i-elkin Oct 25 2016 at 12:54

QIWI Security Development Lifecycle

6 min

10K

QIWI corporate blogInformation Security*IT systems testing*

From sandbox

+18

Comments 7

ykochubeev Oct 26 2016 at 13:35

Молодцы! Действительно похоже на дизруптивный подход.
Скажите пожалуйста а что имеется ввиду под ежегодными тренингами для разработчиков? Тренинги по разработке безопасного кода?

isox Oct 26 2016 at 16:07

Да. Целевые тренинги по веб-безопасности и безопасной разработке, выполненные дополнительно еще в контексте используемых нами технологий. Плюс внутренние CTF, «неделя безопасности QIWI» и тому подобное.

disakov Oct 26 2016 at 15:19

Спасибо за статью. А что для SAST использовали? Я в статье не нашел упоминания. Если, конечно, можете раскрывать детали.

isox Oct 26 2016 at 16:06

Можем. Checkmarx на данный момент.

disakov Oct 26 2016 at 18:31

Благодарю.

UFO just landed and posted this here

i-elkin Oct 26 2016 at 17:31

Если имеется ввиду время сканированяи, то время распрееляется примерно так
— DAST, как я и говорил, трудно настроить на итеративное сканирование, т.к. придется определить наличие новых входных точек и измененных праметров. Поэтому DAST используем на момент предрелизного регрессионного тестирования. Такой скан на больших проектах может доходить до нескольких часов.
— SAST хорошо подходит для итеративного сканирования, здесь он может занимать буквально несколько минут, т.к. ему понадобится только достроить новые графы, проходящие через новый код.