così a Londra è passato un po ‘di tempo da quando ho
sono stato qui, lavoravo per il cavo e
wireless e mi piace assolutamente venire
indietro ogni volta che ho una possibilità
E ‘una grande cosa che quindi grazie per
avermi così reale veloce voglio
in realtà tipo di capire il pubblico
se potessi aiutarmi un po ‘
chi qui sembra davvero il tuo maggiore
disciplina che lavori ogni giorno come
sicurezza alzare le mani ok fresco fresco
che ne dici di altre operazioni, va bene?
lo sviluppo devops impressionante ok girarlo
cool cool cool questo aiuta molto bene bene
gestione va bene così se ti piace
questa presentazione si prega di posizionarlo così chi
Sono stato in questo settore per
ben oltre 25 anni ho iniziato come a
ragazzo fondamentalmente nel settore in cui ero
bancario è stato il mio primo lavoro ho avuto un lavoro
permesso negli stati e sostanzialmente mostrato
ed era un analista della sicurezza e cosa io
scoperto molto velocemente erano i computer
ha funzionato in modi misteriosi e così io
iniziato la vita tipo di interessante
ho effettivamente lavorato su molti di
le grandi violazioni là fuori cavo e
il wireless era una società che ne aveva alcuni
cose là fuori dicono centri dati e
conosci le apparecchiature di telco e tutti i tipi
di modi in cui gli hacker possono trarne vantaggio
l’attrezzatura lì e ho anche fatto
cose come lo sviluppo sono uscito
e ho lavorato con le startup che ho lavorato
con grandi organizzazioni e io attualmente
esegui i nostri sviluppatori spec team a farlo e
sono passate circa 12 persone
attraverso alcuni davvero interessanti
esperimenti non sono bravo con il carbonio
le forme di vita basate ammetterò che potrei esserlo
uno ma non sono molto bravo con loro
così la gente in realtà mi ha dato la gente
Gestire e ha detto di andare avanti provarlo
hai questa cosa DevOps che spendiamo
un anno cercando di capire cosa siamo
andando a fare con esso e come funziona e
oh, a proposito, allo stesso tempo sei
facendo ciò puoi andare al cloud con
dati sensibili e quindi davvero questo è quello che
Lo faccio adesso, in realtà lo capisco
come far funzionare DevOps per i sensibili
dati nel cloud tutte le clausole di esclusione di responsabilità
potresti scoprire cose durante questo discorso
che sono molto difficili da capire
che stanno per essere difficile da sentire il
la verità a volte è difficile da sopportare
ma cosa succede quando si arriva a questo
sei un manager che vuoi davvero sentire
circa la verità più spesso che non se
tu sei uno sviluppatore che probabilmente sei
mi piace davvero quello che ho da dire
perché è orientato verso di te quindi sono
davvero entusiasta di avere questa opportunità
per parlare con te, quindi perché lo è
robusto e importante, quindi sai quando
pensa di lavorare su dev psych ops one
delle cose che ho imparato da molto tempo
fa ed era circa 15 anni fa era
che ero sempre la persona che era presente
chiamata in realtà sono cresciuta là
non c’erano molte donne nel settore
e quando è arrivato fino ad esso ero il
persona che ha ricevuto la chiamata 3am perché
è stato divertente per far uscire la ragazza
letto alle 3 del mattino per andare a prendersi cura del grande
violazione perché non avrebbe saputo
chi chiamarlo sarebbe stato davvero
difficile e solo divertente da guardare, così ero
divertente da guardare e così quando è arrivato
In realtà ho iniziato a imparare un po ‘
le cose molto velocemente c’era un enorme
era necessario un caso per cambiare cascata
accadendo ho passato la notte dopo
notte di incidenti e interruzioni e
cercando di capire qual è la differenza
stava attraversando la linea di codice della gente
per linea, scoprendo che le persone no
fai cose molto belle nel loro codice e
davvero non dovrebbe essere permesso a
in realtà spingere i pulsanti più così
ovviamente mi sono un po ‘scontroso
e così ho iniziato a fare cose del genere
test di sicurezza lì
e prima che i tre mi chiamino lo faranno
ricevere una chiamata di mezzanotte per dire oh a proposito
il tuo codice è stato eliminato potresti per favore
svegliati e aggiustalo così c’è stato un amore
rapporto di odio che ha iniziato a fermentare
e molto velocemente ho detto bene che sono davvero
stanco di svegliarmi per aggiustare i pantaloni
potresti aggiustare il tuo codice in modo che non lo facciamo
avere quelli e ciò che Dio ha inventato giusto
allora e c’era davvero questa nozione di
sviluppatori robusti che volevano venire
lavoro con me più spesso che no perché
Lavorerei davvero per testare il loro codice
per trovare cose che erano di sicurezza
correlati e quindi sono diventato molto prezioso
in fretta ho pensato che fosse una specie di figo
perché ho smesso di prendere il telefono 3am
chiamate ho iniziato a ottenere di più
partecipazione e poi come sono passato
organizzazione per organizzazione I sorta di
ha avuto lo stesso mantra più e più volte e così
era una specie di invito che conosci
a essere robusto nel tempo che ho
codice sviluppato praticamente in maledizione vicino
ogni lingua perché alle 3:00 ti fermi
preoccuparsi se si tratta di Java C ++ o
qualunque cosa tu abbia avuto per aggiustarlo devi farlo
riavere i clienti online non è così
importa che la tua sicurezza perché
a chi importa se si tratta di un’interruzione del codice è a
interruzione del codice e quindi tutte quelle righe tutto
quelle tutte quelle cose che erano
barriere per provare e rendere il cliente
l’esperienza migliore in realtà è andata via così
puoi immaginarlo davvero per me
è diventato un modo di vivere, quindi i miei coetanei
ho iniziato a inventarli davvero a lungo
documenti più di 300 pagine sono sicuro di tutto
hai visto questi probabilmente hai
ti è stata consegnata un’enorme pila di carta
conosci oltre 300 pagine per favore fai il tuo
applicazione sicura torna in
informatori e firmerò chiunque
sentito prima di sì sì sì dal
Ho bisogno di aver scritto tonnellate di
applicazioni me stesso ho ottenuto il mio
la squadra deve scriverli e mi sono stancato di
consegnare il documento di 300 pagine a
prova a rendere sicuro il mio codice in modo che sia così
potrebbe funzionare correttamente
e quindi quello che ho effettivamente fatto è che ho iniziato
fare cose come lo scripting delle 300 pagine
documento e in realtà risultante
rispondi invece di avere una recensione da qualcuno
in effetti è stato approvato così anch’io
invalidato il bisogno per la persona che
stava per firmare l’approvazione che era
tipo di mia opinione su di esso l’altra cosa
quello non era d’ aiuto era dover andare
attraverso il processo che assomiglia a questo
dove ti presenti con il tuo codice
voglio portarlo alla tua produzione
i clienti infelici vogliono davvero il loro
caratteristica e il mare ha così tutto questo
lista di cose che devi fare
capita prima che avvenga l’approvazione
e puoi immaginare che questo sia davvero
frustrante perché so che è davvero
frustrante è persino frustrante per me
ora in esecuzione in un mondo molto DevOps
vedere cose come questo accadono che porta
me a questo dal modo in cui effettivamente ho
questo segno nel mio ufficio e io costantemente
utilizzare ogni giorno e aiuta davvero a
portare il mio messaggio attraverso di te sa che odio
fare in modo che gli sviluppatori vivano miseramente
fatto una delle cose che ho chiesto
la mia squadra deve fare in modo che
ogni sviluppatore che cammina attraverso il
la porta vuole davvero stare in disparte
fare squadra rossa in modo che possano imparare
come rendere il loro codice più resistente
più robusto e più facile da mantenere
col tempo quindi la mia domanda a tutti dentro
la stanza è perché non chiedi il tuo
team di sicurezza per operare in questo modo
Infatti, perché non vorresti che fosse così?
