#MSSD . Москва. 5 марта 2013

РИСКИ САМОСТОЯТЕЛЬНОЙ РАЗРАБОТКИ БИЗНЕС-ПРИЛОЖЕНИЙИ СПОСОБЫ ИХ СНИЖЕНИЯРустэм Хайретдинов Appercut Security #MSSD. Москва. 5 марта 2013

ПОЧЕМУ КОМПАНИИ РАЗРАБАТЫВАЮТ БИЗНЕС-ПРИЛОЖЕНИЯ? • Нет одинаковых компанийСпецифика компании отображается в информационной системе • Универсальные системы избыточныПриходится переплачивать за функции, которыми не пользуются • Бизнес-среда меняется стремительноПриходится переплачивать за функции, которыми не пользуются • Это свершившийся фактБолее 80% компаний разрабатывают/дорабатывают бизнес ПО

СПЕЦИФИКА РАЗРАБОТКИ ЗАКАЗНЫХ БИЗНЕС-ПРИЛОЖЕНИЙ • Несистемные требования по безопасности приложенийУпор на функционалинагрузку, игнорирование стандартов • Службы ИБ в разработке не участвуютПривлекаются только к расследованиям инцидентов • Упрощенный процесс разработкиИзменения идут непрерывно, код правится вместо выпуска патчей • Используются закрытые платформы SAP, Oracle, MS Dynamics, 1C, Lotus, …

РИСКИ ЗАКАЗНЫХ ПРИЛОЖЕНИЙ • Неустойчивость • Непереносимость • Злоупотребление доступом • Нештатное функционирование

ИСТОЧНИКИ РИСКОВ • Ошибки программирования • Ошибки архитектуры • Отладочные ветви • Технические учетные записи • «Закладки»

АУДИТ БИЗНЕС-ПРИЛОЖЕНИЯ Настройки RRO: может находитьсложные уязвимости Заказной и самостоятельноразрабатываемый код Комбинация ручного и автоматизированного анализа CONTRA: долгий, дорогой и сложный процесс Прикладные надстройки (CRM, HR, АБС, Бухгалтерия, Производство…) Базовое приложение(SAPR3, Oracle EBS, MS Dynamics, Salesforce.com, 1C , и т.д.)

ОДИНОКИХ ПРИЛОЖЕНИЙ НЕ БЫВАЕТ ERP SCADA BILLING ABS WEBSTORE … Реальный проект: 83 приложения, 11 языков, 6 бизнес-платформ 2-3 сборки в день DOCFLOW REPORTING PORTAL RUBRICATOR ANALITICS …

ГОРИЗОНТАЛЬНЫЙ ПОДХОД Настройки Compliance Settings Control Заказной и самостоятельноразрабатываемый код Custom Code Scanner Прикладные надстройки (CRM, HR, АБС, Бухгалтерия, Производство…) VulnerabilitiesScanner Базовое приложение(SAPR3, Oracle EBS, MS Dynamics, Salesforce.com, 1C , и т.д.) VulnerabilitiesScanner

APPERCUT CUSTOM CODE SCANNER «Умные сигнатуры»опасных приемов программирования Аналогалгоритмапоискацифровыхотпечатков Нормализованный исходныйкод

ЭФФЕКТИВНОСТЬ ТЕХНОЛОГИЙ SAST – статический анализ кода DAST – динамический анализ приложения SAST+DAST SAST DAST APPERSCAN

КОНТРОЛЬ ЗАКАЗНОГО ПРИЛОЖЕНИЯ АУДИТ КОДА Известные уязвимости кода Appercut Service / Стандартная база АУДИТ ПРИЛОЖЕНИЯ Комплексные уязвимости Наполнения базы уязвимостей РУЧНОЙ АНАЛИЗ КОДА Поиск НДВ АУДИТ ДОПОЛНЕНИЙ Все уязвимости Appercut Service / База клиента

КОНТРОЛЬ ЗАКАЗНОГО ПРИЛОЖЕНИЯ Анализ известных уязвимостей кода Appercut Service / Стандартная база Моделирование уязвимостей архитектуры Наполнения базы уязвимостей Моделирование уязвимостей бизнес-процессов Компенсирующий контроль всех уязвимостей Appercut Service / База клиента

APPERCUTCCS – быстро и удобно • Не предполагается встраивание в процесс разработки • Не предполагается участие программистов • Аудируется любое количество приложений • Возможность добавлять пользовательские образцы • Реализация в виде веб-сервиса Public/Private Cloud

ПОДДЕРЖИВАЕМЫЕ ПЛАТФОРМЫ • Традиционные средства разработки:Java, JavaScript, PHP,Cobol, C/С++, T-SQL, .NET (VB, C#, ASP),Delphi, Objective C, Python, Ruby… • Традиционные бизнес-платформы: ABAP4 (SAP), PL/SQL (Oracle),LotusScript (IBM Lotus Notes), 1Сver 7 и 8, Microsoft Dynamics (X++), … • Проприетарные языкии скрипты приложений, в т.ч. российских (БОСС, Directum, Atlantis, …) • Любая платформа на заказ (нормализатор + 10 TOP-уязвимостей) – 1 месяц

ВОПРОСЫ, ПОЖАЛУЙСТА! Рустэм Хайретдинов Appercut Security sales@appercut-security.com +7(903)961-7312 www.appercut.com

#MSSD . Москва. 5 марта 2013