Application Security at DevOps Speed and Portfolio ScaleJeff Williams
油
Published on Nov 26, 2013
AppSec at DevOps Speed and Portfolio Scale - Jeff Williams
Watch this talk on YouTube: https://www.youtube.com/watch?v=cIvOth0fxmI
Software development is moving much faster than application security with new platforms, languages, frameworks, paradigms, and methodologies like Agile and Devops.
Unfortunately, software assurance hasn't kept up with the times. For the most part, our security techniques were built to work with the way software was built in 2002. Here are some of the technologies and practices that today's best software assurance techniques *can't*handle: JavaScript, Ajax, inversion of control, aspect-oriented programming, frameworks, libraries, SOAP, REST, web services, XML, JSON, raw sockets, HTML5, Agile, DevOps, WebSocket, Cloud, and more. All of these rest pretty much at the core of modern software development.
Although we're making progress in application security, the gains are much slower than the stunning advances in software development. After 10 years of getting further behind every day, software *assurance* is now largely incompatible with modern software *development*. It's not just security tools -- application security processes are largely incompatible as well. And the result is that security has very little influence on the software trajectory at all.
Unless the application security community figures out how to be a relevant part of software development, we will continue to lag behind and effect minimal change. In this talk, I will explore a radically different approach based on instrumenting an entire IT organization with passive sensors to collect realtime data that can be used to identify vulnerabilities, enhance security architecture, and (most importantly) enable application security to generate value. The goal is unprecedented real-time visibility into application security across an organization's entire application portfolio, allowing all the stakeholders in security to collaborate and finally become proactive.
Speaker
Jeff Williams
CEO, Aspect Security
Jeff is a founder and CEO of Aspect Security and recently launched Contrast Security, a new approach to application security analysis. Jeff was an OWASP Founder and served as Global Chairman from 2004 to 2012, contributing many projects including the OWASP Top Ten, WebGoat, ESAPI, ASVS, and more. Jeff is passionate about making it possible for anyone to do their own continuous application security in real time.
L'apparentemente semplice requisito di cifrare un campo di un database si trasforma in un viaggio attraverso tutto lo stack, dal db al front end.
Presentato il 20 aprile 2016 al meetup M&M MEAN Milano.
Sorgente degli esempi a https://github.com/pmontrasio/full-stack-cryptography/
How to Become a Thought Leader in Your NicheLeslie Samuel
油
Are bloggers thought leaders? Here are some tips on how you can become one. Provide great value, put awesome content out there on a regular basis, and help others.
Linux Day 2014 - Napoli - Programma Il Futuro: una scelta open sourceMario Rossano
油
際際滷 di presentazione del progetto Programma Il Futuro (http://www.programmailfuturo.it) che mi ha visto come progettista del software in cooperazione con Marco Ferrigno che ha curato l'infrastruttura di rete.
Il progetto, ideato dal prof. Giorgio Ventre (Univ. "Federico II" di Napoli) ed il prof. Enrico Nardelli (Univ. di Roma "Tor Vergata") per il CINI (Consorzio Interuniversitario Nazionale per l'Informatica) ed il MIUR (Ministero dell'Istruzione, Universit e Ricerca), fa parte de "La Buona Scuola", iniziativa promossa dal Ministro Giannini, in collegamento con il progetto internazionale Code.org tra i cui testimonial Barak Obama.
Il portale, che 竪 il primo ad integrare la crittografia frattale FNA che ho sviluppato, ha come cuore il sistema di registrazione con profilazione capillare - a nodi - degli utenti, ed il bridge di comunicazione (un hack) verso il sistema di registrazione di code.org e di hourofcode.com.
Nelle slides i link ipertestuali verso pastebin.com dove sono riportate alcune parti del codice crittografico e del bridge in Perl.
Programma il futuro: una scelta open sourceMarco Ferrigno
油
Un'analisi tecnica dello strumento che avr un grande impatto culturale sul futuro del nostro Paese: Programma Il Futuro. Nato da un'idea che ha visto coinvolti Il MIUR, il CINI Consorzio Interuniversitario Nazionale per lInformatica - e aziende IT intervenute come sponsor, l'iniziativa ha lobiettivo di fornire alle scuole una serie di strumenti semplici, divertenti e facilmente accessibili per formare gli studenti ai concetti di base dell'informatica. Il fine ultimo 竪 dunque la formazione sin dalla tenera et del pensiero computazionale. Scopriremo insieme al collega Mario Rossano (responsabile della progettazione software) il perch竪 di un approccio opensource ad un progetto ad elevata criticit per il sistema Paese.