una parte così critica della cultura
cambia per DevOps che tu in effetti ottieni
l’opportunità di fare questo cambiamento
capita che tu possa chiedere di meglio
sicurezza modi migliori di operare e
davvero inizia con gli sviluppatori
richiedendo un modello migliore alla nostra squadra
creato questo modello per puro caso
necessità abbiamo iniziato come DevOps
delle cose che ho sentito da molto tempo
quell’incorporazione è la strada da percorrere e così via
In realtà ho fatto quell’esperimento
personalmente e ho detto tutto bene, facciamo
prova questa cosa incorporata oh sono un gioco che sono
disposti a farlo abbiamo 3000 sviluppatori
e 12 persone di sicurezza ish e quindi se tu
avere 3000 sviluppatori in DevOps verso le 5
a 600 squadre 12 persone cinque 600 squadre
si tratta di un sacco di lavoro per tutti ogni
giorno significa che stiamo causando cose
andare piano significa che non lo siamo
fornire il miglior valore sembra
approvazioni ed eccezioni e
consultazioni e uno dei nostri preferiti
cose da fare riunioni ho effettivamente iniziato
per metterlo davvero in discussione e valutarlo
creato per i nostri team una delle cose
che è venuto fuori nel tentativo di mettere questo
la carta era come prendiamo 12 persone che
fanno cose diverse e le fanno
utile inserendoli in un file
dev ops team così invece del 500 a
In pratica, sono 600 i progetti a cui siamo andati
Dalle 12 alle 24 ci siamo resi conto molto velocemente di noi
in realtà ha dovuto coprire 36 per fare qualsiasi cosa
di valore aziendale, quindi significava questo
tre progetti per persona dovevano essere
gestito in qualsiasi momento e ciò che noi
scoperto attraverso questo modello è quello
il cambio di contesto è stato davvero difficile
per una persona di sicurezza avevano bisogno di
scrivere codice di scrittura e loro non lo sapevano
come sapevano queste cose che erano
documenti cartacei e sapevano come
in realtà lo trascrivo per qualcuno ma
questo ha causato molta lentezza perché
quando arrivi con una specifica di 300 pagine
ovviamente sarà davvero
DevOps friendly right no e quindi abbiamo ottenuto
al punto in cui realizziamo bene che siamo
persone della sicurezza abbiamo bisogno di fare cose
diverso e dobbiamo fornire valore
e così abbiamo scoperto molto rapidamente
abbiamo anche avuto una mente alveare nelle 12 persone
quello è seduto al tavolo e in realtà
produrre valore era il più importante
cosa potremmo fare per la nostra compagnia e
creare strumenti self-service e in realtà
pensare all’automazione e arrivare a
il punto in cui potremmo fare la conformità
operazioni in modo da ottenere feed in tempo reale
nei team di sviluppo come conformità
ufficiale delle forze armate era così grande
cambio per la nostra squadra ma abbiamo scoperto
incorporato non ha funzionato ci siamo tirati indietro e
detto tutto bene quindi come facciamo a
funzione centrale che ha sempre odiato
DevOps tutti vogliono incorporati ma io
ti dirò che c’è un modo di operare
in modo da poter avere una modalità molto ibrida
il tuo team di sicurezza può fare cose come
codice produce strumenti self-service e ap
è e quindi c’è un modo per farlo davvero
così l’ affermazione del problema era molto
molto chiaro abbiamo dovuto eseguire lo stile DevOps
la sicurezza è facile, proprio come avevamo fatto noi
scalare quello era un enorme pezzo di
la maggior parte del team di sicurezza non lo fa
effettivamente trattare con il carbonio
le forme di vita molto bene come me, ecco perché
sono gestiti da qualcuno che non lo fa
fallo bene perché è il modo migliore
per ottenere il massimo rendimento dagli
la gente deve dargli tutti lo stesso tipo
della cultura giusta e così quando penso
di come abbiamo ottenuto qui i cinque
le cose erano che erano così importanti che
hanno iniziato ad allinearsi e si sono messi in fila
siamo tornati ad essere robusti abbiamo iniziato
realizzando wow aspettiamo che siamo venuti dall’essere
aspro stiamo iniziando ad andare verso
essere robusti perché non solo essere robusti e
oh dal modo che non significava solo il
la squadra di sicurezza diventa robusta significava noi
aspettavamo che la gente venisse da noi
Erano già pre rugged erano
già divento team di sviluppatori che potrebbero
in realtà hanno una discussione sulla sicurezza che
potrebbe rapidamente superare i problemi
e capire le cose in tempo quasi reale
e le discussioni si rivolgono a qualcosa
come questo codice di Vera ha recentemente dato questo
discussione alla RSA ed è stato davvero
ben accolto in realtà riguarda il
il cloud riguarda la definizione del software
ambienti La cosa fantastica di
ambienti definiti dal software è quello
la sicurezza ora viene infornata come codice che
significa che rimette il potere nel
comunità di sviluppo per iniziare a fare
queste scelte in tempo reale con il codice
i nostri vestiti che devono cambiare e
fondamentalmente è oh wow ho appena colpito il
Spiacenti, sto andando avanti o indietro
grazie devo aver felice così Verica
ha dato questa discussione durante la RSA
conferenza e cosa è stato davvero sorprendente
a riguardo è stata questa discussione su come
per fare questo lavoro e non farne parte
il carico di lavoro per lo sviluppatore ma a
in realtà inizia a produrre informazioni
quello potrebbe fare in modo che gli sviluppatori possano farlo
fare delle scelte e una delle ragioni per cui
mi è davvero piaciuto che fosse aight aight rouille
credo che gli sviluppatori debbano assumersi
parte del contesto di sicurezza deve
fare scelte devono effettivamente imparare e
sperimentare con sicurezza in modo che le cose
può diventare anti fragile in modo da poter ottenere
al punto in cui i tuoi carichi di lavoro
in realtà operano senza aggressori
iniziando a trarne vantaggio e
quindi ciò che è stato davvero fantastico in questo
la discussione era che ci sono ora
persone di sicurezza che stanno iniziando a
capire come scrivere il codice in
nuvole ambienti definiti dal software
sposta rapidamente DevOps e inizia da
capire cosa significa avere un
conversazione con qualcuno che sta facendo
queste cose, ma soprattutto cosa
uscito da questa discussione era pari
più incredibile ed era qualcosa
in cui stiamo effettivamente partecipando
che abbiamo smesso di essere teorici
conversazioni che non stiamo cercando di mettere
tutti attraverso la modellazione delle minacce che siamo
iniziando a chiedervi di pensare
cose come l’aggiunta di un ribasso degli attacchi
file al tuo codice base come parte del tuo
documentazione in modo che diventi parte di
il tuo carico di lavoro vivente e anche noi
aggiungendo cose come il teaming rosso così noi
avere qualcosa che chiamiamo lunedì squadra rossa
e invece di costringere qualcuno a farlo
capire tutta questa magia e
informazioni noi Red Team i carichi di lavoro
che sono nel nostro ambiente ogni lunedì
e questo significa che li testiamo noi
hackerarli come se fossimo degli attaccanti esterni
noi facciamo ogni
di test scatola bianca test scatola nera
tutto ciò che possiamo ottenere ingegnere sociale
e quindi ciò che è veramente buono a questo proposito
ora hai effettivamente l’avversario
è interno alla tua organizzazione
ti sta aiutando a ottenere i tuoi carichi di lavoro
pronto in modo che possano essere nel
mondo esterno in alcuni casi già
sono nel mondo esterno e così provano
per mettere il tuo carico di lavoro attraverso un test
ambiente in un modo che potrebbe raggiungere
la scala non avviene necessariamente così
non sarebbe molto meglio se qualcuno
potrebbe iniziare a fare ricognizione come un aggressore
ed essere in grado di pubblicare la tua pubblicazione
informazioni sui tuoi carichi di lavoro in modo che
puoi apportare le modifiche in tempo reale
è di questo che è così grande
la domanda nella nostra mente era come noi
restituire valore all’organizzazione come
le persone della sicurezza bene abbiamo capito noi
non abbiamo davvero bisogno di fare DevOps
basta dire ok team DevOps di cui hai bisogno
fare sicurezza, dobbiamo capirlo
noi stessi e così invece di provare a
predicare e raccontare tutte queste storie
iniziato a capire che stavamo fallendo
comunicare senza capire il
problema non solo adottandolo
noi stessi così ora le 12 persone che lavorano
per me in realtà scrivere codice tutto il giorno
controllano più volte al giorno
hanno tutte le loro cose integrate
nel cloud, gestiamo esclusivamente tutti i nostri
carichi di lavoro di sicurezza in AWS e cosa c’è
grandioso è che vediamo tutti
un po ‘di un ambiente definito dal software
noi stessi siamo sicuri della sicurezza del codice
capire le fragilità diventare esperti
in esso e fornire tali informazioni indietro
a chiunque ascolti all’interno del nostro
organizzazione e l’altra cosa che io
volevo far apparire anche questa diapositiva
anche noi siamo arrivati al punto in cui
ci rendiamo conto che la nostra comunicazione era a
fattore critico nel cercare di aiutare le persone
essere più aspro di come pensavano
su cose che abbiamo iniziato a fare questo
concetto di classificazione in modo da ognuno è andato a
scuola siamo tutti
voti per come l’abbiamo fatto a scuola noi
prendi i nostri test otteniamo un A attraverso una F
