Безопасность разработки
Вы знаете, где лежат все секреты, какие зависимости тянут известные уязвимости и кто имеет право зайти на прод. Ответ на вопрос заказчика про безопасность разработки перестаёт быть импровизацией.
- Стоимость
- от 160 000 ₽
- Срок
- 3–5 недель
Скопировать адрес или текст обращения
ponomarev.prime@yandex.ru
Название услуги уже в сообщении. Дополните задачу и отправьте, когда будете готовы.
← Все услуги
QA и инженерные услугиЭто про вас, если
- Токены и пароли лежат в репозитории, в переменных CI или в закреплённом сообщении чата
- Доступ к боевой базе есть у всех разработчиков, потому что «иначе не отладить»
- Обновление зависимостей делается раз в год и превращается в отдельный проект
- Ушедший сотрудник или подрядчик до сих пор числится в организации на git-хостинге
- Крупный заказчик прислал анкету по безопасности разработки, и отвечать на неё нечем
- Никто не может сказать, какие ключи от облака существуют и когда их меняли
Чем это заканчивается
Секрет, попавший в репозиторий, считается утёкшим навсегда: он остаётся в истории и в форках, а публичные репозитории сканируются ботами в первые минуты после публикации. Уязвимость в транзитивной зависимости эксплуатируется массово, без выбора жертвы, — вас находят не потому, что искали. И третья, самая обыденная линия: общий доступ к проду означает, что после инцидента вы не сможете установить, чьими руками сделано изменение. Ни одна из этих трёх проблем не проявляется постепенно — они срабатывают целиком и сразу.
Как мы работаем
Что где лежит
Ищем секреты в репозиториях, включая историю коммитов, в переменных CI, в конфигурациях образов и в личных заметках команды. Составляем реестр: какой ключ, от чего, кто им пользуется, когда менялся.
Хранилище и ротация
Секреты переезжают в хранилище с доступом по ролям (Vault, secrets git-хостинга или облака), пайплайн получает их на время выполнения. Всё, что лежало в репозитории, ротируется — даже если коммит удалён. Дальше в CI встраивается проверка, не даёт ли новый коммит утечки.
Зависимости
Фиксация версий, автоматическая проверка на известные уязвимости в пайплайне, регулярное обновление мелкими шагами вместо ежегодного подвига. Отдельно договариваемся о правиле: какая критичность блокирует релиз, а какая идёт в очередь, — иначе проверка быстро превратится в шум, который отключают.
Доступ к прод-среде
Разграничение по ролям, персональные учётные записи вместо общих, второй фактор, доступ с подтверждением и сроком там, где нужен вход на боевые машины или в базу. Журнал сессий, по которому видно, кто и что делал.
Права в git и в облаке
Ревизия организаций, команд и токенов: кто состоит, у кого права на запись в основную ветку, какие ключи развёртывания живут годами. Уволенные и завершившие работу подрядчики убираются, процесс офбординга описывается.
Ответ заказчику
Готовим документ, которым можно отвечать на анкеты по безопасности от крупных клиентов: как устроены секреты, доступы, проверки и реакция на инцидент. Не сертификация, а честное описание того, что реально сделано.
Что остаётся у вас
- Реестр секретов и работающее хранилище, доступ по ролям
- Ротация всего, что лежало в репозитории, и проверка утечек в пайплайне
- Проверка зависимостей на уязвимости с согласованным правилом блокировки релиза
- Разграниченный доступ к прод-среде с журналом сессий
- Ревизия прав в git и облаке, описанный процесс офбординга
- Документ для ответа на анкеты по безопасности от заказчиков
Частые вопросы
Обсудим вашу задачу по этой услуге
Расскажите, что хотите запустить или улучшить и какие сложности нужно учесть. Подберём решение под ваши потребности, сроки и бюджет. Название услуги уже будет в черновике сообщения.
Личные встречи — в Москве и Санкт-Петербурге.
Форматы сотрудничества Трудовой договор по совместительству · ГПХ · Договор с ИП
Скопировать адрес или текст обращения
ponomarev.prime@yandex.ru
Откроется черновик сообщения — его можно дополнить перед отправкой.
Отвечаем в течение рабочего дня. Пн–Пт, 10:00–19:00 МСК.