Építsd be a biztonságot már az első kódsortól.
A CyberMentee abban segít a fejlesztőcsapatoknak, hogy felismerjék a biztonsági kockázatokat, gyakorlati tudást szerezzenek és hatékony biztonsági kontrollokat építsenek a szoftverfejlesztés teljes folyamatába, az AI-asszisztált fejlesztést is beleértve.
Minél korábban derül ki egy hiba, annál olcsóbb kijavítani. Ezért ott kezdünk, ahol a kód készül, nem ott, ahol a pentest-riport landol.
Három terület, egy cél: a biztonság legyen a fejlesztés része.
Három, egymást kiegészítő terület, nem külön termékek. Aszerint kapcsoljuk össze őket, hol tart a csapat.
A kockázatok feltérképezése
Felmérjük az alkalmazásbiztonságot, a fejlesztési gyakorlatot, a CI/CD-folyamatokat és az AI-asszisztált kódolás által behozott kockázatokat. A megállapításokból rangsorolt javítási terv készül.
Mérnöki biztonsági tanácsadásErősebb fejlesztőcsapatok
Gyakorlati képzés a biztonságos kódolás, a DevSecOps és az AI által generált kód biztonsága témájában, a csapat technológiai környezetéhez, munkafolyamataihoz és tapasztalatához igazítva.
Képzési formátumokBiztonság a gyakorlatban
Biztonsági kontrollok beépítése a kódfelülvizsgálatba, a CI/CD-folyamatokba és a szoftver-ellátási láncba, egyértelmű felelősségi körökkel és visszakövethető, a mérnöki munkában is használható bizonyítékokkal.
Biztonság a munkafolyamatbanAz AI írja a kódot. Ki nézi át a kockázatot?
Megjött a pentest-riport. Negyven oldal olyan hibával, amit a csapat már látott. Egyenként foltozni őket nem megoldás: a cél az, hogy a fejlesztők eleve ne kövessék el ezeket.
- Minden riportban ugyanazok a hibatípusok jönnek elő: injection, hibás hitelesítés, kiszivárgott titkok, sérülékeny függőségek.
- Az általános biztonsági e-learninget átkattintják és elfelejtik. Soha nem ér hozzá a valódi kódhoz vagy a pipeline-hoz.
- A biztonság utólag, kívülről érkezik a csapathoz, ahelyett hogy a fejlesztés része lenne.
Biztonság a fejlesztés minden lépésében, ott, ahol a csapat már most is dolgozik.
A biztonság akkor működik a legjobban, ha a mindennapi mérnöki döntések része lesz, a tervezéstől és a kódolástól a buildelésen és a tesztelésen át a kiadásig. A szkennerek és a kapuk megtalálják a problémákat, de hogy mi történik utánuk, azt az egyértelmű felelősségi körök és az egyeztetett átnézési és kiadási szabályok döntik el. Mi mindkettővel foglalkozunk.
Írjuk biztonságosan
Biztonságos kódolási minták, titokkeresés és egy valós funkció fenyegetésmodellezése.
Az AI-generált kód is ugyanazokon a kapukon megy átIsmerjük fel időben a hibákat
SAST és függőségvizsgálat a pipeline-ban, úgy hangolva, hogy ne legyen zajos.
Ellenőrizzük a biztonságot
DAST, IaC-vizsgálat és átnézési kapuk, amelyek egyértelműen jeleznek, ha valami tényleg számít.
Védjük a kiadott szoftvert
Ellátási lánc integritása és futásidejű ellenőrzések, annak a csapatnak a kezében, amelyik szállít.
Alkalmazásbiztonság, mérnöki szemmel.
Ezek a témák mindhárom területen megjelennek: a felmérésben, a képzésben és a bevezetésben. Válasszátok ki, amire a csapatnak a legnagyobb szüksége van; mindent a ti technológiai környezetetekhez igazítunk.
Biztonságos kódolás
Az OWASP Top 10 a ti programozási nyelveiteken: injection, hitelesítés, titokkezelés és a minták, amelyek megelőzik ezeket.
Fenyegetésmodellezés
Kockázatfeltárás már tervezéskor, egy valós funkción: bizalmi határok, támadási felület, a hiba lehetséges hatóköre.
Pipeline-biztonság
SAST, DAST és SCA a CI/CD-ben, kikényszerített minőségkapuként.
Függőségek és ellátási lánc
Szoftverösszetétel-elemzés (SCA), SBOM és artifact-integritás, hogy azt szállítsátok, amit valóban felépítettetek.
Biztonságos SDLC és irányítás
Szerepek, jóváhagyási kapuk és visszakövethető bizonyíték: működési modell, nem egy kipipálandó lista.