è un linguaggio piuttosto universale e
invece di prenderti, conosci il cinque e cinque
vulnerabilità o un p0 o quant’altro che abbiamo
in realtà ha iniziato a comunicare con solo
voti lettera il tuo carico di lavoro sta fallendo
il tuo carico di lavoro sta diventando un A è molto
facile da capire e quando lo fai dentro
in tempo reale diventa davvero potente
perché qualcuno può semplicemente rintracciare il proprio
i gradi possono vedere come è il loro GPA
facendo nel tempo ed è solo un
modo diverso di pensare alle cose
ma ci siamo resi conto che se potessimo
traducilo in qualcosa di semplice
come persone di sicurezza potremmo davvero
aiutare tutti coloro che stanno cercando di diventare
meglio a scrivere codice e lo sai
restituire valore al cliente senza
cercando di fornire più spese generali e
convincerli a capire la sicurezza a
il livello di dettaglio che già facciamo
quindi questa è una specie di area di gioco del mio
slide deck Ti direi che uno di
le cose che sarebbero davvero utili
è quello di far tornare tutti gli sviluppatori
la loro organizzazione per la sicurezza e dì perché
non fare dev di Chekhov perché non farlo ruvido
perché non fare qualcosa che sta per
iniziare a cambiare il modo di operare perché
è un pezzo così cruciale del puzzle
il sesso dell’app davvero dovrebbe essere parte del
processo di sviluppo che dovresti avere
strumenti a tua disposizione come un guanto di sfida
come tutti gli scanner che una sicurezza
la persona corre contro il tuo carico di lavoro perché
non stai ottenendo l’informazione
apportare modifiche e quindi se ci pensi
a volte lo sviluppo ti segnala
sai, vieni fuori e in effetti ottieni il
informazioni necessarie per apportare una modifica
come il QA riporta giusto ma sicurezza
i rapporti sono spesso tenuti stretti al giubbotto
Dio ti proibisce di sapere dove tutto
le vulnerabilità sono nel complesso
affari intendo dopotutto perché dovremmo
affidare tali informazioni a chiunque e
è una specie del processo mentale di a
persona di sicurezza ma veramente che ha bisogno di
cambiare ha bisogno di arrivare al punto
dove devi richiederlo
informazioni per rendere più sicuro il tuo carico di lavoro
e così
in realtà è su tutti per iniziare
capire come possiamo fare sicurezza
la responsabilità di tutti nel
organizzazione e come giochi il
parte di una persona di sicurezza nel
organizzazione le altre cose che hanno
ottenuto aggiunto come risultato di provare a
fare parte della sicurezza di DevOps è stato
come facciamo a trasformare la sicurezza e
codice quindi non tutte le piattaforme hanno tutte
il codice che ha bisogno di diventare di più
sicuro quindi cose come componenti sicuri
componenti di validazione qualcosa che
deve essere importato nel tuo carico di lavoro
e io uso il carico di lavoro è una specie di pieno
impilare l’implementazione e include il tuo
infrastruttura come codice include il tuo
sicurezza come codice include il tuo
applicazione e tutto ciò che in realtà
supporta un’implementazione dello stack completo e
quindi tutte queste cose che sono
aggiunti sono in realtà parte di quel processo
l’ingegneria della cura è davvero solo conosciuta
nel modo in cui lo stiamo inquadrando perché
in realtà stiamo chiedendo la nostra sicurezza
ingegneri per iniziare a scrivere codice loro
devo mettere fuori cose come il cloud
modelli di formazione o gruppo di sicurezza
modelli e formazione di nuvole e questo è
stato un grande cambiamento di conformità alle operazioni
è una specie di nuovo invece di
ottenendo un documento di 300 pagine in realtà
ora ottieni informazioni da includere nel tuo
carichi di lavoro potresti ricevere dei test da mettere in
i tuoi agenti di test che potresti effettivamente ottenere
come parte dei biglietti delle operazioni di conformità
odio dirlo ma è una specie di
evoluzione è devi andare dalla carta a
biglietti prima di poter effettivamente arrivare
codice completo e poi se penso al
altra cosa che è stata in realtà
relativamente nuovo alla scienza della sicurezza quando
si inizia a spostare il carico di lavoro in a
ambiente definito dal software per supportare
La strumentazione DevOps è assolutamente
critico devi avere la capacità di
avere più visibilità nel tuo carico di lavoro
che tu sai quando qualcosa sta fallendo
il che significa non sarebbe bello se il
squadra rossa hack vuoi lunedì e
entro lunedì sera hai già risolto
cosa hanno trovato in modo che non possa ottenere
segnalato al consiglio di amministrazione o chiunque sia
a livello esecutivo della tua azienda
tu veramente
voglio una sorta di quella sensazione verso come
in realtà stai implementando il tuo codice
e soprattutto con DevOps, quindi se penso
sul viaggio qui una delle cose
quello a cui stavo pensando è
come programmiamo questo processo
giusto DevOps e sicurezza davvero no
è stato purè insieme molto bene ancora lì
non ci sono molte informazioni là fuori
questo è stato ancora una volta pura necessità
lo stiamo sperimentando di fatto
negli ultimi due anni sono stato
uscire per parlare alle persone per imparare
di più perché ogni volta che faccio questo discorso
Imparo di più da tutti nel
pubblico ho imparato dalle tue domande
e poi usciamo e proviamo quelli
cose che siamo stati costantemente
creando l’ambiente di apprendimento che
anche uno sviluppatore ha in fase di sviluppo quindi a
persona di sicurezza che siamo addestrati siamo
allenabile odio dirlo, ma davvero
ci vuole un po ‘per passare
per noi siamo un po ‘difficili da
capire e capire ma alla fine
Penso quando i tuoi cuori sono nel giusto
posto come professionista della sicurezza e
stai cercando di capire come
supportare DevOps può essere fatto è solo
nessun altro lo ha effettivamente scritto
non c’è niente là fuori onestamente il
il più vicino che abbiamo ottenuto è stato
robusto e cercando di capire davvero
come portiamo più di queste informazioni a
la comunità è stata così premurosa
quando pensiamo alla sicurezza delle applicazioni
quello che vorrei dirti è che ho il nostro team
effettivamente giriamo i nostri scanner in giro così tu
andare e lanciare un’API per eseguire a
scanner contro il tuo lavoro carica il tuo codice
come parte della tua continua integrazione
e processo di distribuzione continua e
è fantastico perché significa che il
l’informazione non viene solo da noi
un team di sicurezza che sta per succedere
tu come un team di sviluppo o il tuo
operazioni parte della tua squadra e tu sei
capace di assimilarlo veramente
le informazioni prendono decisioni a riguardo e
rendere il tuo carico di lavoro meno vulnerabile o
abbiamo effettivamente il processo di pulizia
che è
è ogni lunedì che effettivamente impostiamo il nostro
viste su quella stessa informazione così noi
condividilo con te fondamentalmente e noi lo usiamo
per capire cosa potrebbe un aggressore
fare con questa informazione se ce l’hanno
così come un esempio quando si esegue una scansione
la tua applicazione web ed è vulnerabile
a un attacco di puntoni perché non avere un
controparte dell’organizzazione come a
team di sicurezza che può effettivamente sfruttare
che mette a nudo vulnerabilità prima di un
l’attaccante aiuta a prendere il
teoria fuori dalla conversazione e così
cambia davvero il modo in cui tutti riescono
comunicare e ti dà il
ambiente con un professionista della sicurezza
che ti permette di fare le scelte
sono necessari per aiutare i tuoi affari
pensa una delle cose che in realtà
è venuto anche per noi è stato un fallimento totale
convincere le persone a entrare e ottenere un
approvazione per la comprensione del rischio in a
il livello di contesto è sempre stato un triste
fallimento per la sicurezza delle persone in effetti io
direbbe che tutta la mia carriera è stata
su come hai una sicurezza
conversazione e come si cambia il
paesaggio per esso come si ottiene il
giusta informazione alle persone giuste a
il momento giusto per fare delle scelte che sono
andando ad aiutare e fare la differenza
senza influire su tutto ciò
affari allo stesso tempo così teaming rosso
è stato saputo che direi che è in realtà
questo non è per i deboli di cuore
davvero molto diverso quindi se puoi
immagina ogni lunedì che la mia squadra si siede in a
stile hacker room con un sacco di
metasploit e tu conosci tutta la musica
cosa e sembra davvero un mucchio
di hacker e anche ottenuto come sai
le loro felpe con cappuccio e tutto il resto
hanno interpretato la parte che effettivamente abbiamo
anche adesso abbiamo i segnali di chiamata, quindi lo facciamo
buon divertimento voglio dire che abbiamo un
Hacker di Hollywood e ha ottenuto il nome
Hollywood perché ne ha quattro
riquadri e prende più scatole
allo stesso tempo è anche bello
perché hanno un po ‘di divertimento
con esso in realtà usano captivate e
fare video dimostrativi quindi non solo fare
ottenere informazioni su come qualcosa ha ottenuto
rotto in, ma si potrebbe effettivamente guardare
il video e scopri come è successo
abbiamo un po ‘di divertimento con
questo e penso che uno dei migliori
cose su di esso che amo il
la maggior parte è la volontà di sperimentare
e cambiare e imparare è davvero costruito
nella nostra cultura direi anche uno di
