasmettere i loro obiettivi e
motivazioni così quando proviamo a prevenire
loro non abbiamo tante risorse o
tempo come i nostri attaccanti fanno così è a
problema imperfetto che non possiamo mai ottenere
fino al punto in cui potremmo respingere
tutto quindi iniziamo con alcune nozioni di base
prima oh mio dio Internet è un
luogo terribile quanti di voi hanno mai
Ho scritto un codice e sono rimasto bloccato in parte
attraverso e andando su Stack Overflow
per una soluzione a chiunque non aumenti la propria
mano è un bugiardo ok io non sto dicendo che
non può farlo non con qualsiasi estensione del
immaginazione facciamo tutti questo in effetti
luoghi come Stack Overflow sono diventati un
buona fonte di informazioni provenienti dalla folla
tuttavia non è sempre vero questo piccolo gioiello
è arrivato da Stack Overflow questa mattina
raccomandando questa nostra bella domanda
la domanda originale produttore dovrebbe
basta usare password vuote di cinque piani
ottimo perché qualsiasi altra cosa è giusta
essere paranoico ora
quanti di voi hanno una scheda grafica
il tuo computer sì, tutti voi ne fate la maggior parte
tu io
c’è una ragione per cui non ci piace MD5
più è perché quel piccolo
la scheda grafica nella maggior parte dei computer di casa è
ora abbastanza veloce da decifrare le password usando
MD5 che anche quando sono salati questo
non è un controllo, ma internet ha detto
così
quindi qualcuno da qualche parte sta ancora costruendo
un sistema come questo sono entrato in un
cliente due settimane fa e hanno detto che è
okay, abbiamo iniziato a usare bcrypt e io
è andato sì, ma abbiamo scoperto che era abbastanza
difficile così accanto ad esso abbiamo messo il
testo semplice nel caso in cui il supporto clienti
ne hai bisogno okay, si tratta di una specie di schifo
che abbiamo su internet
consiglio di sicurezza in sé non sono qui per
darti i trucchi magici di qui è un
OAuth top ten ed ecco come far apparire un
Casella di avviso JavaScript non lo faccio
tipo di parlare ci sono centinaia di discorsi
là fuori sono proprio così
Sono qui per fare è mostrarti un po ‘
delle vere insidie che sto vedendo giorno
oggi e come li stiamo affrontando così
innalzare la mano in primo luogo, se tu
non so che cosa vada bene una vespa
benvenuto è il più importante
lezione che porterai da oggi
Oh wasp è l’applicazione web aperta
progetto di sicurezza è gratuito è a
comunità globale di persone di sicurezza che
stanno lavorando per dare risorse gratuite a
le guide della comunità strumenti imbrogliano
fogli tutto sulla sicurezza è fantastico
dovresti essere coinvolto lì
un link su questo far scorrere le diapositive noi
condiviso in seguito ma basta andare e scavare
ora viene fornito con un avvertimento sul loro sito web
sembra che sia sfuggito dal 1998
non è colpa mia, mi dispiace ma il
il consiglio è ancora molto buono quindi questo è il
ultimo dei nostri posti dove andare per informazioni
così Stack Overflow
può essere buono ma usare un po ‘di buon senso
controlla subito le fonti autorevoli
questa è la mia personale crociata, quindi cosa fa
tutti stanno per poter essere tutti chiari per a
secondo abbiamo due remi nella nostra vita noi
avere l’ autenticazione e l’autorizzazione
e non sono la stessa cosa ora quando
abbiamo a che fare con i servizi di micro esso
diventa davvero importante per ottenere questo
dritto
perché i componenti che stanno facendo
la tua autenticazione potrebbe non essere la stessa
componenti che stanno facendo il tuo
autorizzazione che la tua autorizzazione potrebbe
accadere diversamente in modo diverso
luoghi della tua applicazione
ogni volta che vedo una specifica che dice
faccio cose spiacevoli ne ho un po ‘
preoccupato perché spesso noi generalizziamo
e li abbiamo messi nello stesso secchio così
la mia prima cosa che ti chiedo i tuoi compiti
ogni volta che vai e vedi un requisito
spec e dice do auth please just
spingerlo indietro con la tua penna rossa tu solo
andare grande croce attraverso di essa dire riprovare
prova più difficile perché questa è la radice di
il nostro problema è la sicurezza , usiamo il ronzio
le parole che usiamo abbreviazioni non lo facciamo
li considero davvero ora in micro
servizi abbiamo il lusso di rompere
giù i nostri componenti e in realtà facendo
questo in posti individuali ora siamo
andando a tornare a orchestrazione
strati dopo perché sono giusti
significativo in questo spazio ma tu no
devi averne uno che puoi semplicemente creare
i tuoi piccoli servizi per essere Tommy
lavorerò sulla stanza o potresti
basta avere uno dei tuoi piccoli servizi
che fa autenticazione altro
con questa autorizzazione
hai la massima flessibilità che è
parte della bellezza di questa parte di cosa
può scalare e parte del motivo per cui è possibile inviare
su più squadre ma allo stesso tempo
tempo significa che non hai un pari
superficie quando si tratta del tuo
autenticazione o la tua autorizzazione ora
se guardiamo tutte le occations inviate prima di noi
potrebbe identificare componenti centrali come
il piccolo quadrato bianco su questo e
Diciamo che dovremo prendere in considerazione questo
è sicuramente importante nel mezzo
ma ciò a cui non teniamo conto è questo
c’è una fiducia implicita tra il nostro micro
servizi che potrebbero essere utenti
autenticarsi e autorizzare alla frontiera
punti in cui interagiscono ci sono
piccoli meccanismi di fiducia in corso all’interno
l’app che significa che puoi andare da un a
bassa attendibilità dell’applicazione ad un alto livello di fiducia
applicazione senza senza veramente
notando che l’hai fatto oh sto perdendo
i microfoni sono anche bravi con tutto
l’ educazione è che deve essere coerente
deve essere pianificato ora potrebbe sembrare
come il buon senso ma molto del tempo
Ho visto le architetture di Microsoft
spuntare in luoghi che hanno un grande
codice base legacy e se stai lavorando
con una base di codice legacy e lasciarti
ho ancora dotnet dio sa quale versione
vecchio nel tuo
vita sì Java 1.4 oh sì mi dispiace, sì
questo è il mondo in cui viviamo nel nostro
i servizi non sono tutti scritti in ultima istanza
nodo con reagire agli occhi e con studioso
qui e ruggine laggiù che non lo è
come funziona così la maggior parte di noi così finisci
con componenti che sono limitati da
le tecnologie che sono in realtà
scritto in vecchie versioni di Java e.net
non hanno le stesse funzionalità di nuovo
versioni di alcune delle lingue successive
quindi dobbiamo avere un piano coerente
approccio e dobbiamo essere in grado di testare
ora l’autorizzazione è autorizzata
il tuo prossimo passo raddrizza la tua autenticazione
sei tu chi dici di essere grande?