Képzés NIS2- és ISO/IEC 27001-programokhoz
A két keretrendszer biztonságos fejlesztési oldalát fedi le, jelenléti és teljesítési igazolással. A képzés segíti a megfelelési munkát, de önmagában nem teszi megfelelővé a szervezetet.
Ingyenes NIS2 fejlesztői checklistAI-asszisztált fejlesztés
Az AI-asszisztált fejlesztés felgyorsítja a fejlesztést és a kiadást. Ezzel együtt felértékelődik az egyértelmű felelősség, a kódfelülvizsgálat és a biztonsági kontrollok szerepe. A kérdés nem az, hogy a csapat használ-e AI-t, hanem az, hogy a mérnöki gyakorlata lépést tud-e tartani vele. Megmutatjuk, hogyan érdemes felülvizsgálni az AI által generált kódot, milyen biztonsági kontrollok kellenek a CI/CD-be és hogyan korlátozzátok, mihez férnek hozzá az asszisztensek és az ágensek.
AI-kód és vibe coding biztonsági képzésVibe coding és no-code AI-fejlesztés
Egyre több funkció, sőt teljes alkalmazás készül természetes nyelvű promptokból, néha fejlesztői vagy biztonsági háttér nélkül. Az eredmény gyakran működik, de ritkán biztonságos: kódba égetett titkok, hiányzó jogosultságkezelés, injektálható bemenetek. Megmutatjuk, hol törnek el ezek a rendszerek és milyen átnézési kapuk fogják meg a hibát élesítés előtt.
A rövid bemutatótól a mélyebb, gyakorlati képzésig.
A képzés akkor működik, ha a fejlesztők a saját mérnöki környezetükben is alkalmazni tudják. Alkalmainkon gyakorlati döntésekre, valós hibahelyzetekre és biztonságos fejlesztési folyamatokra koncentrálunk. A rövid bemutatókon célzott gyakorlófeladatokkal, a mélyebb workshopokon pedig lehetőség szerint a saját kódotokkal és fejlesztési folyamataitokkal dolgozunk.
Dev Security bemutató
Élő alkalom, ahol a csapat egy erre készült gyakorlóalkalmazásban talál és javít valós sérülékenységtípusokat, majd megbeszéljük, hogyan érvényesek a tanulságok a saját kódotokra.
- Gyakorlat az első perctől
- Nálatok nem kell előkészület
- Tiszta kép arról, hol vannak a rések
Kinek: csapatoknak, amelyek elköteleződés előtt kipróbálnák a megközelítést.
Bemutatót kérekGyakorlati workshop
A fő formátum. A workshopot a csapat nyelveihez, fejlesztési folyamataihoz és biztonsági kihívásaihoz igazítjuk. A gyakorlati feladatok között szerepelhet kódfelülvizsgálat, fenyegetésmodellezés és CI/CD-biztonsági kontrollok kialakítása, lehetőség szerint a saját kódotokon.
- A ti nyelveitekhez és fejlesztési folyamataitokhoz igazítva
- Feladatok a saját kódotokon, ahol ez megoldható és egyeztetett
- A megszerzett tudás a következő fejlesztési feladatban is alkalmazható
- Az AI által generált változtatások biztonságos felülvizsgálata
Kinek: csapatoknak, amelyek valóban változtatni akarnak azon, ahogyan fejlesztenek.
Workshopot egyeztetekFolyamatos biztonsági mentorálás
A workshop után is jelen marad a biztonság. Havonta egyeztetett keretben: a kiválasztott új kód és pipeline-változtatások átnézése, valamint konzultációs idősáv a fejlesztőcsapatnak.
- Kiválasztott új kód és konfiguráció átnézése
- Konzultáció, amikor a csapat elakad
- Tapasztalt biztonsági szakember, új felvétel nélkül
Kinek: csapatoknak, amelyeknél a változásnak tartósan meg kell maradnia.
Mentorálásról egyeztetekMérnöki biztonsági tanácsadás
Célzott mérnöki biztonsági támogatás olyan csapatoknak, amelyeknek egy kockázatot kell megérteniük, egy architektúra-döntést kell meghozniuk vagy egy fejlesztési kontrollon kell javítaniuk. Előre egyeztetett hatókörben dolgozunk, a technikai megállapításokból pedig konkrét, megvalósítható mérnöki döntéseket készítünk elő. A tanácsadás nem folyamatos üzemeltetési szolgáltatás.
Jellemző kérdések, amelyekkel foglalkozunk
- Hogyan működjön a kódfelülvizsgálat és a jóváhagyás, ha a kód egy részét AI generálja?
