« לעמוד הראשי

כל הפוסטים בקטגוריה  ‘DevSecOps’

חדש: מדריך להגנה על שרשרת האספקה

אבטחת שרשרת האספקה (בתוכנה) היא לעתים קרובות מדי מחשבה שלאחר מעשה. עם זאת, התקפות מפורסמות שמקבלות התייחסות רבה, כמו אלו שבוצעו על SolarWinds ו-Colonial Pipeline, מתגלות יקרות מדי מכדי לדחות אותן לסוף תהליך הפיתוח. ממשלת ארה"ב, למשל, דורשת כעת מארגונים (באמצעות צו) שינהלו טוב יותר את שרשרת האספקה שלהם. האם אתם מוכנים להגנה? מצורף כאן […]

Live Webinar: Addressing the log4j Vulnerability in Containers

  מוזמנים לוובינר חי היום על זיהוי חולשות log4j בקונטיינרים. תהיה הקלטה והיא תחולק לנרשמים. לחולשות קריטיות מסוג zero-day יש נטיה להרוס חופשות וסופי שבוע … והשנה הכוכב התורן הוא log4j , המספק גישה קלה למערכות, ומשגע את כל חברות התוכנה כבר שבוע ויותר. מוזמנים לוובינר קצר (כ – 30 דקות) כדי לעזור לך להבין איך […]

SonarQube וחולשת Log4J

עדכון בנוגע לחולשת Log4J שהתגלתה בסוף השבוע האחרון ובהקשר ל- SonarQube: יצרן SonarQube כותב כאן שהמוצר עצמו לא עושה שימוש ישיר בספריה הנ"ל, כך שאין חשש לפגיעה ב- SonarQube בגירסאות האחרונות (9.2.1 ו- 8.9 ). יחד עם זאת, ב- SonarQube יש קריאה לרכיב של Elastic (ElasticSearch) שבעצמו קורא ל- log4j , כך שיתכן וכאן יש […]

אנו מייצגים את הפתרונות של חברת Venafi

לאחרונה התחלנו לייצג באופן רשמי את חברת Venafi בישראל וברחבי העולם. חברת Venafi מציעה אוסף פתרונות לניהול זהויות של התקשרויות בין מכונות, ובפרט מפתחות TLS ותעודות (certificates), מפתחות SSH, חתימה על תוכנות (code signing keys). פתרונות החברה מתממשקים עם כלים מובילים כגון HashiCorp Vault, F5, Check Point, Imperva, CyberArk, AWS, Gigamon, Gemalto, Akeyless and more […]

מחשבות ואפשרויות בעקבות הפריצות האחרונות לבסיסי נתונים

בשבוע האחרון היו דיווחים רבים על פריצות לאתרים רבים ("מכון מור", "אטרף" ועוד), בהם נגנב כל המידע מבסיסי הנתונים (שישבו באתר בצורה לא מאובטחת והכילו מידע פרטי ורגיש).  חשבתי לכתוב פוסט קצר על מה קרה שם ואיך ניתן היה למנוע זאת.   ע"פ הידוע, הפורצים השיגו גישה לשרת IIS של חברת האחסון, המכיל את כל […]

אנו מציעים שירות מנוהל ל- HashiCorp Vault

בסרטון הקצרצר הבא אנו מסבירים על השירות המנוהל שלנו ל – HashiCorp Vault . אנו מציעים שירות בהובלה שלנו, ע"י מומחה מוסמך (רשמית) ל- HashiCorp Vault עם נסיון של שנים רבות ב- security וב- Linux . אנחנו יודעים לתכנן סביבה, להקים אותה, לחבר לכל ה"צרכנים" ולתחזק אותה כולל אפשרות ל SLA . הסביבה שנוכל לנהל […]

חדש: אנו מציעים שירות מנוהל ל- HashiCorp Vault

בסרטון הקצרצר הבא (3 דקות) אנו מסבירים על השירות המנוהל שלנו ל – HashiCorp Vault . אנו מציעים שירות בהובלה שלנו, ע"י מומחה מוסמך (רשמית) ל- HashiCorp Vault עם נסיון של שנים רבות ב- security וב- Linux . אנחנו יודעים לתכנן סביבה, להקים אותה, לחבר לכל ה"צרכנים" ולתחזק אותה כולל אפשרות ל SLA . הסביבה […]

מה חדש ב- SonarQube 9.1 ?

מהדורה 9.1 של SonarQube יצאה השבוע, וזו היתה הזדמנות עבורנו להכין סיכום קצר המסכם את החידושים והעדכונים ב- SonarQube 9.1. מה חדש ב- SonarQube ? דו"ח PDF חדש ניתן כעת לקבל דו"ח ברמת הפרוייקט (כולל quality gates, security hotspot ועוד) ישירות למייל, כקובץ PDF . ניתן למשל לשלוח זאת אחת ליום לרשימת תפוצה. דו"ח Security […]

מהם האתגרים בפיתוח עצמי של יכולות Vault Enterprise ?

Vault Enterprise (וגם Vault Self managed ו- HCP Vault Cloud) נמצאים כיום בחוד החנית של טכנולוגיית ניהול הסודות (secret management). בוידאו כאן (שגם תרגמנו) מתראיין Andy Manoske, מנהל המוצר של Vault, ומסביר על חלק מהמורכבות של המוצר, על התחכום שבמוצר ועל "מאחורי הקלעים" שלו, וכן מה המשמעות אם רוצים לנסות לפתח לבד את היכולות שקיימות רק […]

עדכוני Sysdig – אוגוסט 2021

לפני כמה ימים אירחתי את עומר עזריה, VP R&D בחברת Sysdig, לשיחה קצרה ודי ספונטנית, אותה הקלטנו לבסוף (סה"כ 19 דקות). דיברנו על היכולות החדשות שנוספו לאחרונה ל- Sysdig, וכן על הרכישה של Apolicy . שיחה זו היא בהמשך לוובינר שהקלטתי עם עומר לפני מספר חודשים, בו דיבר על האתגרים באבטחה וניטור של containers ו- […]