meraviglioso Ho intenzione di farvi del
porta ma ti lascerò fare
tutto bene probabilmente non per impostazione predefinita
speriamo che pensi a questo come al tuo
porte scorrevoli che entrano nell’atrio di
alcune porte scorrevoli hanno una tendenza
fallire aprire se si rompono stanno andando
per farti entrare e uscire perché se ci
era un fuoco o qualcosa che stanno andando
lascia che tu lasci l’edificio e non l’abbia
un finale orribile in sicurezza noi
in realtà voglio andare nell’altro modo in cui lo fai
non voglio essere la tua porta scorrevole tu
voglio essere una prigione se le cose stanno andando
male se non avete preso una decisione che
dovrebbe essere chiuso così tanti quadri danno
tu questo sai che puoi usare il
decoratori per i tuoi servizi o puoi
usa alcuni pensando al tuo generale
la configurazione ha la tua base l’una
sta per fallire per essere senza ottenere
niente per te qui
perché fallire è veramente pericoloso
per noi non vogliamo che il nostro pubblico di fronte
L’API non funziona e questo deve essere
applicato ad ogni oggetto ogni metodo
ogni endpoint nella tua architettura ora
se va bene quando fai come andare
101 micro fonti e ne hai tre
micro servizi e ti senti davvero
Ho avuto un successo spettacolare nel mondo
i clienti che hanno più di 300 micro
servizi che non è facile fare su questo
tipo di scala diventa anche difficile
quando iniziamo a guardare i meccanismi
stiamo usando per la nostra autenticazione o
autorizzazione della tokenizzazione
quindi ci sono molti diversi intriganti
puoi usare per i token che puoi
homebrew assolutamente tutto ciò che puoi
scrivi puoi sicuramente scriverlo allora
faccio un sistema di token con esso probabilmente
non lo farei, ma tu puoi i problemi che siamo
vedendo comunemente bontà che faccio
scusa un secondo che sto per finire
tenendo questo a destra ok così il
problemi che vediamo comunemente nel
lo spazio dell’autenticazione dell’autenticazione è
che i token non stanno bene
gestito non ci sono di alta qualità
sopravvivono molto più a lungo di loro
dovremmo avere che non è una novità
problema questo è un vecchio problema che abbiamo avuto
questo per sessioni per un tempo molto lungo
ma ora abbiamo diversi token
l’ unica cosa di cui stiamo tornando indietro
e ora è questo segno molto grande ora
cose che dovete considerare dove
vengono memorizzati dove sono i token
in genere viene memorizzato nel tuo
le applicazioni ora sono sicuramente uiz
Giusto potrebbe essere in nessun posto potrebbe essere
stai solo scrivendo richieste di ricciolo o
usando il postino e sta appena ottenendo
caffè e incollarlo ma potrebbe anche
sii che li stai immagazzinando in locale
archiviazione o da qualche parte in un dispositivo mobile
e ricorda un sacco di questi spazi
i posti non sono sicuri di default questi
non sono negozi crittografati, se hai
Chrome sul tuo laptop puoi interferire
con la tua memoria locale o pasticciare
con quei token se puoi farlo come un
ingegnere devi presumere che il tuo
gli utenti possono farlo anche tu e i tuoi aggressori
quindi devi gestire questo token
con molta attenzione e aggressività
monitoraggio per comportamento strano o
strano uso di quel token perché se
quel modello di utilizzo cambia di cui hai bisogno
No, non mi fido di te adesso
avremo bisogno di trasferirci di cui abbiamo bisogno
per verificare che abbiamo bisogno di fare input
convalida ora è passato molto tempo
tempo da quando sono stato nel campo e
l’unica lezione che continuiamo a ripetere e
ancora e ancora e ancora e ancora e
di nuovo si prega di convalidare il tuo input e
sì, la top 10 degli URL è rimasta in gran parte
invariato per circa 10 anni perché
la convalida dell’input non fa bene
a tutto questo ora molti dei tuoi quadri
fare cose davvero buone
impostazione standard , quindi non lasciare che ci sia
alcune cose incredibili c-sharp è incredibile
roba Django che trascorro molto tempo
in ha alcune buone impostazioni predefinite
la scatola ma il secondo in cui inizi a scrivere
API personalizzate o cose che non usano
la roba di struttura generica ingombrante
e tu provi e scrivi qualcosa
leggero sul lato che rinunciamo ad alcuni
di questo l’altra cosa che succede è
ci aspettiamo che tutte le nostre lingue facciano
questo per noi quindi se vieni da dire a
c-sharp background e si sposta
qualcosa come il nodo per esempio tu
spesso presumo che se sta usando lo stesso
parola significa la stessa cosa
non è davvero tornerò
per che, quando si parla di lingue
stiamo usando in loro e come sono
che influisce su una convalida di sicurezza deve
accadere in ogni intestazione di ogni richiesta su
ogni metodo che suona davvero comune
senso, ma se si accoppia questo con il
Infatti, raramente abbiamo messo la destra
tipo di contenuto sui nostri rendimenti
la convalida ci sta impedendo di tornare
script e cose per le nostre interfacce utente che
non so meglio stanno andando
per rendere le cose sullo schermo così servizio
composizione hai un monolite fantastico
fantastica fantastica meteora e affari
ed è grandioso che stai per rompere
giù in piccoli pezzi e sei
lo spedirò su Internet come
Microsoft vede e il mondo sarà a
ottimo posto fantastico indipendentemente da come
molti libri che hai letto e quanti video
e quanti tutorial ti guardano
in realtà non è così facile la prima volta
round soprattutto se hai a che fare con
un’applicazione complessa esistente che tendiamo
per dividerlo verrà codificato il nostro piccolo servizio
inizia a distribuirli e poi a noi
passare a quello successivo ed è molto
difficile tornare ai vecchi per
dare un’occhiata a loro, ora che ha un
effetto interessante quando iniziamo a guardare