l’altra cosa veramente interessante è
il punteggio è diventato parte del tessuto di
come operiamo come una squadra abbiamo aa
capacità di punteggio è tutto costruito su a
attraverso f è fondamentalmente si conosce il
test di configurazione che si tenta di capire
invece come qualcosa è vulnerabile
di cercare di metterlo in relazione con un po ‘di sicurezza
matrice la colleghiamo a qualcosa di molto
semplice e dire hey così ha fatto il tirocinante
irrompere o era Holly con l’hacker se
è stato lo stagista che probabilmente è un p0
e se fosse un hacker di Hollywood è così
probabilmente un p4 e quindi ne facciamo un po ‘
di quello e quindi in realtà lo sappiamo bene
bene questa è una F e questo è come un mare
e le persone sanno come fare delle scelte
basandosi solo su quelle informazioni
di dover farti chiamare al telefono
riunioni che sei in grado di operare realmente
e fare scelte in modo tale da essere conformi
operazioni Credo che sia stato uno dei
la maggior parte dei pezzi rivoluzionari di questo puzzle
davvero portando via i documenti e
cercando semplicemente di mettersi in guardia
informazioni sui principi guida delle rotaie
puoi entrare gestiamo tutti i nostri
la sicurezza ora fuori da github è tutto
un file di markdown puoi fare un tiro
richiesta contro di essa puoi effettivamente
cambia come stanno funzionando le cose e
ciò che è veramente fantastico in questo
è ora il team di sicurezza sa come fare
prendi e loro capiscono dove
le informazioni vanno e loro realmente adesso
stanno controllando le cose e cercando di
capire come appare se io
devi ridimensionarlo così invece di solo
dandoti i documenti cartacei da cui escono
documenti cartacei e da e da
lì come faccio a trasformarlo
script e cambiare come stanno le cose
accadendo e penso che sia davvero
è stato un grande cambiamento per il nostro team
la conformità ora avviene dopo la pubblicazione
il tuo codice in realtà ottieni informazioni
subito ottieni i biglietti che ottieni
inondazione di biglietti e tutto ad un tratto oh
attendere il mio carico di lavoro non funziona
non è conforme e quindi
probabilmente potrebbero avere problemi e sto andando
per scoprire lunedì sulla squadra rossa, quindi lo farei
piuttosto aggiusta alcuni di questi problemi
Ho la capacità di farlo come a
sviluppatore squadra Blu in modo da non poter avere un
Ho imparato la squadra rossa senza una squadra blu
questo molto rapidamente ed è stato un ultimo
il fallimento per me stesso era quello di creare
la squadra rossa che ho realizzato molto rapidamente
che la squadra rossa esce e lo fa
roba come un attaccante ma una squadra blu
è davvero molto importante e
il motivo è che sono le persone
che in realtà scrivono le regole
scopri i modelli che la squadra rossa
in realtà crea in modo che la prossima volta
vediamo che possiamo effettivamente rispondere ad esso
più veloce e così quando ho impostato per la prima volta il
squadra rossa non ho davvero creato un blu
squadra per cominciare perché ho realizzato no
Preferirei provare a capire se questo
cosa rossa cosa squadra rossa sta andando a
lavoro quante persone ho intenzione di pisciare
prima nella nostra organizzazione e poi
capire se la squadra blu è
utile e da ciò che ho scoperto
parlare con la gente della squadra è
in realtà dovevamo fare entrambi e così noi
arruolato il nostro team per farlo e poi
rendersi conto che non avevamo abbastanza persone per
fare squadra blu quindi ci siamo arruolati di più e
in realtà a un certo punto ci siamo riusciti
il punto in cui realizziamo che tutti erano
un membro della squadra blu l’organizzazione ora
ha la capacità di venire e scrivere
cerca e scrive regole e controlla quelle
nel repository di codice per il
piattaforma di monitoraggio e così ora il tuo
l’intero codice base viene pubblicato in
ottenere e diventa fondamentalmente un modo di vivere
parte dell’ambiente così i dati lo sono
critico questo è qualcosa che la mia squadra
costruito
e gestiamo tutte le nostre cose in AWS come
Ho già detto che abbiamo s3 abbiamo a
varietà di carichi di lavoro di grandi quantità di dati siamo
eseguendo EMR adesso abbiamo effettivamente ucciso
la nostra implementazione splunk perché ha ottenuto
troppo grande abbiamo 1400 account che abbiamo usato
conti come contenitori in AWS che spendiamo a
molto tempo a strumentare i conti
quindi prendiamo tanti dati quanti ne abbiamo
possibilmente possibile dall’istanza dal
applicazione da AWS se potessimo forzare a
il loro BS per darci più dati lo faremo
e così abbiamo appena preso una tonnellata di
informazioni e poi quando abbiamo letto squadra
abbiamo istantaneamente informazioni da scrivere
regole contro così sfruttiamo ogni bit
dello stesso ambiente che stiamo cercando
proteggere per cercare di capire di più
e così questo effettivamente crea abilità
per la tua squadra di sicurezza se la tua sicurezza
il team non sta effettivamente sviluppando il codice
non sono in esecuzione in AWS, ma non lo sono
in esecuzione in qualche altro ambiente cloud
non stanno eseguendo VMS o finestra mobile
contenitori che non hanno il contesto
e questo è qualcosa che abbiamo imparato e noi
imparato nel modo difficile in cui abbiamo imparato come
persone della sicurezza che entrano in una stanza
teorizzando e sentendoci dire no e noi
erano una squadra terribile con cui lavorare e
sbattendo la testa contro il muro andando
come faccio a risolvere questo e poi
realizzando hmm okay, perché non proviamo
e vai codice e codifica per sicurezza
la gente è davvero brutta non farlo non farlo
fallo subito , anzi, lo direi
voi alcuni degli sviluppatori in questa stanza
probabilmente hanno una migliore opportunità di
impara come essere ingegneri full stack
più veloce delle persone di sicurezza che abbiamo eseguito
l’esperimento ha scoperto che uno sviluppatore
ha la capacità di essere cinque volte veloce o
diventando un ingegnere di stack completo di a
persona di sicurezza reale che è davvero
cool significa che la persona di sicurezza deve
impara come programmare e questo richiede molto
più a lungo che insegnare a uno sviluppatore come
capire come far accadere la sicurezza
e cambia il modo in cui la sicurezza viene risolta
e l’altra cosa in realtà abbiamo imparato
da questa piattaforma era anche carina
unico che abbiamo imparato che i nostri carichi di lavoro sono
effettivamente vulnerabili ogni dieci giorni
ha dato questa informazione alla nostra comunità
abbiamo appreso che la migliore password era 11
personaggi tranne che per Red Team lunedì
quando alla squadra rossa non importava
rompendo la password l’hanno appena rubata
quindi quello era un pozzo che facevamo tutti
questa infante informazione interessante e
calcolato esattamente ciò di cui avevamo bisogno e
la squadra rossa entrò e trovò un buco
quello lo ha causato in modo che potessimo realmente
solo ottenere la password comunque e così via
che sai che impari da quelli
cose che impari dai fallimenti e
impari dai successi allo stesso modo
quindi sai che penso quello che amo
il nostro viaggio è stato semplicemente
capire che cosa è che stiamo cercando di
raggiungere e sperimentare così tu
sentito parlare di ipotesi guidata
sviluppo precedente da Adrian e quello
mi ha appena parlato perché lo facciamo davvero
qualcosa chiamato incidente guidato
sviluppo che è esattamente lo stesso
l’ipotesi della cosa deve essere creata e
l’esperimento deve essere eseguito e a
la persona di sicurezza deve essere addestrata a
fai quelle cose quindi ecco alcune emergenti
statistiche e cose da sapere su dev
psicopatici e robusti e davvero in arrivo
insieme a questi concetti quando io
iniziato a fare questo c’erano solo io
penso di essere stato il primo a dire il vero
metti gli sviluppatori ps dev sul mio profilo LinkedIn
perché ero abbastanza pazzo da farlo
e finora ci sono 36 persone e noi siamo
cercando di accumulare più slancio nel
l’industria in realtà stiamo uscendo e
parlare attivamente con la gente di questo
anche quello che è bello è che ne abbiamo visti altri
le cose emergono così bloccate da DevOps
hai sottrazione che stiamo iniziando a vedere
DevOps sec ha una certa trazione che non sono
certo che mi interessa come lo chiami
questo punto quello che vorrei dirti è questo
la sicurezza deve diventare parte
di quello che fai ogni giorno in modo che possiamo
anticipare gli attaccanti e nella mia missione
nella vita è rendere così impossibile
attaccanti a fare qualsiasi cosa con il
carichi di lavoro che sono là fuori che
diventa un non-business e io penso che
questo è ciò che cambierà
come andiamo avanti con più tecnologia
in modo che i nostri bambini possano effettivamente prendere
vantaggio in futuro, quindi grazie
voi tutti così tanto io davvero
apprezzare il tuo tempo
tu
sono stato qui, lavoravo per il cavo e
wireless e mi piace assolutamente venire
indietro ogni volta che ho una possibilità
E ‘una grande cosa che quindi grazie per
avermi così reale veloce voglio
in realtà tipo di capire il pubblico
se potessi aiutarmi un po ‘
chi qui sembra davvero il tuo maggiore
disciplina che lavori ogni giorno come
sicurezza alzare le mani ok fresco fresco
che ne dici di altre operazioni, va bene?