- Milyen biztonsági ellenőrzéseket építsünk a CI/CD-folyamatba, hogy a találatok kezelhetők maradjanak?
- Mi romolhat el ebben a funkcióban? Fenyegetésmodellezés még a megvalósítás előtt.
- Hol szükséges szigorítani a titkok, függőségek és build-artefaktumok kezelését?
- Milyen alkalmazásbiztonsági gyakorlatokra és bizonyítékokra épülhet a NIS2- vagy ISO/IEC 27001-munka?
Mit kaptok
- Világos megállapítások. Az érintett alkalmazás, architektúra vagy fejlesztési és kiadási folyamat célzott átvizsgálása, a feltárt kockázatokkal és azok mérnöki hatásával.
- Rangsorolt következő lépések. Gyakorlati javaslatok, a felelősségi körök tisztázása és a javítások reális sorrendje.
- Támogatás a bevezetésben. Gyakorlati segítség az egyeztetett kontrollok beépítéséhez a fejlesztési folyamatokba, ha ez a megbízás hatókörének része.
AI Development Security Health Check
Felmérés, amelyet már AI-kódasszisztenseket vagy fejlesztői ágenseket használó csapatok számára alakítunk ki. Azt vizsgálja, hogyan hat az AI-asszisztált fejlesztés a kód minőségére, a biztonsági felelősségi körökre, az eszközök jogosultságaira és a meglévő átnézési kontrollokra. Mivel fejlesztés alatt áll, minden együttműködés egy egyeztető beszélgetéssel indul a ti környezetetekről.
Mit vizsgál
- Hol használtok asszisztenst vagy ágenst és mit olvashatnak, futtathatnak és módosíthatnak
- Hozzáférés a repókhoz, a titkokhoz, a csomagtárakhoz és a CI/CD-hez
- Mely emberi átnézési és jóváhagyási lépések vannak ténylegesen kikényszerítve az AI által generált változtatásokra
- Keletkeznek-e visszakövethető bizonyítékok a biztonsági ellenőrzések és jóváhagyások végrehajtásáról?
Miért fontos most
A kódoló ágensek valódi jogosultságokkal dolgoznak. Egy AI-ágens számára hozzáférhetővé tett token, vagy egy ágens, amely a fő ágba merge-ölhet, illetve tetszőleges parancsot futtathat a CI-ban, a fejlesztést támogató eszközből új támadási felületet teremthet. A kérdések egyszerűek, a válaszok viszont gyakran több eszköz és csapat között oszlanak meg.
Gyakorlati biztonság, mérnöki tapasztalattal.
A CyberMentee-t az alapítója vezeti, aki pályája során éles rendszereket védett és közben egyetemen és saját kurzusain fejlesztőket tanított. A képzés és a tanácsadás ezért mérnöki munkára épül, nem diákra.
Dr. Sándor Barnabás
A biztonságnak a fejlesztési folyamat részévé kell válnia, nem utólagos ellenőrzésnek. Több mint 15 éve dolgozom gyakorlati szinten DevSecOps, biztonsági architektúra és automatizálás területén. Korábbi munkahelyeim között van a MOL Csoport, a 4iG Csoport, a GE Digital és a Morgan Stanley; ezeken a helyeken többek között biztonsági csapatokat vezettem és DevSecOps-gyakorlatot vezettem be. Kiberbiztonságból szereztem PhD-fokozatot és egyetemen, valamint saját kurzusaimon tanítok fejlesztőket.
Kapcsolódjunk a LinkedInenAmit a csapatok először kérdeznek.
Kinek szól a képzés?
Dolgoztok a saját kódunkon és pipeline-unkon?
Segít a NIS2- vagy ISO/IEC 27001-megfelelésben?
Milyen nyelveket és technológiákat fedtek le?
Foglalkoztok AI-generált kóddal és Copilot-biztonsággal?
Foglalkoztok vibe codinggal és no-code AI-fejlesztéssel?
Mi az AI Development Security Health Check?
Hogyan működik a mérnöki biztonsági tanácsadás?
Mennyi ideig tart és milyen formában?
Online vagy helyszíni és milyen nyelven?
Tudtok saját képzési anyagot készíteni a szervezetünknek?
Mennyibe kerül?
Miben más ez, mint egy általános biztonsági e-learning?
Hogyan kezdjünk neki?
Melyik szolgáltatás érdekel?
Válaszd ki lent a szolgáltatást. Ha még nem tudod, írd le röviden, milyen a csapat és a technológiai környezet és mi hozta elő a témát. Megírjuk, hol kezdenénk, sablonos prezentáció nélkül.