per la sicurezza delle nostre applicazioni
questo è un esempio rozzo visto di nuovo in
il mondo
ovviamente nessun codice non farti confondere
so che è la stessa lezione senza
il codice lì quindi abbiamo tre micro
servizi due di loro utilizzando token JWT
per la loro autentica roba di autenticazione
semplici librerie di buone linee e
quadri ultimo quello che è quello
base64 e se non si è familiari è
è stato un po ‘di tempo da quando hai guardato il
differenza tra codifica hashing e
crittografia che non è particolarmente
sicuro e anche se dovessi decodificarlo
probabilmente non è un token di alta qualità
o ricorda così la via del cuore
è di un’applicazione come un utente malintenzionato
attraverso la sua parte più debole così normalmente il
più antico servizio che hai scritto quello
hai scritto mentre stavi ancora guardando
i tutorial di un drink o mestiere o
qualcosa su Internet
quindi torna indietro e guarda quei vecchi pezzi di
codice So che ho gremlins nel mio
vecchi pezzi di codice sono probabilmente sicuro di te
anche noi sappiamo tutti che Microsoft è
dovrebbe essere piccolo e semplice
abbastanza semplice impressionante quanti
di te sei imbattuto in un mostro micro
servizio un micro servizio che è
fingendo molto duramente che sia un
ragazzo carino e vuole davvero venire
la festa ma in realtà hai preso un
sviluppatore monolitico e tu hai detto di fare
un’API ed ecco che hanno fatto, ma
è gigantesco è 500 linee più di
codice altamente complesso altamente complesso
quello probabilmente fa tre o quattro
diverse funzioni quando dovrebbe essere
facendo uno sì questo è Microsoft sono io
non qui per dirti il futuro glorioso
di micro servizi sono qui per mostrarti
gli scheletri che vedo ogni giorno e
va bene, non ti preoccupare se lo vedi
tipo di cose significa che sei in un
organizzazione normale non hai abbastanza
arrivati lì va tutto bene ma chiama
Se sappiamo, tutti conosciamo la regola
facendo una revisione del codice se ti viene dato
10.000 linee di codice da rivedere
individuare quanti bug contengono 10.000 righe zero
dirai che va bene se lo spedisco
sei sei righe troverai dieci libri così
tratta il tuo micro sistema allo stesso modo se
hai migliaia di linee di codice
non è un micro servizio, va bene, fallo
in modo irreprensibile ma semplicemente
sai dire, torna di nuovo, prova di nuovo
ricordalo mentre stiamo crollando
i nostri servizi ci stanno andando naturalmente
essere un po ‘di accoppiamento tra loro è
molto inusuale per te essere in grado di
fare micro servizi che possono funzionare
interamente atomicamente
tutto da solo ora è interessante
quando inizi a scoppiare qualcuno che lo fa
sollevamento più pesante rispetto ad altri così per
esempio elaborazione batch o trattare
qualsiasi tipo di grande trasformazione dei dati o
Dì il tuo sistema di autenticazione perché
se non consideri questo accoppiamento tu
finire in territorio di negazione del servizio se
Non riesco a ottenere il mio obiettivo, quindi se lo voglio
prendere soldi o avere problemi
oh mio microfono contro ci andiamo
fantastico, ho intenzione di vendermi questo
è fantastico, sì, l’ ho visto qui prima di tutto
giusto verrà subito è questo
impressionante favoloso tutto bene, quindi se abbiamo
ha i servizi per connettersi l’un l’ altro
e non posso raggiungere il mio obiettivo, quindi il mio
l’obiettivo è la tua proprietà intellettuale
o dati dei bambini o qualunque cosa io sia
cercando di arrivare a volte a volte solo
può causare una negazione del servizio
effetto in sé e per sé posso distruggere
la tua reputazione nel settore che posso
interrompere una transazione cruciale che è
andando avanti facendo in modo che il
l’accoppiamento nei tuoi servizi significa che se
uno non riesce che gli altri non vanno giù
con esso quanti di voi fanno qualsiasi tipo di
test di carico o tipo di test di fallimento
in questo modo se non lo fai è davvero
modo divertente di fare test se pensi
test è noioso questo è quello da ottenere
è iniziato perché in pratica sei tu
distruggerò la tua intera architettura
ed è tutto per le cose buone che puoi
come ottenere KPI e cose per noi il
altra cosa da sapere è che potrebbe non esserlo
il tuo codice che non funziona sotto pressione ora
abbiamo deciso tutti di usare il cloud
è buono e ci torneremo a che io
Come le nuvole non non ti preoccupare
la nuvola ma quanti di noi l’amore è AWS
documentazione sì non ci sarà nessuno
a volte non è il nostro codice che è
andando a paralizzare i nostri servizi di mercato
è qualunque cosa l’ abbiamo pubblicata e
tuttavia , l’abbiamo configurato indipendentemente dal fatto
sta andando in scala automatica o non la nostra auto
ridimensiona se hai impostato un limite di fatturazione
su di esso e hai intenzione di colpirlo
limite di fatturazione e bloccare effettivamente tutto
i tuoi account per tutto il tempo che è
qui è il tuo approccio siamo riusciti a
causa interruzioni e sistemi di tre settimane entro il
innescando in
controlli su piattaforma-as-a-service not
perché intendevamo ovviamente ma tu
non voglio vivere in un settore in cui
tre settimane interrompe una cosa che tu
potrebbe effettivamente accadere che dovrebbero
sta succedendo a te giusto quanti di
pensi che il tuo capo sta andando essere felice se
tre settimane dopo il tuo codice non lo è ancora
correndo sì nessuno sarà felice così
abbiamo iniziato ad abbattere i nostri servizi
abbiamo deciso di non voler mettere tutto
quell’acacia a nord in ognuno di loro
stiamo andando in outsourcing tutto questo a un
strato di orchestrazione fantastico ci sono
quelli grandi là fuori sono molti disponibili
Non sono qui per chiedere un venditore
non importa quale scegli tu scelga
