Слепая зона AppSec: как проверять безопасность кода 1С
Бесплатный онлайн-вебинар для AppSec-инженеров и специалистов по информационной безопасности
Код 1С — вне периметра AppSec
Код 1С часто остается за пределами AppSec-процессов. Универсальные инструменты анализа не поддерживают встроенный язык 1С, а ручное ревью не успевает за объемом доработок. При этом код 1С обрабатывает персональные, финансовые и кадровые данные, а в нем самом нередко остаются ключи и пароли. Пишут его собственные команды и подрядчики.
Разберем, чем анализ кода 1С отличается от анализа других языков и почему универсальные инструменты его пропускают. В практической части просканируем тестовый код 1С в AppSec.Wave: покажем, какие уязвимости находятся и как их исправлять. В завершение расскажем, как выстроить регулярную проверку кода 1С в процессе безопасной разработки.
Кому будет полезно
AppSec-инженерам, которые хотят включить код 1С в периметр проверок.
Специалистам по ИБ в компаниях с собственной разработкой или доработками на 1С.
Руководителям и тимлидам 1С-разработки, отвечающим за качество и безопасность кода.
Что вы узнаете
Почему код 1С выпадает из AppSec-процессов и чем это грозит.
Чем анализ кода 1С отличается от анализа других языков и почему универсальные инструменты его пропускают.
Какие классы уязвимостей встречаются в коде 1С и как их исправлять — на примере тестового кода.
Как находить уязвимости системно и автоматизировать процесс.
Как встроить проверку кода 1С в CI/CD и приемку кода от подрядчиков.
Программа
Проблематика: почему код 1С — слепая зона
Масштаб разработки на 1С, ценность данных, источники рисков и ограничения привычных подходов к проверке.
Как устроен анализ кода 1С
Чем 1С отличается от других языков для SAST.
Демо: анализ кода 1С в AppSec.Wave
Сканирование тестового кода 1С, разбор находок, работа с ложными срабатываниями, встраивание проверки в пайплайн.
Как выстроить процесс проверки кода 1С
Когда сканировать, кто разбирает результаты и с чего начать.
Ответы на вопросы
Александр Заводовский
Руководитель продукта AppSec.Wave, AppSec Solutions
AppSec.Wave
SAST-анализатор нового поколения с силой ИИ.
Находит уязвимости в исходном коде с минимумом ложных срабатываний — быстро, гибко и в вашем закрытом контуре.