Linux Security Hardening - panoramica sui principi generali per la riduzione...Marco Ferrigno
油
Indipendentemente dalla tipologia di dispositivo utilizzato (mobile/desktop/server), uno dei pre-requisiti fondamentali per una sana gestione dei propri dati 竪 la mitigazione del rischio e la riduzione delle superfici esposte a potenziali attacchi. Il nostro approccio quindi non si limiter ad una serie di suggerimenti e tecniche da applicare - sia in ambito domestico che enterprise - ma ad un'analisi approfondita di diverse tipologie di attacco ed eventuali contromisure.
Cosa dobbiamo ancora capire sui containers?
Sicurezza: Cosa cambia, Come mi adeguo e Dove mi Fermo?
Attacchi:un esempio pratico di resilienza delle architetture a Containers
In Aziende medio grandi, con centinaia di postazioni di lavoro, dispositivi mobile e server in cloud e on premises, la Digital Forensics e soprattutto lapproccio DFIR sono strumenti fondamentali per gestire in efficienza ed efficacia situazioni di incident handling come data breach o violazione dei sistemi, ma anche per la gestione di indagini e investigazioni informatiche aziendali per la tutela del patrimonio aziendale: propriet intellettuale, protezione dati, dipendenti infedeli, furti di informazioni riservate; inoltre processi e strumenti della DF e della DFIR possono essere usati proficuamente per Audit di sicurezza in ambito ISO, Dlgs 231/01, GDPR, COBIT, etc.. garantendo una raccolta delle prove di tipo "forense".
Velociraptor e AWX Ansible due strumenti open molto diversi che si usano in ambito corporate per eseguire indagini informatiche e raccogliere prove su larga scala con modalit forensi.
Lobiettivo del Corso 竪 fornire ai partecipanti la preparazione e le competenze necessarie per progettare un'infrastruttura di rete Windows Server 2008 che sia in linea con i requisiti tecnici e di business richiesti per i servizi di rete.
I TechAdvisor Michelangelo Uberti e Pasquale Angiuli presentano OpenStack, linnovativa piattaforma software open source dedicata alla creazione di Private e Public Infrastructure-as-a-Service.
Michelangelo Uberti fornisce una panoramica generale della tecnologia, illustra le principali differenze tra la classica virtualizzazione e OpenStack e presenta lofferta Par-Tec in questo ambito. Pasquale Angiuli cura invece la sessione demo di approfondimento focalizzata sulla gestione operativa della piattaforma.
Per saperne di pi湛, scaricate le slide e guardate il video delle presentazioni dei nostri TechAdvisor su http://www.par-tec.it/panoramica-e-demo-sul-progetto-openstack
From Virtualization to smart cloud computing, 2015, distributed systemsPaolo Nesi
油
Elements of cloud Computing,
Motivation and definitions
Virtualization (emulation, para-virtualization, virtual resources, snapshots, model for memory, model for CPU, model for network).
Cloud Computing (cloud vs grid, goals of cloud computing, Solutions as a Service)
High Availability (architecture and patterns)
vSphere Infrastructure (Vmotion, Power Management, Resource Scheduling, Fault Tolerant)
Security on the Cloud
Conversions among VM and physical machines
vCenter, datacenters and cluster management
Comparison among virtual computing solutions
How to work with Virtual Machines
IaaS solutions, comparing iaas cloud solutions
SaaS Solutions, comparing solutions
PaaS Solutions
ICARO project, and smart cloud
Un piccolo vademecum su un insieme di programmi open source utili a migliorare l'infrastruttura informatica di scuole, comuni, ospedali, cliniche e piccole e medie imprese
Il motore di database MySQL, suo funzionamento e utilizzo. Le novita' introdotte dalla versione 5.
Talk tenuto da Alessandro Tanasi (http://www.tanasi.it)
The document is a Linux quick reference guide that includes:
- Console usage tips and boot information
- Important Linux directories, configuration files, and block devices
- X Window keystrokes
- Linux commands with DOS/Windows equivalents
- Sponsor pages for GroupLink customer engagement solutions and HOT Labs Linux certification training
This document provides a quick reference guide for shell programming loops, special characters, commands, and variable expansion in 3 sentences or less:
Common looping structures include for loops to iterate over files/lists, while and until loops to repeat based on a condition, and case statements to select options. Special characters have specific meanings like ; to separate commands, () for subshells, and {} for the current shell. Variables can be expanded with syntax like ${var} for simple substitution, ${var:=value} to assign a default, and ${var:?value} to issue an error if not set.
Linux Security Hardening - panoramica sui principi generali per la riduzione...Marco Ferrigno
油
Indipendentemente dalla tipologia di dispositivo utilizzato (mobile/desktop/server), uno dei pre-requisiti fondamentali per una sana gestione dei propri dati 竪 la mitigazione del rischio e la riduzione delle superfici esposte a potenziali attacchi. Il nostro approccio quindi non si limiter ad una serie di suggerimenti e tecniche da applicare - sia in ambito domestico che enterprise - ma ad un'analisi approfondita di diverse tipologie di attacco ed eventuali contromisure.