quella che ha belle adesivi come
punto di partenza penso che sia così
funziona così bene che avrai un
componente davvero potente e molto
piccoli componenti minuscoli impressionante quanti
di te ti senti un po ‘ preoccupato per questo
dovrebbe questo è preoccupante perché afferma
come questo accada questo è stata presa per un
sito web del fornitore questa mattina sono
promettendo non solo di fare il tuo
orchestrazione per proteggerti da tutti
OWASP Top 10 e minacce adattive
come BOT male non so che male
I BOT sono e sono una persona flagrante quindi se
puoi capirlo quando ti prego di farlo
so che sarei interessato a sapere cosa
questo in realtà significa, ma c’è una preoccupazione
qui quello che abbiamo fatto è che abbiamo detto bene
tu conosci la cosa della sicurezza che io non conosco
davvero bisogno di preoccuparsi di questo perché
il mio livello di orchestrazione lo farà
per me sì, questo è veramente pericoloso
questo crea un approccio nel nostro
team di sviluppo di non il mio problema
qualcun altro può occuparsi di quel bit noi
basta fare la nostra pura funzionalità di base
è spazzatura
a un certo punto cambierai
il tuo strato di castrazione o il tuo
il livello di orchestrazione ti lascerà
giù in qualche modo e tu sarai
davvero davvero nei guai a questo punto
se sembra magia, probabilmente lo è
cazzate okay altre cose che dovresti
conosci gente come me gente che attacca chi
fai quello che faccio ma loro mi assomigliano
sono incredibilmente pigri incredibilmente pigri se
è una scelta tra fare qualcosa
tipo di undici tipo di rapina dell’Oceano
ci vorranno tre settimane di pianificazione
e come ho bisogno di una persona di ruote e
qualcuno con cui parlare è davvero bravo
gli umani o io posso semplicemente rubare il tuo laptop
nell’atrio sto per rubare il tuo laptop
ora lo stesso vale per il livello di orchestrazione
attacchi se hai 300 micro-servizi
ma so che il tuo livello di orchestrazione è
il Gateway per ognuno di loro
Non ho intenzione di seguire i tuoi micro servizi
Vado a cercare il tuo livello di orchestrazione
ora per molti di noi è un’area che noi
non controllare nemmeno che potrebbe essere un terzo
servizio party un software come servizio
prodotto potrebbe essere qualcosa che abbiamo
internamente nella nostra rete ma per la maggior parte
di noi è qualcun altro interamente
ora queste sono le caratteristiche che sto iniziando
per vedere nei livelli di orchestrazione quello
mi spaventa così l’impersonificazione qualcuno dentro
l’orchestrazione completa della squadra di supporto
il servizio numero tre può fingere di essere
me in qualsiasi momento e presentarsi nei registri
come me ora è davvero spaventoso, voglio
essere in grado di vedere se un amministratore o un super
l’amministratore accede Voglio vedere cosa fanno
in particolare e non dovrebbe mai essere
mascherato come me stiamo vedendo
modalità investigativa o intercettazione SSL
così SSL è un dolore nel culo per configurare
nel migliore dei casi se non hai corso
i tuoi strumenti attraverso qualcosa come SSL
scansione o utilizzare laboratori SSL per testare ciò che il tuo
Lo stato SSL è quindi per favore vai a farlo
perché inizierai ad avere un sentimento
per quanto sia complesso qualcosa come SSL
configurare e mantenere giorno per giorno che faccio
non voglio alcuni dei venditori sul
internet che interferisce con il mio traffico SSL
quel tipo di rompe il punto intero di
viene crittografato ora se lo stai mettendo
tutti i servizi nelle tue reti che dicono
oh va bene noi man-in-the-middle the
Traffico SSL e poi lo ricostruiamo noi
mandalo per la sua strada chiediti sempre
bene chi guarda a quel punto chi
in realtà non riesco a vedere quei dati e lo farai
capire perché è importante solo in
seconda password dei peccati di terzi
fornitore Sono abbastanza sfortunato da avere
fatto così tante revisioni SAS di sicurezza in
negli ultimi mesi che posso probabilmente
fallo nel sonno quanti di voi corri
o funziona per un prodotto SAS tre o
quattro di voi per favore ti sto chiedendo per favore
solo una volta te lo chiederò gentilmente
ambasciatori per il tuo settore
si prega di migliorare con le password per favore
inizia a preoccuparti di cose come
autenticazione a due fattori
per favore inizia a preoccuparti di avere il bene
password Lentz non Maksim avere un max
lunghezza su una password non è un bene
idea così come lo facciamo questo abbiamo bisogno di
scegliere le tecnologie appropriate è
okay per dire no al nuovo hipster unicorno
tecnologie perché non sono pronte
eppure è difficile non sentirti figo
ragazzo, ma va bene
limitare l’accesso a queste cose la vostra
il livello di orchestrazione è il più potente
cosa nella tua architettura a questo punto
quindi non tutti hanno bisogno di accedervi
monitorarlo in modo aggressivo e configurarlo
bene se non viene con nessun fantastico
Lavorerò con il tuo sistema di monitoraggio
ecco un piccolo consiglio per te se lo è
ho una query API che l’API usa
qualunque linguaggio di scripting ti piaccia e
usa AWS lambda per spedire i log a qualsiasi cosa
sistema di monitoraggio tutto il resto va
dentro di te puoi essere attivo e funzionante in meno
di 40 minuti finché conosci il tuo
la sceneggiatura funziona bene e Lambda ti onora
versioning che non sempre accade
ma hai intenzione di avere reale
monitoraggio che puoi effettivamente
interagire con nello stesso luogo di
tutto il resto va non dare per scontato
tutto ciò non si assume solo perché
il loro sito di marketing è super lucido
e ha tutte le parole d’ordine giuste e questo
significa tutto ciò che non do a un topo se
tu dici che sei conforme PCI che tu
ho scritto Sox in tutto il sito web I
