В Dota у каждого героя есть ослик-курьер, который таскает предметы с базы на линию. Перехватили курьера — предметы ушли врагу. Подсунули тебе курьера с бомбой вместо посылки — ты не сразу поймёшь, что что-то не так (да, такого не бывает, метафора). Supply chain примерно про это. Ты хочешь быть уверен, что до тебя добежал твой курьер и что в посылке лежит то, что ты заказывал.Read more

В «Сталкере» ты идёшь по Зоне и замечаешь впереди странную рябь воздуха. На первый взгляд ничего особенного, обычная земля. Но пока ты не проверил участок, ты не знаешь, что там. Может, безопасное место. А может, «жарка», которая сожжёт за секунду, или «трамплин», который подбросит в небо. Иногда рядом лежит ценный артефакт, ради которого стоило рискнуть. Сканирование кода и зависимостей работает так же. Код выглядит нормально, приложение собирается, тесты проходят. Но это не значит, что внутри нет уязвимостей, случайно оставленных токенов или небезопасных настроек.Read more

В Minecraft есть крипер. Пока он снаружи, забор работает отлично. Но если крипер уже внутри, а у тебя одна большая комната, деваться особо некуда. Микросегментация — это внутренние стены между комнатами. Смысл не в том, чтобы запретить всё подряд, а в том, чтобы каждый сервис общался только с теми, кто ему действительно нужен.Read more

В Minecraft есть кожаная, железная, золотая и алмазная броня. Долгое время алмазная была топом, пока не появилась незеритовая. И вот нюанс: незеритовую нельзя скрафтить с нуля. Берёшь готовую алмазную броню, идёшь к столу кузнеца, находишь шаблон улучшения в бастионе, добываешь древние обломки в аду — и только потом собираешь всё вместе. С харденингом похожая история. Не нужно переписывать систему с нуля. Берёшь то, что уже работает, проверяешь настройки, закрываешь лишнее и оставляешь только то, что действительно нужно. Read more

В Minecraft есть обычный сундук и эндер-сундук. Обычный стоит у тебя на базе: нашли базу, нашли координаты, выгребли всё. Эндер-сундук привязан к игроку: даже если базу найдут или тебя убьют, содержимое останется с тобой.

С секретами в DevSecOps то же самое. Kubernetes Secret, .env-файл, переменная в CI — обычные сундуки: любой с доступом к кластеру, репозиторию или пайплайну их откроет. Vault, Deckhouse Stronghold, StarVault — эндер-сундуки: централизованное хранилище с ролями, аудитом каждого чтения и ротацией. А Gitleaks — проверка перед выходом из дома: не оставил ли ты координаты базы на табличке у двери.Read more

Люди, которые только входят в DevSecOps, обычно теряются. Открываешь список направлений: секреты, харденинг, микросегментация, сканирование, supply chain, Policy as Code, runtime, управление уязвимостями. Непонятно, за что хвататься. Инструментов ещё больше, и кажется, что надо освоить всё сразу.Read more