Безопасность приложений (AppSec).

Безопасность приложений охватывает всех людей, все процессы и инструменты, которые используются для того, чтобы ПО оставалось свободным от эксплуатируемых уязвимостей и было способно защищать себя в продуктивной среде. Она включает моделирование угроз, безопасное проектирование, стандарты безопасного кодирования, ревью кода, автоматизированное тестирование (SAST, DAST, IAST, SCA), гигиену зависимостей и средства защиты во время выполнения, такие как WAF и RASP. Команды AppSec работают вместе с инженерией, встраивая контроли безопасности в конвейеры CI/CD, чтобы уязвимости выявлялись на ранних этапах, когда их исправление обходится дешевле всего. Цель — не совершенство, а приемлемый риск: баланс между скоростью поставки, поверхностью атаки и влиянием возможной компрометации на бизнес.

Острую актуальность дисциплина приобрела из-за инцидентов, превративших единственный изъян в коде в массовую утечку. Компрометация Equifax в 2017 году, затронувшая около 147 миллионов записей, была вызвана неустранённой уязвимостью удалённого выполнения кода в Apache Struts (CVE-2017-5638) — это был провал в анализе состава ПО и управлении исправлениями. Затем Log4Shell (CVE-2021-44228, CVSS 10.0) показал, как одна библиотека логирования способна почти за одну ночь подвергнуть десятки тысяч организаций риску удалённого выполнения кода, превратив анализ состава ПО (SCA) и спецификацию состава ПО (SBOM) в вопросы уровня совета директоров. Современные программы расставляют приоритеты по находкам, опираясь на OWASP Top 10 (2021) и CWE Top 25, и всё чаще оценивают реальную эксплуатируемость с помощью EPSS и каталога CISA KEV, а не только по CVSS.

flowchart LR
  A[Моделирование угроз и безопасное проектирование] --> B[Безопасное кодирование]
  B --> C[SAST / SCA в CI]
  C --> D{Контроль пройден?}
  D -- Нет --> B
  D -- Да --> E[DAST в staging]
  E --> F[Развёртывание]
  F --> G[Среда выполнения: WAF / RASP]
  G --> H[Мониторинг и обратная связь]
  H --> A

Зрелый AppSec смещается влево ради дешёвых ранних исправлений, сохраняя при этом защиту во время выполнения, потому что ни один конвейер не отлавливает всё. Ключевые привычки: фиксировать и проверять зависимости, применять принцип наименьших привилегий, параметризовать запросы, проверять ввод и кодировать вывод, а также возвращать телеметрию из продакшена в следующий цикл моделирования угроз.