davvero non quello che mi interessa è quello
ti importa della mia sicurezza che tu sia
prenderà provvedimenti a tuo nome e
verranno distribuiti a tutti i tuoi
personale non solo una persona nella tua squadra
e poi voglio che tu collauda queste persone
regolarmente Voglio che fare in modo che
stanno ottenendo pen-test se lo sei
stai lavorando su un’applicazione che è
andare su internet ma non lo è
ottenere la penetrazione testata o messa in atto
in un programma di bounty bug o con un
processo di divulgazione responsabile sei tu
facendo torto ora in questo spazio lì
è uno strano equivoco che la sicurezza
i venditori sanno cosa stanno facendo quando
arriva a garantire lo sviluppo ora voglio
per chiedere a tutti voi come ingegneri migliori di
chiunque nella mia comunità sarà mai
per favore ci sfida su questo voglio
mostra solo le ultime due settimane da
uno dei nostri ricercatori nella comunità
questo è Tavis
Thomas ha un problema con la sicurezza
venditori è stato sistematicamente
vulnerabile facendo ricerche sulla vulnerabilità
su ogni antivirus un prodotto di sicurezza
può trovare e sta piovendo
le vulnerabilità ora era la scorsa settimana
questa è una settimana prima che continui
e avanti e avanti ora queste sono siamo
parlando di Symantec Norton Kaspersky
Mi metterò nei guai con qualcuno
perché questo è su internet ma
non dare per scontato se si tratta di un prodotto di sicurezza
loro sanno cosa stanno facendo sfida
respingono indietro più forte di te
sarebbe su di te perché hanno un
maggiore dovere di cura di te anche se
hai un set di bilance Fitbit tu
dovrebbe probabilmente patch it che penso
è esilarante che viviamo in un mondo
dove stai rattoppando le tue scale ma
per favore fallo
va bene così identità e gestione degli accessi
abbiamo il nostro livello di orchestrazione
ci aiuteremo speriamo
non ho deciso di fare homebrew o nessuno dei
questo useremo un bel po ‘
pratica così cose che dobbiamo preoccuparci
circa il principio del minimo privilegio e
chi lavori per un’applicazione
società di sviluppo o di un’applicazione
che ha una modalità dio o un super utente o
la modalità super admin ha la maggior parte delle applicazioni
è nascosto da qualche parte nel back – end
è la via backdoor in cui entri
e tu fai query di database non elaborate e
modifica è quello in cui è tutto finito
orribilmente orribilmente sbagliato e c’è
ancora un modo per entrare ne so di questi
le cose che ho visto li ho scritte loro
i tuoi peccati sono i miei peccati siamo in questo
insieme dobbiamo abituarci all’idea
va bene dire di no che va bene dire
in realtà hai solo bisogno di questa autorizzazione
e questo significherà che i tuoi ruoli
disponibile potrebbe diventare più diversificato
potrebbe finire con più fuori di loro e
va bene non devi avere solo
un ruolo che può fare tutte le cose
ma per farlo devi definire il tuo
ruoli bene quali sono le persone in realtà
usando la tua applicazione per ora quanti
di lavoro con team di marketing e
avere strumenti di analisi nella tua applicazione
si spera un sacco di voi perché
è così che sappiamo cosa i nostri clienti
stanno effettivamente usando qualsiasi codice che siamo
non usare dove il cliente è morto
codice e ha bisogno di essere cancellato che fa male
noi perché abbiamo messo il nostro tempo e denaro
e ci si innamori ma si cancella ancora il
codice che ora è la cosa migliore da fare
quegli strumenti di analisi che sto per fare
una persona di sicurezza ti dice di andare a usare
pazzi strumenti di marketing per capire cosa
le persone stanno usando la tua applicazione
perché allora puoi fare teoria degli insiemi
perché la matematica è divertente e guardo cosa
i ruoli esistono
sai quali sono in realtà i raggruppamenti
essere usato cosa significa la funzionalità
roba a diversi utenti che sto per
ti chiedo categoria per favore non andare è
okay abbiamo i permessi a grana fine
permessi a grana fine è il percorso
ai draghi nulla di buono viene da questo
Lavoro con un cliente ne hanno nove
centottantanove diversi
autorizzazioni a grana fine nella loro
applicazione che significa se parli
sulle possibili permutazioni che
componi i ruoli in cui stai parlando
le decine di migliaia di permutazioni di
ruoli nell’applicazione che non ti servono
questo lo dirò che siamo ingegneri
veramente bravo in questo, ma gli utenti no
cura che l’utente sarà felice se solo tu
rendi la loro vita semplice, quindi non andare giù
la strada delle autorizzazioni a grana fine
calcola sempre quante permutazioni
questo significa perché ogni permutazione
ha bisogno di monitoraggio e amore a modo suo
e poi controlla il diavolo da questo tu
davvero davvero bisogno di così tanto tempo
e monitorare la tua applicazione è
Incredibile, quindi in genere vedo le persone
usando la logica Sumer e Reagan dal
il venditore Hall fa grandi cose con i loro
logica applicativa ma ignorano il
roba di sicurezza intorno all’accesso esterno
registra se stai integrando con
qualcosa come Active Directory tutto
queste cose devono essere tirate insieme
quanti di voi sono mai stati nei pressi di a
firewall di applicazioni Web okay un paio
di te sì mi dispiace
giusta applicazione web realtà triste
firewall e normalmente il primario
difesa che abbiamo nelle nostre organizzazioni
contro le cose brutte che accadono comunque
sono dati al team di sicurezza
che è qualcuno come me o qualcuno
chi è un amministratore di sistema e loro lo proteggono
quindi lo mettiamo in modalità monitor che hai inserito
in modalità monitor e osserva
cosa e va bene se fossi nel reale
modo mi piacerebbe fare cose in questo momento e
ecco cosa farei ora in a
mondo perfetto dovremmo quindi andare a cercare
