Рекомендации по безопасности приложений

Question

Недавно я вступил в роль евангелиста безопасности приложений. В рамках своих обязанностей я должен быть в курсе вопросов безопасности. Можете ли вы порекомендовать несколько хороших веб-сайтов, которые предоставляют отраслевые обновления, связанные с безопасностью веб / баз данных, а также на таких языках, как Java C# и Python. Цените любые другие советы, чтобы быть успешным в этой роли.

Answer 1

Вау, есть много отличных сайтов. Я бы посоветовал:

• DISA STIG для настройки операционных систем, баз данных и веб-серверов.
• Open Web Application Security Project - одна из ведущих организаций по обеспечению безопасности приложений, имеющая веб-сайт с отличными ресурсами, включая OWASP Top 10, Стандарт проверки безопасности приложений (ASVS) и Модель зрелости Software Assurance (SAMM).
• У OWASP и BSides есть хорошие местные конференции в разных районах страны, в дополнение к более крупным конференциям OWASP AppSec.
• Жизненный цикл разработки безопасности Microsoft и связанные с ними материалы, которые они создали.

Некоторые блоги (примерно по приоритетам... Я думаю, что Ars Technica охватит вас, чтобы вы не пропустили ничего важного в этой области:

• http://arstechnica.com/security/ (общие новости)
• https://www.schneier.com/ (сочетание политики и технических вопросов)
• http://www.darkreading.com/ (общие новости)
• http://threatpost.com/ (общие новости)
• http://blogs.csoonline.com/ (общие новости и множество специализированных тем)
• http://krebsonsecurity.com/ (отчетность о киберпреступности)
• http://www.securingthehuman.org/blog (ориентированный на социальную инженерию)

У Veracode и Cigital также есть хорошие блоги, хотя они имеют пристрастие к поставщикам. У Гэри МакГроу из Cigital также есть хороший подкаст Silver Bullet, посвященный безопасности приложений. Я думаю, что лучший подкаст для безопасности - это рискованный бизнес.

Я не знаю ресурсов, относящихся к событиям безопасности / новостям по языкам. Возможно, вы захотите посмотреть Национальную базу данных уязвимостей или другие источники новых уязвимостей (по CVE), связанных с используемым программным стеком.

Буду рад услышать дополнительные идеи в комментариях или добавить к этому ответу.