DevSecOps и безопасность ит-инфраструктуры
20 лет в IT. Сейчас DevSecOps-инженер и архитектор ИБ в Positive Technologies.
Работал в госсекторе, банках, у интеграторов от трёх человек до федеральных, в юруслугах и оптовой торговле. Строил и держал разное: от инфраструктуры на пару стоек до облачных систем, которые нельзя останавливать.
Занимаюсь тем, чтобы компанию было дорого и долго ломать.
Смотрю на инфраструктуру глазами атакующего:
где лежат учётки с лишними правами,
что даёт lateral movement в домене,
как из CI/CD дотянуться до прода, что можно вытащить из артефактов и логов.
MITRE ATT&CK у меня рабочий инструмент, а не картинка в презентации: сначала техника атаки, потом контроль, который её закрывает, потом проверка, что контроль действительно работает.
Что делаю на практике:
Инфраструктура: hardening Kubernetes, Windows/AD/AD CS, Linux, OpenStack и облаков - атаки на PKI и центры сертификации, привилегированные учётки, escalation paths в домене.
AppSec и pipeline: безопасность GitLab CI, DAST,SAST/SCA, secrets management, supply chain и целостность артефактов, разделение прав между dev и prod, безопасность Nexus, Ceph, HAProxy.
Аудит и compliance: ФСТЭК, ГОСТ Р 57580, КИИ/ИСПДн, CIS Benchmarks — как приземлить требования на живую систему, ничего не сломав.
Автоматизация: Ansible, PowerShell, Terraform, Python.
В security я пришёл не с нуля, а с пятнадцатью годами эксплуатации за спиной. Это определяет подход: я не выдаю рекомендацию, которая положит сервис, и не закрываю задачу отчётом сканера. Меня интересует, что произойдёт с системой после того, как требование внедрят.
Рассказываю то, за что отвечал в проде и чем закрывал аудиты вместе с тем, что при этом ломалось и как чинилось.
Стеки и инструменты:
Помогает с запросами:
В сферах:
DevSecOps, Positive Technologies
2024 — настоящее время
DevSecOps, Сбер
2023 — 2024
SRE, КРОК
2023 — 2023