a questi registri e andiamo oh giusto sì
quello può andare avanti e quello no
e quello era un falso positivo e quello
andava bene e lo accendiamo in modalità completa
e andrà bene
otto su dieci delle aziende che ho
lavorato con negli ultimi 12 mesi chi
i firewall delle applicazioni Web sono ancora
in modalità monitoraggio dodici mesi dopo
dispiegamento che stanno generando in eccesso
di sessantasettemila allarmi al giorno
che non vengono mai guardati e
elaborato perché sta succedendo così bene
perché il tuo team di sicurezza non lo sa
il tuo codice base non sanno cosa sia
normale e cosa non lo sono non lo sanno
quale super superbo numero di servizio
tre dovrebbe apparire come loro
non so quali parametri pazzi hai
hanno detto che stanno bene così allora sembra che
Jason viene licenziato qui e lì
ovunque speriamo e non XML per favore
se sei in un ambiente che è
esternalizzato a tutta la sua sicurezza
monitoraggio ad un’altra squadra che lo sa
niente sulla tua applicazione e
chiedi loro e dai loro aiuto andare e tirare
quei log in che modo puoi vederlo perché
gli ingegneri sono molto propensi a molto
più probabile che sia in grado di usare questo di
chiunque altro
ora giusto per reagire ripeti quello che ho detto
su AWS o è il tuo o qualsiasi altro cloud
piattaforma come servizio questi sono fantastici
il numero di controlli che stai andando
per entrare in questo spazio rispetto alla corsa
la tua infrastruttura è comunque ottima
questo è uno spazio complesso che non è necessario
tuffarsi a capofitto dentro per favore
consultare un adulto prima di provare a
configurare gruppi e ruoli di sicurezza e
testarli in una di queste cose è
davvero difficile da assicurarsi che tu abbia
capito tutte le complessità di
i diversi componenti che stanno arrivando
insieme c’era un interessante
articolo recentemente chiamato amazon amaz
offrire più come avere blocchi che
puoi stringere insieme piuttosto che
strumenti e penso che sia giusto
valutazione non ci sono cose che
su cui puoi usare intuitivamente
il loro è necessario conoscere circa 13
diversi componenti che tutta la stringa
insieme in modi diversi dove loro
la documentazione è scritta in un altro
stile in cui potresti non sapere tutto il
cose che devi configurare in
anticipo quindi per favore non pensare al cloud
sta per salvarti con il
conoscenza che dovrai fare un po ‘
imparare o trovare qualcuno che è già
fatto questo per te e mutabile
l’architettura è come molti di noi sono
giocando con i vagabondi e i Dockers
e tutto questo tipo di cose nel
il mondo sì è fantastico è davvero
davvero fantastico e ti dirò perché
Ho intenzione di dirti perché è bello come
un bianco difensore fa schifo come attaccante
che lo stai facendo per favore continua a farlo
esso
quindi per prima cosa , probabilmente, tutti noi
vivere in qualche forma di conformità
ambiente e questo mi fa schifo davvero
non mi piace molto la conformità
essere uno spreco di energia e ci distrae
e ci dà un certificato così ci sentiamo
come abbiamo fatto roba ma è così che siamo noi
Dite nel mondo degli affari, quindi accetteremo
che pensi che ti piaccia di questo
i volti saranno verificabili
bei strumenti open-source là fuori
può mostrarti dove sono i problemi di sicurezza
sono con le tue configurazioni in particolare
per cose come docker che sono molto
in rapida evoluzione proprio nell’ultima settimana
docker ha rilasciato la recensione di sicurezza per il suo
i contenitori sono conservati nel registro
quindi questo è veramente buono
c’è uno strumento di controllo docker che è stato
circa un po ‘ci sono cose simili
per rispondere a vagabondo ma il più
bit importante, non la sua capacità di controllo
configurazione prakrit che sta ottenendo
sbarazzarsi perché si scopre che non lo sei
l’unico che sta girando il tuo server
in un fiocco di neve speciale potresti essere
farlo ma in realtà è in realtà un
attaccante che farà di più
cambiamenti interessanti e immutabili
le architetture si liberano di questo per te
Voglio darti un po ‘di prospettiva
quanto a cosa succede realmente quando noi
compromesso i tuoi host perché per la maggior parte
di noi questo è solo tu sai nero fuzzy
nuvola di sventura contraria alla credenza popolare
non andiamo lì solo per saccheggiarlo a
un po ‘ rubare i dati e uscirne la maggior parte
il tempo che è in realtà il numero tre o
quattro sulla nostra lista, la prima cosa che facciamo
certo che possiamo tornare e giocare un altro
giorno perché a tutti piace non venire
indietro e prendi le cose che hai dimenticato per ultime
tempo o tornare fuori dal lavoro
ore o potresti voler usare quell’host
per altre cose come mining bitcoin o
impostando per ruotare in un’altra rete
così attaccando qualcuno da qualcuno che hai
già attaccato è super utile e
è possibile installare strumenti lì così è
molto raro che tutti gli strumenti di cui ho bisogno
in un lavoro sono già installati sul
scatola se hai PowerShell posso abbastanza
molto fa molto ma Linux ospita speranzoso
se sono configurati bene non hanno un
molto installato su di loro quindi potrei aver bisogno di
mettere SSH su potrebbe essere necessario mettere e app
su ogni sorta di cose divertenti niente
particolarmente eccitante, non sei tu
conosci pazzi strumenti bacchetta magica ma io voglio
per vederli prossima cosa
Probabilmente sto andando a ripulire ma
chiunque altro sia stato lì prima di me
ora come un attaccante che siamo tipo di
Parassitico, abbiamo bisogno che l’ospite sia sano
continuare così se entriamo in una scatola e
troviamo qualcuno o qualcuno era già
lì allora potremmo effettivamente applicare il patch
vulnerabilità che hanno ottenuto tramite e
buttali fuori perché non mi piace