lo sviluppo devops impressionante ok girarlo
cool cool cool questo aiuta molto bene bene
gestione va bene così se ti piace
questa presentazione si prega di posizionarlo così chi
Sono stato in questo settore per
ben oltre 25 anni ho iniziato come a
ragazzo fondamentalmente nel settore in cui ero
bancario è stato il mio primo lavoro ho avuto un lavoro
permesso negli stati e sostanzialmente mostrato
ed era un analista della sicurezza e cosa io
scoperto molto velocemente erano i computer
ha funzionato in modi misteriosi e così io
iniziato la vita tipo di interessante
ho effettivamente lavorato su molti di
le grandi violazioni là fuori cavo e
il wireless era una società che ne aveva alcuni
cose là fuori dicono centri dati e
conosci le apparecchiature di telco e tutti i tipi
di modi in cui gli hacker possono trarne vantaggio
l’attrezzatura lì e ho anche fatto
cose come lo sviluppo sono uscito
e ho lavorato con le startup che ho lavorato
con grandi organizzazioni e io attualmente
esegui i nostri sviluppatori spec team a farlo e
sono passate circa 12 persone
attraverso alcuni davvero interessanti
esperimenti non sono bravo con il carbonio
le forme di vita basate ammetterò che potrei esserlo
uno ma non sono molto bravo con loro
così la gente in realtà mi ha dato la gente
Gestire e ha detto di andare avanti provarlo
hai questa cosa DevOps che spendiamo
un anno cercando di capire cosa siamo
andando a fare con esso e come funziona e
oh, a proposito, allo stesso tempo sei
facendo ciò puoi andare al cloud con
dati sensibili e quindi davvero questo è quello che
Lo faccio adesso, in realtà lo capisco
come far funzionare DevOps per i sensibili
dati nel cloud tutte le clausole di esclusione di responsabilità
potresti scoprire cose durante questo discorso
che sono molto difficili da capire
che stanno per essere difficile da sentire il
la verità a volte è difficile da sopportare
ma cosa succede quando si arriva a questo
sei un manager che vuoi davvero sentire
circa la verità più spesso che non se
tu sei uno sviluppatore che probabilmente sei
mi piace davvero quello che ho da dire
perché è orientato verso di te quindi sono
davvero entusiasta di avere questa opportunità
per parlare con te, quindi perché lo è
robusto e importante, quindi sai quando
pensa di lavorare su dev psych ops one
delle cose che ho imparato da molto tempo
fa ed era circa 15 anni fa era
che ero sempre la persona che era presente
chiamata in realtà sono cresciuta là
non c’erano molte donne nel settore
e quando è arrivato fino ad esso ero il
persona che ha ricevuto la chiamata 3am perché
è stato divertente per far uscire la ragazza
letto alle 3 del mattino per andare a prendersi cura del grande
violazione perché non avrebbe saputo
chi chiamarlo sarebbe stato davvero
difficile e solo divertente da guardare, così ero
divertente da guardare e così quando è arrivato
In realtà ho iniziato a imparare un po ‘
le cose molto velocemente c’era un enorme
era necessario un caso per cambiare cascata
accadendo ho passato la notte dopo
notte di incidenti e interruzioni e
cercando di capire qual è la differenza
stava attraversando la linea di codice della gente
per linea, scoprendo che le persone no
fai cose molto belle nel loro codice e
davvero non dovrebbe essere permesso a
in realtà spingere i pulsanti più così
ovviamente mi sono un po ‘scontroso
e così ho iniziato a fare cose del genere
test di sicurezza lì
e prima che i tre mi chiamino lo faranno
ricevere una chiamata di mezzanotte per dire oh a proposito
il tuo codice è stato eliminato potresti per favore
svegliati e aggiustalo così c’è stato un amore
rapporto di odio che ha iniziato a fermentare
e molto velocemente ho detto bene che sono davvero
stanco di svegliarmi per aggiustare i pantaloni
potresti aggiustare il tuo codice in modo che non lo facciamo
avere quelli e ciò che Dio ha inventato giusto
allora e c’era davvero questa nozione di
sviluppatori robusti che volevano venire
lavoro con me più spesso che no perché
Lavorerei davvero per testare il loro codice
per trovare cose che erano di sicurezza
correlati e quindi sono diventato molto prezioso
in fretta ho pensato che fosse una specie di figo
perché ho smesso di prendere il telefono 3am
chiamate ho iniziato a ottenere di più
partecipazione e poi come sono passato
organizzazione per organizzazione I sorta di
ha avuto lo stesso mantra più e più volte e così
era una specie di invito che conosci
a essere robusto nel tempo che ho
codice sviluppato praticamente in maledizione vicino
ogni lingua perché alle 3:00 ti fermi
preoccuparsi se si tratta di Java C ++ o
qualunque cosa tu abbia avuto per aggiustarlo devi farlo
riavere i clienti online non è così
importa che la tua sicurezza perché
a chi importa se si tratta di un’interruzione del codice è a
interruzione del codice e quindi tutte quelle righe tutto
quelle tutte quelle cose che erano
barriere per provare e rendere il cliente
l’esperienza migliore in realtà è andata via così
puoi immaginarlo davvero per me
è diventato un modo di vivere, quindi i miei coetanei
ho iniziato a inventarli davvero a lungo
documenti più di 300 pagine sono sicuro di tutto
hai visto questi probabilmente hai
ti è stata consegnata un’enorme pila di carta
conosci oltre 300 pagine per favore fai il tuo
applicazione sicura torna in
informatori e firmerò chiunque
sentito prima di sì sì sì dal
Ho bisogno di aver scritto tonnellate di
applicazioni me stesso ho ottenuto il mio
la squadra deve scriverli e mi sono stancato di
consegnare il documento di 300 pagine a
prova a rendere sicuro il mio codice in modo che sia così
potrebbe funzionare correttamente
e quindi quello che ho effettivamente fatto è che ho iniziato
fare cose come lo scripting delle 300 pagine
documento e in realtà risultante
rispondi invece di avere una recensione da qualcuno
in effetti è stato approvato così anch’io
invalidato il bisogno per la persona che
stava per firmare l’approvazione che era
tipo di mia opinione su di esso l’altra cosa
quello non era d’ aiuto era dover andare
attraverso il processo che assomiglia a questo
dove ti presenti con il tuo codice
voglio portarlo alla tua produzione
i clienti infelici vogliono davvero il loro
caratteristica e il mare ha così tutto questo
lista di cose che devi fare
capita prima che avvenga l’approvazione
e puoi immaginare che questo sia davvero
frustrante perché so che è davvero
frustrante è persino frustrante per me
ora in esecuzione in un mondo molto DevOps
vedere cose come questo accadono che porta
me a questo dal modo in cui effettivamente ho
questo segno nel mio ufficio e io costantemente
utilizzare ogni giorno e aiuta davvero a
portare il mio messaggio attraverso di te sa che odio
fare in modo che gli sviluppatori vivano miseramente
fatto una delle cose che ho chiesto
la mia squadra deve fare in modo che
ogni sviluppatore che cammina attraverso il
la porta vuole davvero stare in disparte
fare squadra rossa in modo che possano imparare
come rendere il loro codice più resistente
più robusto e più facile da mantenere
col tempo quindi la mia domanda a tutti dentro
la stanza è perché non chiedi il tuo
team di sicurezza per operare in questo modo
Infatti, perché non vorresti che fosse così?