Cosa dobbiamo ancora capire sui containers?
Sicurezza: Cosa cambia, Come mi adeguo e Dove mi Fermo?
Attacchi:un esempio pratico di resilienza delle architetture a Containers
In Aziende medio grandi, con centinaia di postazioni di lavoro, dispositivi mobile e server in cloud e on premises, la Digital Forensics e soprattutto lapproccio DFIR sono strumenti fondamentali per gestire in efficienza ed efficacia situazioni di incident handling come data breach o violazione dei sistemi, ma anche per la gestione di indagini e investigazioni informatiche aziendali per la tutela del patrimonio aziendale: propriet intellettuale, protezione dati, dipendenti infedeli, furti di informazioni riservate; inoltre processi e strumenti della DF e della DFIR possono essere usati proficuamente per Audit di sicurezza in ambito ISO, Dlgs 231/01, GDPR, COBIT, etc.. garantendo una raccolta delle prove di tipo "forense".
Velociraptor e AWX Ansible due strumenti open molto diversi che si usano in ambito corporate per eseguire indagini informatiche e raccogliere prove su larga scala con modalit forensi.
Lobiettivo del Corso 竪 fornire ai partecipanti la preparazione e le competenze necessarie per progettare un'infrastruttura di rete Windows Server 2008 che sia in linea con i requisiti tecnici e di business richiesti per i servizi di rete.
I TechAdvisor Michelangelo Uberti e Pasquale Angiuli presentano OpenStack, linnovativa piattaforma software open source dedicata alla creazione di Private e Public Infrastructure-as-a-Service.
Michelangelo Uberti fornisce una panoramica generale della tecnologia, illustra le principali differenze tra la classica virtualizzazione e OpenStack e presenta lofferta Par-Tec in questo ambito. Pasquale Angiuli cura invece la sessione demo di approfondimento focalizzata sulla gestione operativa della piattaforma.
Per saperne di pi湛, scaricate le slide e guardate il video delle presentazioni dei nostri TechAdvisor su http://www.par-tec.it/panoramica-e-demo-sul-progetto-openstack
From Virtualization to smart cloud computing, 2015, distributed systemsPaolo Nesi
油
Elements of cloud Computing,
Motivation and definitions
Virtualization (emulation, para-virtualization, virtual resources, snapshots, model for memory, model for CPU, model for network).
Cloud Computing (cloud vs grid, goals of cloud computing, Solutions as a Service)
High Availability (architecture and patterns)
vSphere Infrastructure (Vmotion, Power Management, Resource Scheduling, Fault Tolerant)
Security on the Cloud
Conversions among VM and physical machines
vCenter, datacenters and cluster management
Comparison among virtual computing solutions
How to work with Virtual Machines
IaaS solutions, comparing iaas cloud solutions
SaaS Solutions, comparing solutions
PaaS Solutions
ICARO project, and smart cloud
Un piccolo vademecum su un insieme di programmi open source utili a migliorare l'infrastruttura informatica di scuole, comuni, ospedali, cliniche e piccole e medie imprese
Il motore di database MySQL, suo funzionamento e utilizzo. Le novita' introdotte dalla versione 5.
Talk tenuto da Alessandro Tanasi (http://www.tanasi.it)
The document is a Linux quick reference guide that includes:
- Console usage tips and boot information
- Important Linux directories, configuration files, and block devices
- X Window keystrokes
- Linux commands with DOS/Windows equivalents
- Sponsor pages for GroupLink customer engagement solutions and HOT Labs Linux certification training
This document provides a quick reference guide for shell programming loops, special characters, commands, and variable expansion in 3 sentences or less:
Common looping structures include for loops to iterate over files/lists, while and until loops to repeat based on a condition, and case statements to select options. Special characters have specific meanings like ; to separate commands, () for subshells, and {} for the current shell. Variables can be expanded with syntax like ${var} for simple substitution, ${var:=value} to assign a default, and ${var:?value} to issue an error if not set.
This document provides a quick reference guide for improving Linux system security. It includes a glossary of common security terms like buffer overflow, cryptography, and denial of service. It also offers general security tips, such as using package managers to update software and installing nmap to scan systems. Finally, it lists resources for further security information, like the Apache directory protection guide and the Introduction to Linux Security book.
This document provides an overview of a Linux system administration training course. It covers 28 chapters on topics like the Unix command line, file management, processes, filesystems, backups and more. Each chapter includes detailed explanations, examples and exercises to help system administrators effectively manage and maintain Linux systems.
Hypervisor e VM, clustering e HA, SAN e storage, architetture degli elaboratori - Terza lezione corso CESVIP "Tecnico di rete informatico specializzato in sicurezza delle reti"