condividere la condivisione non è così divertente
puliremo noi potremmo patch noi potremmo
cambia configurazione video bloccare qualcuno
altrimenti fuori e poi siamo felici di andare
sui nostri dati vincolanti di business e successivi
l’ultima cosa che proveremo e
pivot quindi cercheremo di provarci
questo host che potrebbe essere interessante
questo qui che potrebbe essere pari
più interessante quindi nel tuo micro
fonti questo significa andare da uno a
un altro a un altro per vedere se riesco a trovare
diversi set di dati a cui accedere
diversi sistemi ora è davvero davvero
difficile da mantenere l’accesso e mantenere tutto
di questi cambiamenti piacevoli e senza effetto
come attaccante se stai usando qualcosa
come lambda o se stai usando immutabile
architetture che vengono distrutte ogni
24 ore perché hai fatto un aggiustamento o
un cambiamento quindi non vederli solo come a
cosa interessante che si potrebbe usare può
risparmiando tempo c’è in realtà un enorme
beneficio di sicurezza per questo c’è
niente di più irritante del provare
attaccare su un’organizzazione che
l’infrastruttura non esiste se non
stai inviando la tua richiesta ad esso è un
bella cosa e per favore ti voglio
far infuriare tutti i tester di penetrazione
che mai si avvicina all’architettura e
renderlo non persistente va bene, questo è un
parola strana per dire che siamo stati
facendo alcune cose stupide con le lingue
quindi una delle bellezze dei servizi di Micra
è che possiamo usare qualsiasi lingua che ci piace
è fantastico
favoloso ma siamo come bambini nelle caramelle
negozi in questo momento significa che le persone lo sono
impazzire andando bene ce l’hanno
nodo qui e poi guardo questo
parla di andare e bene lo sai che abbiamo
ho un po ‘ Java laggiù perché tu
conosci il rock nella vecchia scuola e noi
ha deciso di lottare per afferrarlo e farlo
c’è uno stack di Erlang da qualche parte
qui e prima che tu sappia cose brutte
iniziano ad accadere cose cattive a partire da
capita perché non stiamo sempre usando
gli strumenti giusti per i lavori giusti no
tutti questi strumenti sono maturi come ciascuno
l’altro e non tutti sono stati progettati
per
determinati scopi per cui se vi trovate
usando una lingua solo perché tu
ho visto un bel discorso a riguardo o perché
hai visto una demo davvero stupida chiedere sempre
è quello giusto ce n’era davvero
articolo interessante da riviste per
Etsy e parlando di come assumono
ingegneri e stava parlando
in realtà non vogliono portarne di più
strumenti nella loro architettura del bene
ingegnere può prendere un piccolo sottoinsieme di
strumenti pre-controllati e fare cose incredibili
con esso ora da una prospettiva di sicurezza
questo è ancora più importante perché no
tutte le nostre tecnologie sono uguali quando
si tratta di ciò che ti stanno fornendo
ora quanti di voi sanno che nessuno sa
gli sviluppatori sanno bene questo è davvero
bravo davvero, per favore, fantastico
Mi dispiace gente del nodo, ma lo sono
sto parlando di pad sinistro
le cose che abbiamo imparato negli ultimi
mesi sull’interdipendenza all’interno della nostra
sistemi di gestione dei pacchetti il pad sinistro
è stato tolto lo sviluppatore ha detto no
più quello che è successo ce lo aspettavamo
Andare silenziosamente nella notte lo farà
va bene quello che è successo era la maggior parte dei nodi
fallisce perché il nodo NPM è altamente
collegato pacchetto altamente dipendente
sistema la maggior parte dei pacchetti sono meno
di 20 righe di codice in lunghezza e cosa
abbiamo un fallimento a cascata
situazione in cui è possibile inserire codice in o
prendi il codice e rompe tutto
intorno a questo non è lo stesso per tutti
delle lingue così quando abbiamo così tanto
varietà nel nostro spazio linguistico siamo
aprendoci a rischiare dal
sistemi di gestione dei pacchetti stessi
altre cose interessanti sul tuo nodo
in realtà non è necessario eseguire alcuna convalida
o il vostro assegno codice per averlo in
NPM ti iscrivi crea un account noi
spingere se n’è andato ora se sei qualcuno
come me, quello che vediamo è la capacità di
quindi inserire il codice dannoso e averlo
adottato da molti molti molti altri
dipendenze e entrare in questo altamente
questa è una rete di pacchetti collegati
fondamentalmente nello stesso modo in cui funzionano i worm
quindi potrei inserire del codice dannoso
tre cose diventano dipendenti da esso ogni
di quelli hanno dieci cose sono dipendenti
su quelli e prima che tu lo sappia, lo sono
toccando ogni parte del NPM
infrastruttura o ecosistema che fa paura
quanti di voi hanno un buon Pro
per controllare i pacchetti che stai tirando
da questi posti non vedo
qualsiasi cosa in natura ancora che in realtà
potresti usare questo e controllare se questi
pacchetti sono sicuri o non è sicuro che siamo
vedere i checker CVE e cose, ma lo siamo
non vedere nulla che vada bene
ho davvero bisogno di questo è l’è
questo buon codice è sensato
ingegneria ora per finire questo piccolo
sezione su alcuni orribili leet destra
le analogie la pensano come tutti i cuccioli
lingua e ogni pacchetto che porti
nel tuo sistema è come un cucciolo è
carino tu puoi giocarci e fare tutto
alcune cose interessanti che non hai mai fatto prima
ed è fantastico e sta per fare la cacca
occasionalmente e va bene perché
si tratta di un cucciolo e basta raccoglierla
e hai a che fare con grande che poi ottieni
300 cuccioli e ora improvvisamente quella cacca
il problema sembra un problema molto più grande
di quanto non fosse in precedenza
quindi per favore prima di iniziare a portare dentro
più cuccioli nella tua vita prendi in considerazione
cosa farai con la cacca giusta?