una parte così critica della cultura
cambia per DevOps che tu in effetti ottieni
l’opportunità di fare questo cambiamento
capita che tu possa chiedere di meglio
sicurezza modi migliori di operare e
davvero inizia con gli sviluppatori
richiedendo un modello migliore alla nostra squadra
creato questo modello per puro caso
necessità abbiamo iniziato come DevOps
delle cose che ho sentito da molto tempo
quell’incorporazione è la strada da percorrere e così via
In realtà ho fatto quell’esperimento
personalmente e ho detto tutto bene, facciamo
prova questa cosa incorporata oh sono un gioco che sono
disposti a farlo abbiamo 3000 sviluppatori
e 12 persone di sicurezza ish e quindi se tu
avere 3000 sviluppatori in DevOps verso le 5
a 600 squadre 12 persone cinque 600 squadre
si tratta di un sacco di lavoro per tutti ogni
giorno significa che stiamo causando cose
andare piano significa che non lo siamo
fornire il miglior valore sembra
approvazioni ed eccezioni e
consultazioni e uno dei nostri preferiti
cose da fare riunioni ho effettivamente iniziato
per metterlo davvero in discussione e valutarlo
creato per i nostri team una delle cose
che è venuto fuori nel tentativo di mettere questo
la carta era come prendiamo 12 persone che
fanno cose diverse e le fanno
utile inserendoli in un file
dev ops team così invece del 500 a
In pratica, sono 600 i progetti a cui siamo andati
Dalle 12 alle 24 ci siamo resi conto molto velocemente di noi
in realtà ha dovuto coprire 36 per fare qualsiasi cosa
di valore aziendale, quindi significava questo
tre progetti per persona dovevano essere
gestito in qualsiasi momento e ciò che noi
scoperto attraverso questo modello è quello
il cambio di contesto è stato davvero difficile
per una persona di sicurezza avevano bisogno di
scrivere codice di scrittura e loro non lo sapevano
come sapevano queste cose che erano
documenti cartacei e sapevano come
in realtà lo trascrivo per qualcuno ma
questo ha causato molta lentezza perché
quando arrivi con una specifica di 300 pagine
ovviamente sarà davvero
DevOps friendly right no e quindi abbiamo ottenuto
al punto in cui realizziamo bene che siamo
persone della sicurezza abbiamo bisogno di fare cose
diverso e dobbiamo fornire valore
e così abbiamo scoperto molto rapidamente
abbiamo anche avuto una mente alveare nelle 12 persone
quello è seduto al tavolo e in realtà
produrre valore era il più importante
cosa potremmo fare per la nostra compagnia e
creare strumenti self-service e in realtà
pensare all’automazione e arrivare a
il punto in cui potremmo fare la conformità
operazioni in modo da ottenere feed in tempo reale
nei team di sviluppo come conformità
ufficiale delle forze armate era così grande
cambio per la nostra squadra ma abbiamo scoperto
incorporato non ha funzionato ci siamo tirati indietro e
detto tutto bene quindi come facciamo a
funzione centrale che ha sempre odiato
DevOps tutti vogliono incorporati ma io
ti dirò che c’è un modo di operare
in modo da poter avere una modalità molto ibrida
il tuo team di sicurezza può fare cose come
codice produce strumenti self-service e ap
è e quindi c’è un modo per farlo davvero
così l’ affermazione del problema era molto
molto chiaro abbiamo dovuto eseguire lo stile DevOps
la sicurezza è facile, proprio come avevamo fatto noi
scalare quello era un enorme pezzo di
la maggior parte del team di sicurezza non lo fa
effettivamente trattare con il carbonio
le forme di vita molto bene come me, ecco perché
sono gestiti da qualcuno che non lo fa
fallo bene perché è il modo migliore
per ottenere il massimo rendimento dagli
la gente deve dargli tutti lo stesso tipo
della cultura giusta e così quando penso
di come abbiamo ottenuto qui i cinque
le cose erano che erano così importanti che
hanno iniziato ad allinearsi e si sono messi in fila
siamo tornati ad essere robusti abbiamo iniziato
realizzando wow aspettiamo che siamo venuti dall’essere
aspro stiamo iniziando ad andare verso
essere robusti perché non solo essere robusti e
oh dal modo che non significava solo il
la squadra di sicurezza diventa robusta significava noi
aspettavamo che la gente venisse da noi
Erano già pre rugged erano
già divento team di sviluppatori che potrebbero
in realtà hanno una discussione sulla sicurezza che
potrebbe rapidamente superare i problemi
e capire le cose in tempo quasi reale
e le discussioni si rivolgono a qualcosa
come questo codice di Vera ha recentemente dato questo
discussione alla RSA ed è stato davvero
ben accolto in realtà riguarda il
il cloud riguarda la definizione del software
ambienti La cosa fantastica di
ambienti definiti dal software è quello
la sicurezza ora viene infornata come codice che
significa che rimette il potere nel
comunità di sviluppo per iniziare a fare
queste scelte in tempo reale con il codice
i nostri vestiti che devono cambiare e
fondamentalmente è oh wow ho appena colpito il
Spiacenti, sto andando avanti o indietro
grazie devo aver felice così Verica
ha dato questa discussione durante la RSA
conferenza e cosa è stato davvero sorprendente
a riguardo è stata questa discussione su come
per fare questo lavoro e non farne parte
il carico di lavoro per lo sviluppatore ma a
in realtà inizia a produrre informazioni
quello potrebbe fare in modo che gli sviluppatori possano farlo
fare delle scelte e una delle ragioni per cui
mi è davvero piaciuto che fosse aight aight rouille
credo che gli sviluppatori debbano assumersi
parte del contesto di sicurezza deve
fare scelte devono effettivamente imparare e
sperimentare con sicurezza in modo che le cose
può diventare anti fragile in modo da poter ottenere
al punto in cui i tuoi carichi di lavoro
in realtà operano senza aggressori
iniziando a trarne vantaggio e
quindi ciò che è stato davvero fantastico in questo
la discussione era che ci sono ora
persone di sicurezza che stanno iniziando a
capire come scrivere il codice in
nuvole ambienti definiti dal software
sposta rapidamente DevOps e inizia da
capire cosa significa avere un
conversazione con qualcuno che sta facendo
queste cose, ma soprattutto cosa
uscito da questa discussione era pari
più incredibile ed era qualcosa
in cui stiamo effettivamente partecipando
che abbiamo smesso di essere teorici
conversazioni che non stiamo cercando di mettere
tutti attraverso la modellazione delle minacce che siamo
iniziando a chiedervi di pensare
cose come l’aggiunta di un ribasso degli attacchi
file al tuo codice base come parte del tuo
documentazione in modo che diventi parte di
il tuo carico di lavoro vivente e anche noi
aggiungendo cose come il teaming rosso così noi
avere qualcosa che chiamiamo lunedì squadra rossa
e invece di costringere qualcuno a farlo
capire tutta questa magia e
informazioni noi Red Team i carichi di lavoro
che sono nel nostro ambiente ogni lunedì
e questo significa che li testiamo noi
hackerarli come se fossimo degli attaccanti esterni
noi facciamo ogni
di test scatola bianca test scatola nera
tutto ciò che possiamo ottenere ingegnere sociale
e quindi ciò che è veramente buono a questo proposito
ora hai effettivamente l’avversario
è interno alla tua organizzazione
ti sta aiutando a ottenere i tuoi carichi di lavoro
pronto in modo che possano essere nel
mondo esterno in alcuni casi già
sono nel mondo esterno e così provano
per mettere il tuo carico di lavoro attraverso un test
ambiente in un modo che potrebbe raggiungere
la scala non avviene necessariamente così
non sarebbe molto meglio se qualcuno
potrebbe iniziare a fare ricognizione come un aggressore
ed essere in grado di pubblicare la tua pubblicazione
informazioni sui tuoi carichi di lavoro in modo che
puoi apportare le modifiche in tempo reale
è di questo che è così grande
la domanda nella nostra mente era come noi
restituire valore all’organizzazione come
le persone della sicurezza bene abbiamo capito noi
non abbiamo davvero bisogno di fare DevOps
basta dire ok team DevOps di cui hai bisogno
fare sicurezza, dobbiamo capirlo
noi stessi e così invece di provare a
predicare e raccontare tutte queste storie
iniziato a capire che stavamo fallendo
comunicare senza capire il
problema non solo adottandolo
noi stessi così ora le 12 persone che lavorano
per me in realtà scrivere codice tutto il giorno
controllano più volte al giorno
hanno tutte le loro cose integrate
nel cloud, gestiamo esclusivamente tutti i nostri
carichi di lavoro di sicurezza in AWS e cosa c’è
grandioso è che vediamo tutti
un po ‘di un ambiente definito dal software
noi stessi siamo sicuri della sicurezza del codice
capire le fragilità diventare esperti
in esso e fornire tali informazioni indietro
a chiunque ascolti all’interno del nostro
organizzazione e l’altra cosa che io
volevo far apparire anche questa diapositiva
anche noi siamo arrivati al punto in cui
ci rendiamo conto che la nostra comunicazione era a
fattore critico nel cercare di aiutare le persone
essere più aspro di come pensavano
su cose che abbiamo iniziato a fare questo
concetto di classificazione in modo da ognuno è andato a
