8 postów z tagiem "Security"

Po zbudowaniu Piramidy Testów, opanowaniu mockowania i wdrożeniu testów wizualnych, mogłoby się wydawać, że nasza praca jest skończona. Niestety, testowanie tzw. "szczęśliwych ścieżek" (Happy Paths) to zaledwie wierzchołek góry lodowej.

W czwartej części naszego cyklu poruszymy obszary najczęściej ignorowane w procesie deweloperskim, aż do momentu krytycznego błędu na produkcji. Skupimy się na Dostępności (A11y), Bezpieczeństwie (Security) oraz nieliniowym, hakerskim podejściu do własnej aplikacji, czyli Testowaniu Adwersaryjnym.

Dzisiaj rano mój blog stał się celem zautomatyzowanego ataku typu Comment Spam / Black Hat SEO. Botnet próbował masowo wstrzykiwać do bazy danych wpisy promujące finansowe wyłudzenia (scam) oraz linki mające sztucznie budować profil PageRank docelowych domen.

Automatyzacja kontroli jakości kodu to dziś standard, ale co jeśli Twoja infrastruktura jest "zbyt" bezpieczna? W tym artykule opisuję naszą inżynieryjną przeprawę z integracją SonarQube i GitHub Actions, gdzie największym wyzwaniem okazał się... nasz własny system bezpieczeństwa.

Każda lista "must-have tools for code quality" zaczyna się tak samo. SonarQube. Branżowy standard. Quality Gates. Technical Debt. Cognitive Complexity. Sześć tysięcy wbudowanych reguł.

Wielu CISO wciąż tkwi w pętli: Phishing test -> Pracownik klika -> Szkolenie -> Reprymenda. To strategia typu Legacy, która w dobie GenAI i Deepfake’ów jest nie tylko nieskuteczna, ale wręcz niebezpieczna.

Pegasus to zaawansowany spyware opracowany przez izraelską grupę NSO, która została niedawno przejęta przez inwestorów amerykańskich. Oprogramowanie kosztuje 20 000 USD za telefon i jest uważane za jeden z najbardziej zaawansowanych narzędzi szpiegowskich na świecie.[^1]

YubiKey to uniwersalne urządzenie bezpieczeństwa, które może znacznie zwiększyć ochronę systemu Linux. Ten przewodnik przedstawia wszystkie aspekty konfiguracji YubiKey na Fedora, od podstawowej instalacji po zaawansowane scenariusze użytkowania.

Niniejszy raport przedstawia kompletną, zautomatyzowaną architekturę służącą do:

• wykonywania testów penetracyjnych typu SAST, DAST i IAST,
• ciągłego skanowania logów w celu wczesnego wykrywania ataków i anomalii,
• integracji obu procesów z pipeline’em CI/CD, tak aby bezpieczeństwo aplikacji było kontrolowane przy każdym commicie i wdrożeniu.

Już we wstępie warto podkreślić dwie główne korzyści omawianego rozwiązania: skrócenie czasu wykrycia podatności do minut zamiast tygodni [^1][^2] oraz radykalne ograniczenie kosztów reagowania dzięki automatycznym akcjom typu “block & alert” [^3].