2026-08-19. OTUS. Безопасный релиз на практике: SAST, SCA, контейнеры и security gates

Почему тема важна? Проверки безопасности часто подключают формально. Разберем, как встроить их в CI/CD, чтобы уязвимый код и образы не дошли до релиза. На открытом уроке разберем практический сценарий безопасного релиза: встроим автоматические проверки в CI/CD-пайплайн и посмотрим, как они влияют на решение о выпуске продукта. На примере Semgrep, OWASP Dependency-Check и Trivy проверим исходный код, сторонние зависимости и контейнерный образ. Разберём результаты сканирования и настроим security gates, которые смогут остановить pipeline при обнаружении критичных проблем. О чем поговорим - Разберем, на каких этапах CI/CD-пайплайна следует запускать SAST, SCA и проверку контейнерных образов. - Подключим Semgrep для анализа исходного кода, OWASP Dependency-Check для проверки зависимостей и Trivy для сканирования контейнеров. - Посмотрим, какие результаты выдают инструменты и как определить, какие находки действительно требуют реакции. - Настроим условия прохождения pipeline и security gates, блокирующие релиз при критичных уязвимостях. - Проверим весь сценарий на практике: от запуска автоматических проверок до остановки небезопасного релиза. Кому будет полезно DevOps- и SRE-инженерам, backend-разработчикам, специалистам AppSec и информационной безопасности, а также platform-инженерам, которые уже работают с CI/CD и хотят встроить автоматические проверки безопасности в процесс релиза. Преподаватель: Максим Чащин - директор по информационной безопасности (ГК «Девелоника»)...