scuola siamo tutti
voti per come l’abbiamo fatto a scuola noi
prendi i nostri test otteniamo un A attraverso una F
è un linguaggio piuttosto universale e
invece di prenderti, conosci il cinque e cinque
vulnerabilità o un p0 o quant’altro che abbiamo
in realtà ha iniziato a comunicare con solo
voti lettera il tuo carico di lavoro sta fallendo
il tuo carico di lavoro sta diventando un A è molto
facile da capire e quando lo fai dentro
in tempo reale diventa davvero potente
perché qualcuno può semplicemente rintracciare il proprio
i gradi possono vedere come è il loro GPA
facendo nel tempo ed è solo un
modo diverso di pensare alle cose
ma ci siamo resi conto che se potessimo
traducilo in qualcosa di semplice
come persone di sicurezza potremmo davvero
aiutare tutti coloro che stanno cercando di diventare
meglio a scrivere codice e lo sai
restituire valore al cliente senza
cercando di fornire più spese generali e
convincerli a capire la sicurezza a
il livello di dettaglio che già facciamo
quindi questa è una specie di area di gioco del mio
slide deck Ti direi che uno di
le cose che sarebbero davvero utili
è quello di far tornare tutti gli sviluppatori
la loro organizzazione per la sicurezza e dì perché
non fare dev di Chekhov perché non farlo ruvido
perché non fare qualcosa che sta per
iniziare a cambiare il modo di operare perché
è un pezzo così cruciale del puzzle
il sesso dell’app davvero dovrebbe essere parte del
processo di sviluppo che dovresti avere
strumenti a tua disposizione come un guanto di sfida
come tutti gli scanner che una sicurezza
la persona corre contro il tuo carico di lavoro perché
non stai ottenendo l’informazione
apportare modifiche e quindi se ci pensi
a volte lo sviluppo ti segnala
sai, vieni fuori e in effetti ottieni il
informazioni necessarie per apportare una modifica
come il QA riporta giusto ma sicurezza
i rapporti sono spesso tenuti stretti al giubbotto
Dio ti proibisce di sapere dove tutto
le vulnerabilità sono nel complesso
affari intendo dopotutto perché dovremmo
affidare tali informazioni a chiunque e
è una specie del processo mentale di a
persona di sicurezza ma veramente che ha bisogno di
cambiare ha bisogno di arrivare al punto
dove devi richiederlo
informazioni per rendere più sicuro il tuo carico di lavoro
e così
in realtà è su tutti per iniziare
capire come possiamo fare sicurezza
la responsabilità di tutti nel
organizzazione e come giochi il
parte di una persona di sicurezza nel
organizzazione le altre cose che hanno
ottenuto aggiunto come risultato di provare a
fare parte della sicurezza di DevOps è stato
come facciamo a trasformare la sicurezza e
codice quindi non tutte le piattaforme hanno tutte
il codice che ha bisogno di diventare di più
sicuro quindi cose come componenti sicuri
componenti di validazione qualcosa che
deve essere importato nel tuo carico di lavoro
e io uso il carico di lavoro è una specie di pieno
impilare l’implementazione e include il tuo
infrastruttura come codice include il tuo
sicurezza come codice include il tuo
applicazione e tutto ciò che in realtà
supporta un’implementazione dello stack completo e
quindi tutte queste cose che sono
aggiunti sono in realtà parte di quel processo
l’ingegneria della cura è davvero solo conosciuta
nel modo in cui lo stiamo inquadrando perché
in realtà stiamo chiedendo la nostra sicurezza
ingegneri per iniziare a scrivere codice loro
devo mettere fuori cose come il cloud
modelli di formazione o gruppo di sicurezza
modelli e formazione di nuvole e questo è
stato un grande cambiamento di conformità alle operazioni
è una specie di nuovo invece di
ottenendo un documento di 300 pagine in realtà
ora ottieni informazioni da includere nel tuo
carichi di lavoro potresti ricevere dei test da mettere in
i tuoi agenti di test che potresti effettivamente ottenere
come parte dei biglietti delle operazioni di conformità
odio dirlo ma è una specie di
evoluzione è devi andare dalla carta a
biglietti prima di poter effettivamente arrivare
codice completo e poi se penso al
altra cosa che è stata in realtà
relativamente nuovo alla scienza della sicurezza quando
si inizia a spostare il carico di lavoro in a
ambiente definito dal software per supportare
La strumentazione DevOps è assolutamente
critico devi avere la capacità di
avere più visibilità nel tuo carico di lavoro
che tu sai quando qualcosa sta fallendo
il che significa non sarebbe bello se il
squadra rossa hack vuoi lunedì e
entro lunedì sera hai già risolto
cosa hanno trovato in modo che non possa ottenere
segnalato al consiglio di amministrazione o chiunque sia
a livello esecutivo della tua azienda
tu veramente
voglio una sorta di quella sensazione verso come
in realtà stai implementando il tuo codice
e soprattutto con DevOps, quindi se penso
sul viaggio qui una delle cose
quello a cui stavo pensando è
come programmiamo questo processo
giusto DevOps e sicurezza davvero no
è stato purè insieme molto bene ancora lì
non ci sono molte informazioni là fuori
questo è stato ancora una volta pura necessità
lo stiamo sperimentando di fatto
negli ultimi due anni sono stato
uscire per parlare alle persone per imparare
di più perché ogni volta che faccio questo discorso
Imparo di più da tutti nel
pubblico ho imparato dalle tue domande
e poi usciamo e proviamo quelli
cose che siamo stati costantemente
creando l’ambiente di apprendimento che
anche uno sviluppatore ha in fase di sviluppo quindi a
persona di sicurezza che siamo addestrati siamo
allenabile odio dirlo, ma davvero
ci vuole un po ‘per passare
per noi siamo un po ‘difficili da
capire e capire ma alla fine
Penso quando i tuoi cuori sono nel giusto
posto come professionista della sicurezza e
stai cercando di capire come
supportare DevOps può essere fatto è solo
nessun altro lo ha effettivamente scritto
non c’è niente là fuori onestamente il
il più vicino che abbiamo ottenuto è stato
robusto e cercando di capire davvero
come portiamo più di queste informazioni a
la comunità è stata così premurosa
quando pensiamo alla sicurezza delle applicazioni
quello che vorrei dirti è che ho il nostro team
effettivamente giriamo i nostri scanner in giro così tu
andare e lanciare un’API per eseguire a
scanner contro il tuo lavoro carica il tuo codice
come parte della tua continua integrazione
e processo di distribuzione continua e
è fantastico perché significa che il
l’informazione non viene solo da noi
un team di sicurezza che sta per succedere
tu come un team di sviluppo o il tuo
operazioni parte della tua squadra e tu sei
capace di assimilarlo veramente
le informazioni prendono decisioni a riguardo e
rendere il tuo carico di lavoro meno vulnerabile o
abbiamo effettivamente il processo di pulizia
che è
è ogni lunedì che effettivamente impostiamo il nostro
viste su quella stessa informazione così noi
condividilo con te fondamentalmente e noi lo usiamo
per capire cosa potrebbe un aggressore
fare con questa informazione se ce l’hanno
così come un esempio quando si esegue una scansione
la tua applicazione web ed è vulnerabile
a un attacco di puntoni perché non avere un
controparte dell’organizzazione come a
team di sicurezza che può effettivamente sfruttare
che mette a nudo vulnerabilità prima di un
l’attaccante aiuta a prendere il
teoria fuori dalla conversazione e così
cambia davvero il modo in cui tutti riescono
comunicare e ti dà il
ambiente con un professionista della sicurezza
che ti permette di fare le scelte
sono necessari per aiutare i tuoi affari
pensa una delle cose che in realtà
è venuto anche per noi è stato un fallimento totale
convincere le persone a entrare e ottenere un
approvazione per la comprensione del rischio in a
il livello di contesto è sempre stato un triste
fallimento per la sicurezza delle persone in effetti io
direbbe che tutta la mia carriera è stata
su come hai una sicurezza
conversazione e come si cambia il
paesaggio per esso come si ottiene il
giusta informazione alle persone giuste a
il momento giusto per fare delle scelte che sono
andando ad aiutare e fare la differenza
senza influire su tutto ciò
affari allo stesso tempo così teaming rosso
è stato saputo che direi che è in realtà
questo non è per i deboli di cuore
davvero molto diverso quindi se puoi
immagina ogni lunedì che la mia squadra si siede in a
stile hacker room con un sacco di
metasploit e tu conosci tutta la musica
cosa e sembra davvero un mucchio
di hacker e anche ottenuto come sai
le loro felpe con cappuccio e tutto il resto
hanno interpretato la parte che effettivamente abbiamo
anche adesso abbiamo i segnali di chiamata, quindi lo facciamo
buon divertimento voglio dire che abbiamo un
Hacker di Hollywood e ha ottenuto il nome
Hollywood perché ne ha quattro
riquadri e prende più scatole
allo stesso tempo è anche bello
perché hanno un po ‘di divertimento
con esso in realtà usano captivate e
fare video dimostrativi quindi non solo fare
ottenere informazioni su come qualcosa ha ottenuto
rotto in, ma si potrebbe effettivamente guardare