quindi concluderò con il rilevamento
la prevenzione non è gonna get
tutto il modo per favore registra tutte le cose
ne abbiamo già parlato in precedenza
andando a spendere questa sezione martellando
cose di cui ho già parlato perché
è il più importante che richiede
18 mesi per scoprire che sei stato
compromesso e quel momento tutti i tipi di
cose divertenti saranno successe se lo hai fatto
ha solo 14 minuti di visibilità in
sei loggato per brutti momenti
quando si tratta di indagare su cosa è andato
sbagli devi vederti loggare da qualche parte
è immutabile in sé che è sicuro
sembra un buon senso, ma cosa?
vediamo che la maggior parte delle volte è memorizzata su host
va bene ora ti ricordi quella cosa
dove ti ho detto cosa farò quando
Ho compromesso i tuoi ospiti parte del
pulizia ho intenzione di sciacquarmi
dai tuoi registri saranno le tue serrature
più nitido e più pulito di quanto abbia mai fatto
sono stati nella loro vita i tuoi registri e male
i registri gestiti sono in realtà davvero buoni
via alle cose denial-of-service se
siete tutti invio a un mal
l’ end point configurato è davvero buono
il modo di abbatterti è se togli
quel punto finale quindi sì, per favore sii prudente
un altro po ‘di compiti a casa quanti
hai sentito parlare di hacking team ok hacking
squadra era un gruppo prolifico di
ricercatori di vulnerabilità fuori dall’Italia
e c’era un rapporto sul
Internet molto recentemente dal ragazzo che
compromessa
loro e aggiungere tutto il loro bucato sporco
online e li ha compromessi e questo
è una società molto focalizzata sulla sicurezza di
attaccando il loro middleware centralizzato
quindi i loro sistemi di registrazione il loro backup
i sistemi controllano la salute dei loro sistemi
chiunque usi ancora Nagios è qui
stiamo per venire dopo quindi per favore sopportare
in mente quando hai questo molto
frammentato in infrastrutture come questa
questa architettura quindi andremo a
cercare qualcosa di condiviso tra tutti
dei tuoi componenti e non abbiamo paura
per andare a cercare cose come Nagios
questi sistemi hanno davvero davvero
privilegi elevati e quindi guardare
i tuoi registri quanti ne filtrano
avvisi che arrivano nella tua casella di posta in a
cartella e alla fine arrivare a loro aha
quanti se non hai nemmeno il
avvisi perché hai annullato la sottoscrizione di quanti
di voi avete il canale lento del destino
dove stai loggando va e uno
la persona va occasionalmente ma la maggior parte di
il tempo è solo rumore e poi
regali occasionali, stiamo facendo schifo a questo
la tua più grande è la cosa più grande che puoi
fare è non preoccuparsi di quali colpi il
la lingua che vuoi fare dopo è ottenere questo
roba funzionante automatizza il diavolo
il tuo logging e farlo monitorare
investigare le cose e andare a scoprirlo
troverai più scaling e prestazioni
problemi che riguardano i registri di sicurezza e
Saresti allora a conoscenza di questo
punto posso trovare difetti di sicurezza alla ricerca
a query lenta registra nel mio sequel il tuo
i registri sono molto preziosi ma noi no
guardali a meno che qualcuno non ci dica di farlo
guardali o abbiamo rotto qualcosa
così ok è un po ‘un giro di fischietto
lo apprezzo
e quando dico demo di cose che conosci
tutti si aspettano che io vada a Lowell il suo io
hai lanciato un guscio per te che non stai andando
per imparare in questo modo è uno spettacolo magico ma
tutti gli esempi che ti ho dato sono
dai sistemi reali dalle cose nel
selvaggio e scritto da veri ingegneri no
unicorni che scrivono libri e presentatori
cose così per favore vai nel tuo mondo
le cose semplici mantengono le cose semplici e
mantienili revisionati, tienili loggati
perché è tutto molto bene passando da
il grande monolite che ci sta costando
senza perdita di dolori per affrontare l’amabile
fantastici micro servizi che possiamo essere
molto più flessibile, ma ricorda
che quando rompiamo le cose in piccolo
pezzi aumenta la superficie e
la superficie è tutti i punti e
sicurezza che possiamo attaccare se ci sono
più punti per attaccare di più
successo ho intenzione di essere
quindi se hai qualche domanda la gente lo sa
Ovviamente c’è un’applicazione che
dovresti darmi un feedback
segnando non ti ho mai detto in nessun punto
per cercare di darmi il punteggio di viola
così non è mai successo solo per il
record grazie mille per il tuo tempo
Please follow and like us: