В программе лояльности

Безопасность веб-приложений. Исчерпывающий гид для начинающих разработчиков

Янка Таня

Код товара: 4983587
(0 оценок)Оценить
ОтзывНаписать отзыв
ВопросЗадать вопрос
1 / 4
PDF
Нет в наличии
Доставим в
г. Москва
Курьером
Л-Пост
бесплатно от 10 000 ₽
В пункт выдачи
от 155 ₽
бесплатно от 10 000 ₽
Точная стоимость доставки рассчитывается при оформлении заказа
Издательство:
Оригинальное название:
Alice and Bob Learn Application Security
Год издания:
2023 г.
Переводчик:

Отмечено тегами

Описание

Характеристики

Исчерпывающее руководство по безопасности программного обеспечения.

Поддерживать безопасность своих продуктов — одна из первостепенных задач любой современной IT-компании. В этой книге вы найдете пошаговые инструкции по тому, как спроектировать безопасную архитектуру веб-сайтов и приложений и защищать ее на всех этапах производства и реализации. Более того, автор даст ответы на самые распространенные вопросы об информационной безопасности и расскажет о лучших практиках гигантов технологической индустрии, например, Microsoft и Google.

Для кого эта книга:
• специалисты по информационной безопасности;
• практикующие разработчики программного обеспечения;
• инженеры приложений;
• руководители IT-проектов;
• специалисты по тестированию.

Таня Янка, также известная как SheHacksPurple — основательница сообщества и онлайн-академии We Hack Purple, цель которых — научить разработчиков создавать безопасное программное обеспечение. Таня занимается программированием и работает в сфере информационных технологий более 20 лет, в ее послужной список входят такие технологические корпорации, как Microsoft, Adobe и Nokia.
количество томов
1
количество страниц
464 стр.
переплет
Твёрдый переплёт
размеры
220x145x26 мм
цвет
Чёрный
тип бумаги
офсетная (60-220 г/м2)
ISBN
978-5-04-171803-9
возрастная категория
18+ (нет данных)
вес
код в Майшоп
4983587
язык
русский

Содержание

Об авторе
О технических редакторах
Благодарности
Предисловие
Введение
Сдвиг влево
О книге
Темы, выходящие за рамки книги
Ответы
ЧАСТЬ I
ВСЕ, ЧТО НУЖНО ЗНАТЬ О КОДЕ, БЕЗОПАСНОМ
ДЛЯ ПУБЛИКАЦИИ В ИНТЕРНЕТЕ
Глава 1. Основы безопасности
Обязательство по обеспечению безопасности:
"CIA"
Конфиденциальность
Целостность
Доступность
"Предполагать взлом"
Внутренние угрозы
Глубокая защита
Принцип наименьших привилегий
Безопасность цепи поставок
Безопасность через неясность
Уменьшение поверхности атаки
Жесткое кодирование
"Никогда не доверяй, всегда проверяй"
Удобство и безопасность
Факторы аутентификации
Упражнения
Глава 2. Требования безопасности
Требования
Шифрование
Никогда нельзя доверять входному потоку
системы
Кодирование и экранирование
Сторонние компоненты
Заголовки безопасности: ремни безопасности
для веб-приложений
Заголовки безопасности на практике
Х-XSS-Protection
Content-Security-Policy (CSP)
X-Frame-Options
X-Content-Type-Options
Referrer-Policy
Strict-Transport-Security (HSTS)
Feature-Policy
X-Permitted-Cross-Domain-Policies
Expect-CT
Public Key Pinning Extension for HTTP (HPKP)
Обеспечение безопасности файлов cookies
Флаг Secure
Флаг HTTPOnly
Для постоянных cookies
Domain
Path
Same-site
Cookie с префиксом
Политика конфиденциальности
Классификация данных
Пароли, хранилище и другие важные решения,
касающиеся обеспечения безопасности
HTTPS повсюду
Настройки TLS
Комментарии
Резервное копирование и восстановление
Элементы безопасности платформы
Технический долг = Долг безопасности
Загрузка файлов
Ошибки и их регистрация
Проверка и санитизация вводимых значений
Авторизация и аутентификация
Параметризированные запросы
Параметры URL
Принцип наименьших привилегий
Чек-лист требований
Упражнения
Глава 3. Безопасность при проектировании ПО
Ошибка проектирования и дефект безопасности
Позднее обнаружение ошибки проектирования
Сдвиг влево
Концепции проектирования безопасного ПО
Защита конфиденциальных данных
"Никогда не доверяй, всегда проверяй"
и "Предполагать взлом"
Резервное копирование и откат
Валидация на стороне сервера
Функции безопасности платформы
Изоляция функций безопасности
Разделение приложения
Управление секретами приложения
Повторная аутентификация при транзакционных
операциях (предотвращение CSRF-атаки)
Разделение производственных данных
Защита исходного кода
Моделирование угроз
Упражнения
Глава 4. Безопасность кода ПО
Выбор используемой платформы и языка
программирования
Пример 1
Пример 2
Пример 3
Языки программирования и платформы: правило
Сомнительные данные
HTTP-глаголы
Идентификация
Управление сессиями
Проверка границ
Аутентификация (AuthN)
Авторизация (AuthZ)
Обработка, регистрация и мониторинг ошибок
Правила работы с ошибками
Регистрация
Мониторинг
Упражнения
Глава 5
Часто встречающиеся подводные камни
OWASP
Ранее не упомянутые средства защиты и
уязвимости ....
Межсайтовая подделка запроса (CSRF)
Подделка запросов со стороны сервера (SSRF)
Десериализация
Состояние гонки
Заключительные комментарии
Упражнения
ЧАСТЬ II
КАК НАПИСАТЬ БЕЗУПРЕЧНЫЙ КОД
Глава 6. Тестирование и развертывание
Тестирование кода
Обзор кода
Статическое тестирование безопасности
приложений (SAST)
Анализ состава программного обеспечения (SCA)
Модульное тестирование
Инфраструктура как код (IaC) и безопасность
как код (SaC)
Тестирование приложения
Ручное тестирование
Браузеры
Инструменты разработчика
Веб-прокси
Фаззинг
Динамическое тестирование безопасности
приложений (DAST)
Инфраструктура
Пользовательские приложения
Оценка уязвимости, оценка безопасности,
пентестирование
Гигиена безопасности
Стресс-тестирование и тестирование
производительности
Интеграционное тестирование
Интерактивное тестирование безопасности
приложений
Регрессионное тестирование
Тестирование инфраструктуры
Тестирование базы данных
Тестирование API и веб-серверов
Тестирование интеграций
Тестирование сети
Развертывание
Редактирование кода на сервере в реальном
времени
Публикация из среды IDE
"Самодельные" системы развертывания
Ранбуки
Непрерывная интеграция, непрерывная поставка,
непрерывное развертывание
Упражнения
Глава 7. Программы безопасности приложений
Задачи программы по защите приложения
Создание и поддержка реестра приложения
Техническая возможность обнаружения
уязвимостей
в написанном, выполняемом и стороннем коде
Знания и ресурсы, необходимые для исправления
уязвимостей
Образование и справочные материалы
Предоставление разработчикам инструментов
по обеспечению безопасности приложений
Проведение одного или нескольких мероприятий по
обеспечению безопасности на каждом этапе
жизненного цикла разработки системы
Внедрение полезных и эффективных инструментов
Команда реагирования на инциденты, которая
знает,
когда вам звонить
Постоянное совершенствование программы на
основе показателей, экспериментов
и обратной связи
Метрики
Экспериментирование
Обратная связь от всех и каждой из
заинтересованных сторон
Особое замечание о DevOps и Agile
Деятельность по обеспечению безопасности
приложений
Инструменты по обеспечению безопасности
приложений
Ваша программа безопасности приложения
Упражнения
Глава 8. Обеспечение безопасности современных
систем и приложений
API и микросервисы
Онлайн-хранилище
Контейнеры и оркестровка
Бессерверные приложения
Инфраструктура как код (IaC)
Безопасность как код (SaC)
Платформа как услуга (PaaS)
Инфраструктура как услуга (IaaS)
Непрерывные интеграция, поставка
и развертывание
Dev(Sec)Ops
DevSecOps
Облако
Облачные вычисления
Ориентированность на облако
Безопасность облачно-ориентированной среды
Облачные потоки
Современные инструменты
Интерактивное тестирование безопасности
приложений IAST
Запуск защиты приложений
Контроль целостности файлов
Инструменты контроля приложений (Список
одобренного программного обеспечения)
Инструменты безопасности,
созданные для конвейеров DevOps
Инструменты инвентаризации приложений
Автоматизация политики наименьших привилегий
и других
Современные тактические приемы
В итоге
Упражнения
ЧАСТЬ III
ПОЛЕЗНАЯ ИНФОРМАЦИЯ О ТОМ,
КАК ПОСТОЯННО ПИСАТЬ КОД ОЧЕНЬ ВЫСОКОГО
КАЧЕСТВА
Глава 9. Полезные привычки
Управление паролями
Отмена правил сложности пароля
Использование менеджера паролей
Парольные фразы
Отказ от повторного использования паролей
Отказ от ротации паролей
Многофакторная аутентификация
Реагирование на инциденты
Пожарные учения
Непрерывное сканирование
Технический долг
Инвентаризация
Другие полезные привычки
Политики
Загрузки и устройства
Блокировка рабочей техники
Приватность
Итоги
Упражнения
Глава 10. Непрерывное обучение
Что изучать
Нападение = защита
Не забывайте о "гибких навыках"
Лидерство != менеджмент
Варианты обучения
Действия, которые можно выполнять
самостоятельно
Действия, которые можно выполнять на работе
(или о чем можно попросить начальника)
Действия, которые можно выполнять
в отношении своих сотрудников
Подотчетность
Составление плана
Действуйте
Упражнения
Учебный план
Глава 11. Заключение
Вопросы, оставшиеся без ответа
Когда можно говорить о достаточности
предпринятых мер по обеспечению
безопасности?
Как привлечь руководство к обеспечению
безопасности?
Как привлечь разработчиков
к обеспечению безопасности?
С чего начать?
Откуда брать помощь?
Заключение
Приложение А. Источники
Приложение Б. Ответы
Предметный указатель

Отзывы

Вопросы

Поделитесь своим мнением об этом товаре с другими покупателями — будьте первыми!

Дарим бонусы за отзывы!

За какие отзывы можно получить бонусы?
  • За уникальные, информативные отзывы, прошедшие модерацию
Как получить больше бонусов за отзыв?
  • Публикуйте фото или видео к отзыву
  • Пишите отзывы на товары с меткой "Бонусы за отзыв"
Правила начисления бонусов
Задайте вопрос, чтобы узнать больше о товаре
Если вы обнаружили ошибку в описании товара «Безопасность веб-приложений. Исчерпывающий гид для начинающих разработчиков» (авторы: Янка Таня), то выделите её мышкой и нажмите Ctrl+Enter. Спасибо, что помогаете нам стать лучше!
Ваш населённый пункт:
г. Москва
Выбор населённого пункта