il video e scopri come è successo
abbiamo un po ‘di divertimento con
questo e penso che uno dei migliori
cose su di esso che amo il
la maggior parte è la volontà di sperimentare
e cambiare e imparare è davvero costruito
nella nostra cultura direi anche uno di
l’altra cosa veramente interessante è
il punteggio è diventato parte del tessuto di
come operiamo come una squadra abbiamo aa
capacità di punteggio è tutto costruito su a
attraverso f è fondamentalmente si conosce il
test di configurazione che si tenta di capire
invece come qualcosa è vulnerabile
di cercare di metterlo in relazione con un po ‘di sicurezza
matrice la colleghiamo a qualcosa di molto
semplice e dire hey così ha fatto il tirocinante
irrompere o era Holly con l’hacker se
è stato lo stagista che probabilmente è un p0
e se fosse un hacker di Hollywood è così
probabilmente un p4 e quindi ne facciamo un po ‘
di quello e quindi in realtà lo sappiamo bene
bene questa è una F e questo è come un mare
e le persone sanno come fare delle scelte
basandosi solo su quelle informazioni
di dover farti chiamare al telefono
riunioni che sei in grado di operare realmente
e fare scelte in modo tale da essere conformi
operazioni Credo che sia stato uno dei
la maggior parte dei pezzi rivoluzionari di questo puzzle
davvero portando via i documenti e
cercando semplicemente di mettersi in guardia
informazioni sui principi guida delle rotaie
puoi entrare gestiamo tutti i nostri
la sicurezza ora fuori da github è tutto
un file di markdown puoi fare un tiro
richiesta contro di essa puoi effettivamente
cambia come stanno funzionando le cose e
ciò che è veramente fantastico in questo
è ora il team di sicurezza sa come fare
prendi e loro capiscono dove
le informazioni vanno e loro realmente adesso
stanno controllando le cose e cercando di
capire come appare se io
devi ridimensionarlo così invece di solo
dandoti i documenti cartacei da cui escono
documenti cartacei e da e da
lì come faccio a trasformarlo
script e cambiare come stanno le cose
accadendo e penso che sia davvero
è stato un grande cambiamento per il nostro team
la conformità ora avviene dopo la pubblicazione
il tuo codice in realtà ottieni informazioni
subito ottieni i biglietti che ottieni
inondazione di biglietti e tutto ad un tratto oh
attendere il mio carico di lavoro non funziona
non è conforme e quindi
probabilmente potrebbero avere problemi e sto andando
per scoprire lunedì sulla squadra rossa, quindi lo farei
piuttosto aggiusta alcuni di questi problemi
Ho la capacità di farlo come a
sviluppatore squadra Blu in modo da non poter avere un
Ho imparato la squadra rossa senza una squadra blu
questo molto rapidamente ed è stato un ultimo
il fallimento per me stesso era quello di creare
la squadra rossa che ho realizzato molto rapidamente
che la squadra rossa esce e lo fa
roba come un attaccante ma una squadra blu
è davvero molto importante e
il motivo è che sono le persone
che in realtà scrivono le regole
scopri i modelli che la squadra rossa
in realtà crea in modo che la prossima volta
vediamo che possiamo effettivamente rispondere ad esso
più veloce e così quando ho impostato per la prima volta il
squadra rossa non ho davvero creato un blu
squadra per cominciare perché ho realizzato no
Preferirei provare a capire se questo
cosa rossa cosa squadra rossa sta andando a
lavoro quante persone ho intenzione di pisciare
prima nella nostra organizzazione e poi
capire se la squadra blu è
utile e da ciò che ho scoperto
parlare con la gente della squadra è
in realtà dovevamo fare entrambi e così noi
arruolato il nostro team per farlo e poi
rendersi conto che non avevamo abbastanza persone per
fare squadra blu quindi ci siamo arruolati di più e
in realtà a un certo punto ci siamo riusciti
il punto in cui realizziamo che tutti erano
un membro della squadra blu l’organizzazione ora
ha la capacità di venire e scrivere
cerca e scrive regole e controlla quelle
nel repository di codice per il
piattaforma di monitoraggio e così ora il tuo
l’intero codice base viene pubblicato in
ottenere e diventa fondamentalmente un modo di vivere
parte dell’ambiente così i dati lo sono
critico questo è qualcosa che la mia squadra
costruito
e gestiamo tutte le nostre cose in AWS come
Ho già detto che abbiamo s3 abbiamo a
varietà di carichi di lavoro di grandi quantità di dati siamo
eseguendo EMR adesso abbiamo effettivamente ucciso
la nostra implementazione splunk perché ha ottenuto
troppo grande abbiamo 1400 account che abbiamo usato
conti come contenitori in AWS che spendiamo a
molto tempo a strumentare i conti
quindi prendiamo tanti dati quanti ne abbiamo
possibilmente possibile dall’istanza dal
applicazione da AWS se potessimo forzare a
il loro BS per darci più dati lo faremo
e così abbiamo appena preso una tonnellata di
informazioni e poi quando abbiamo letto squadra
abbiamo istantaneamente informazioni da scrivere
regole contro così sfruttiamo ogni bit
dello stesso ambiente che stiamo cercando
proteggere per cercare di capire di più
e così questo effettivamente crea abilità
per la tua squadra di sicurezza se la tua sicurezza
il team non sta effettivamente sviluppando il codice
non sono in esecuzione in AWS, ma non lo sono
in esecuzione in qualche altro ambiente cloud
non stanno eseguendo VMS o finestra mobile
contenitori che non hanno il contesto
e questo è qualcosa che abbiamo imparato e noi
imparato nel modo difficile in cui abbiamo imparato come
persone della sicurezza che entrano in una stanza
teorizzando e sentendoci dire no e noi
erano una squadra terribile con cui lavorare e
sbattendo la testa contro il muro andando
come faccio a risolvere questo e poi
realizzando hmm okay, perché non proviamo
e vai codice e codifica per sicurezza
la gente è davvero brutta non farlo non farlo
fallo subito , anzi, lo direi
voi alcuni degli sviluppatori in questa stanza
probabilmente hanno una migliore opportunità di
impara come essere ingegneri full stack
più veloce delle persone di sicurezza che abbiamo eseguito
l’esperimento ha scoperto che uno sviluppatore
ha la capacità di essere cinque volte veloce o
diventando un ingegnere di stack completo di a
persona di sicurezza reale che è davvero
cool significa che la persona di sicurezza deve
impara come programmare e questo richiede molto
più a lungo che insegnare a uno sviluppatore come
capire come far accadere la sicurezza
e cambia il modo in cui la sicurezza viene risolta
e l’altra cosa in realtà abbiamo imparato
da questa piattaforma era anche carina
unico che abbiamo imparato che i nostri carichi di lavoro sono
effettivamente vulnerabili ogni dieci giorni
ha dato questa informazione alla nostra comunità
abbiamo appreso che la migliore password era 11
personaggi tranne che per Red Team lunedì
quando alla squadra rossa non importava
rompendo la password l’hanno appena rubata
quindi quello era un pozzo che facevamo tutti
questa infante informazione interessante e
calcolato esattamente ciò di cui avevamo bisogno e
la squadra rossa entrò e trovò un buco
quello lo ha causato in modo che potessimo realmente
solo ottenere la password comunque e così via
che sai che impari da quelli
cose che impari dai fallimenti e
impari dai successi allo stesso modo
quindi sai che penso quello che amo
il nostro viaggio è stato semplicemente
capire che cosa è che stiamo cercando di
raggiungere e sperimentare così tu
sentito parlare di ipotesi guidata
sviluppo precedente da Adrian e quello
mi ha appena parlato perché lo facciamo davvero
qualcosa chiamato incidente guidato
sviluppo che è esattamente lo stesso
l’ipotesi della cosa deve essere creata e
l’esperimento deve essere eseguito e a
la persona di sicurezza deve essere addestrata a
fai quelle cose quindi ecco alcune emergenti
statistiche e cose da sapere su dev
psicopatici e robusti e davvero in arrivo
insieme a questi concetti quando io
iniziato a fare questo c’erano solo io
penso di essere stato il primo a dire il vero
metti gli sviluppatori ps dev sul mio profilo LinkedIn
perché ero abbastanza pazzo da farlo
e finora ci sono 36 persone e noi siamo
cercando di accumulare più slancio nel
l’industria in realtà stiamo uscendo e
parlare attivamente con la gente di questo
anche quello che è bello è che ne abbiamo visti altri
le cose emergono così bloccate da DevOps
hai sottrazione che stiamo iniziando a vedere
DevOps sec ha una certa trazione che non sono
certo che mi interessa come lo chiami
questo punto quello che vorrei dirti è questo
la sicurezza deve diventare parte
di quello che fai ogni giorno in modo che possiamo
anticipare gli attaccanti e nella mia missione
nella vita è rendere così impossibile
attaccanti a fare qualsiasi cosa con il
carichi di lavoro che sono là fuori che
diventa un non-business e io penso che
questo è ciò che cambierà
come andiamo avanti con più tecnologia
in modo che i nostri bambini possano effettivamente prendere
vantaggio in futuro, quindi grazie
voi tutti così tanto io davvero
apprezzare il tuo tempo
tu
Please follow and like us: