Перейти к основному содержимому

О разделе

Подраздел 8.12 собирает темы, которые в 2025–2026 регулярно встречаются в вакансиях, аудитах и реальных инцидентах, но раньше были размазаны по разным главам. Здесь — концепции и практические ориентиры; углублённые практикумы — в 8.13–8.16.

Предварительные знания

Пройдите "Основы инфраструктуры", базу DevOps и информационной безопасности (ИБ). Без этого абстрактными покажутся термины CI (непрерывная интеграция), K8s (Kubernetes), OWASP (Open Web Application Security Project).

Зачем отдельный подраздел 8.12​

Инфраструктура и безопасность меняются быстрее, чем классические учебники. Темы вроде supply chain (цепочка поставок ПО), Passkeys (ключи доступа WebAuthn), GitOps и Platform Engineering (инженерия внутренних платформ) сегодня звучат на собеседованиях и в отчётах аудиторов. Подраздел 8.12 даёт единую точку входа без необходимости искать их по всему разделу 8.

Маршрут по статьям​

№СтатьяТемаКому в первую очередь
1Supply chain и SBOMЗависимости, образы, атаки на цепочку поставокРазработчик, инженер
2Passkeys и WebAuthnВход без пароля для веба и APIРазработчик
3DevSecOpsSAST, secret scan, policy в CIРазработчик, инженер, AppSec
4GitOpsArgo CD, Flux, декларативный деплойИнженер
5Облачные сервисы в РФYandex Cloud, VK Cloud, SelectelИнженер, архитектор
6Platform EngineeringIDP, golden paths, self-serviceИнженер, тимлид
7Безопасность ИИ в инфраструктуреАгенты, MCP, секреты в промптахРазработчик, ИБ
8OIDC и OAuth для разработчика"Войти через Google", scopes, PKCEРазработчик
9API GatewayKong, nginx, rate limit, mTLSИнженер, архитектор
10Secure SDLC — маршрут для командыThreat modeling, ASVS, релизные gatesAppSec, тимлид
11Фишинг — учебная симуляцияБезопасный учебный фишинг в командеИБ, HR

Рекомендуемые траектории чтения​

Траектория "Безопасная доставка" (2–3 недели)​

  1. Supply chain и SBOM
  2. DevSecOps
  3. Secure SDLC
  4. Практикум GitHub Actions с secret scan

Подходит инженерам и разработчикам, которые отвечают за CI/CD.

Траектория "Современный вход пользователя" (1 неделя)​

  1. OIDC и OAuth
  2. Passkeys и WebAuthn
  3. Аутентификация 8.07/116

Подходит backend- и fullstack-разработчикам.

Траектория "Платформа и эксплуатация" (1 месяц)​

  1. GitOps → практикум 8.13
  2. Platform Engineering
  3. API Gateway
  4. Облака РФ — при работе с локальными провайдерами

Практикумы после теории​

ПрактикумЧто закрепляет из 8.12
GitOps 8.13GitOps, декларативный деплой, K8s
Vault 8.14Секреты, DevSecOps, policy
DR 8.15RTO/RPO, устойчивость
FinOps 8.16Стоимость облака, Platform Engineering

Закрепление теории: итоги, чек-лист.

Связь с инцидентами и стандартами​

Тема 8.12Реальный контекст
Supply chainКомпрометация npm-пакетов, подмена GitHub Actions, SolarWinds
DevSecOpsТребования PCI DSS, SOC 2, внутренние аудиты
PasskeysСнижение фишинга паролей, рекомендации FIDO Alliance
GitOpsЕдиный источник правды при росте числа микросервисов
Secure SDLCOWASP ASVS, threat modeling

Подробности по каждой теме — в соответствующих статьях.

Смежные разделы​

РазделСвязь с 8.12
Контейнеризация 8.06Образы, registry, K8s — основа supply chain и GitOps
Микросервисы 8.05API Gateway, интеграции
Зависимости 4.09npm, pip, Maven — вход supply chain
Основы инфраструктуры 8.00Карта раздела 8 перед углублением

Краткий словарь подраздела​

ТерминРасшифровка
SBOMSoftware Bill of Materials — список компонентов сборки
SASTStatic Application Security Testing — анализ кода без запуска
DASTDynamic Application Security Testing — тесты на работающем приложении
WebAuthnВеб-стандарт аутентификации с криптографическими ключами
OIDCOpenID Connect — слой идентификации поверх OAuth 2.0
IDPInternal Developer Platform — внутренняя платформа для разработчиков
mTLSMutual TLS — взаимная проверка сертификатов клиента и сервера
ASVSApplication Security Verification Standard от OWASP

Чек-лист перед стартом 8.12​

  • Прочитана глава "Основы инфраструктуры"
  • Понятны CI/CD и разница dev/staging/prod (8.04)
  • Знакомы CIA и OWASP Top 10 (8.07/1)
  • Выбрана траектория — "доставка", "вход" или "платформа"
  • Есть pet-проект или учебный репозиторий для экспериментов

Типичные вопросы​

"С чего начать, если времени мало?"​

Три статьи с максимальной отдачей для большинства команд:

  1. Supply chain
  2. DevSecOps
  3. OIDC и OAuth или Passkeys — по профилю задачи

"Нужен ли Kubernetes для 8.12?"​

Для Passkeys и OAuth — нет. Для GitOps, API Gateway и части DevSecOps — желательно базовое знакомство с 8.06.

"Где искать готовые рецепты CI?"​

lab/Примеры/1134 — GitHub Actions; 8.04/16 — обзор инструментов.

OWASP и внешние стандарты в 8.12​

РесурсТема в подразделе
OWASP Top 10База перед DevSecOps
OWASP ASVSSecure SDLC
OWASP SCVSSupply chain
NIST SSDFПроцессы безопасной разработки

Связь статей 8.12 с практикумами — матрица​

Статья 8.12ПрактикумНавык
GitOps8.13Argo CD, K8s
DevSecOps + Supply chainlab/1134GitHub Actions
DevSecOps8.14 VaultСекреты
OIDC8.08 RESTJWT, API auth
Облака РФ8.16 FinOpsСтоимость

Индекс статей 8.12 — одной таблицей​

№ФайлКлючевые слова для поиска
1Supply chainSBOM, npm, Docker, cosign, Trivy
2PasskeysWebAuthn, FIDO2, биометрия
3DevSecOpsSAST, gitleaks, policy
4GitOpsArgo CD, Flux, declarative
5Облака РФYandex, VK Cloud, Selectel
6Platform EngineeringIDP, golden path
7ИИ в инфраструктуреMCP, агенты, промпты
8OIDC OAuthGoogle login, PKCE, scopes
9API GatewayKong, rate limit, mTLS
10Secure SDLCASVS, threat model
11Фишинг учебныйсимуляция, awareness

Рекомендуемый порядок чтения за 4 недели​

НеделяСтатьиПрактика
1intro, 1 Supply chain, 3 DevSecOpsgitleaks + npm audit в pet-репо
28 OIDC, 2 PasskeysOAuth login или WebAuthn demo
34 GitOps, 9 API Gateway8.13 практикум
410 Secure SDLC, 5 Облака РФ, 6 Platformитоги, чек-лист

Кейсы из практики — как темы 8.12 помогают в инцидентах​

Кейс 1. Утечка npm-токена в публичном репозитории​

Ситуация. Разработчик случайно закоммитил .npmrc с токеном публикации. Репозиторий открытый, боты нашли ключ за минуты.

Какие статьи 8.12 закрывают пробел:

  • DevSecOps — pre-commit и gitleaks на PR
  • Supply chain — ротация токена, audit npm-пакетов на подмену
  • Secure SDLC — onboarding "где хранить секреты"

Урок. Один красный gate в CI дешевле, чем отзыв пакетов и расследование.

Кейс 2. Фишинг пароля администратора SaaS​

Ситуация. Админ ввёл пароль на поддельной странице. Аккаунт скомпрометирован, злоумышленник сменил billing и API keys.

Связанные материалы:

Урок. Passkeys для привилегированных ролей снижают классический фишинг пароля.

Кейс 3. Critical CVE в Log4j в пятницу вечером​

Ситуация. Вышел CVE для Log4j. Без SBOM команда три дня вручную искала вхождения в сотнях сервисов.

Связанные материалы:

  • Supply chain — SBOM, trivy, playbook реагирования
  • DevSecOps — SLA на critical, waivers с expiry

Урок. SBOM сокращает поиск уязвимых компонентов с недель до часов. Документ полезен при инциденте и для аудита.

Кейс 4. Ручной деплой обошёл security gate​

Ситуация. Инженер задеплоил образ с :latest в prod, минуя CI. На staging gate был зелёный, в prod попала уязвимая версия базового слоя.

Связанные материалы:

  • GitOps — единый источник правды, sync только из Git
  • DevSecOps — policy-as-code, запрет :latest
  • API Gateway — mTLS между сервисами как компенсирующая мера

Урок. GitOps и policy в кластере закрывают обход пайплайна руками.

Расширенный словарь подраздела​

ТерминРасшифровкаГде углубиться
Supply chainЦепочка от кода до prod — deps, CI, образы, registry1.md
SBOMSoftware Bill of Materials — список компонентов сборки1.md
SASTStatic Application Security Testing — анализ кода без запуска3.md
DASTDynamic Application Security Testing — тесты на работающем приложении3.md
SCASoftware Composition Analysis — уязвимости в зависимостях1.md, 3.md
WebAuthnВеб-стандарт аутентификации с криптографическими ключами2.md
PasskeyКлюч доступа FIDO2/WebAuthn — вход без пароля по сети2.md
OIDCOpenID Connect — слой идентификации поверх OAuth 2.08.md
PKCEProof Key for Code Exchange — защита OAuth для SPA и мобильных8.md
GitOpsДеплой из Git как единственный источник правды4.md
IDPInternal Developer Platform — внутренняя платформа для разработчиков6.md
Golden pathРекомендуемый шаблон "как правильно" для типовой задачи6.md
mTLSMutual TLS — взаимная проверка сертификатов клиента и сервера9.md
ASVSApplication Security Verification Standard от OWASP10.md
WaiverФормальное исключение из security gate с owner и сроком3.md
Shift-leftПеренос проверок безопасности ближе к написанию кода3.md
MCPModel Context Protocol — протокол подключения инструментов к LLM7.md
FinOpsУправление стоимостью облака8.16 FinOps

Что делать если — типичные ситуации​

Security gate в CI красный, релиз завтра​

  1. Откройте лог job — secret scan, SAST или dependency scan.
  2. Если true positive — исправьте или обновите зависимость; emergency merge только с AppSec approval.
  3. Если false positive — waiver с ticket, owner, expiry 30 дней — см. DevSecOps.
  4. Задокументируйте в post-mortem, если gate обошли — Secure SDLC.

Нужно быстро внедрить "Войти через Google"​

  1. Прочитайте OIDC и OAuth — scopes, PKCE, хранение refresh token.
  2. Не смешивайте OAuth и собственные пароли без плана recovery.
  3. Для B2C рассмотрите Passkeys после первого OAuth-входа.

Команда просит Kubernetes, но опыта мало​

  1. Сначала GitOps и 8.06 контейнеризация.
  2. Практикум 8.13 GitOps на minikube или kind.
  3. Platform Engineering — golden path вместо "каждый сам пишет Helm".

Аудитор спрашивает SBOM и подпись образов​

  1. Supply chain — CycloneDX, Trivy, cosign.
  2. DevSecOps — gates в CI, audit log деплоев.
  3. Матрица compliance — таблица в 3.md "Compliance mapping".

Разработчики игнорируют алерты Semgrep​

  1. Triage — DevSecOps, weekly review.
  2. Lunch & learn с разбором одного finding.
  3. Сократите правила до p/ci на старте, добавляйте кастом постепенно.

Расширенный FAQ​

"Можно ли пройти 8.12 без облака?"​

Да. Passkeys, OAuth, DevSecOps и supply chain работают на локальном pet-проекте и GitHub Actions. Облака РФ (5.md) — опционально для локального рынка.

"8.12 для frontend или только backend?"​

Обе стороны. Passkeys и OAuth — frontend + backend. SAST и secret scan — весь репозиторий. API Gateway — backend и инфра.

"Сколько времени на одну статью?"​

Ориентир 45–90 минут чтения + 1–2 часа практики на pet-проект. Supply chain и DevSecOps — с практикой до полного дня.

"Есть ли пересечение с 8.07 ИБ?"​

Да. 8.07 даёт теорию CIA, OWASP Top 10, криптографию. 8.12 — прикладные практики 2025–2026. Читайте 8.07/1 перед 8.12.

"Нужен ли AppSec-специалист в команде?"​

На старте достаточно инженера с DevSecOps и чек-листом. AppSec консультант полезен для threat modeling (10.md) и triage на масштабе.

"Как связаны 8.12 и практикумы 8.13–8.16?"​

8.12 — концепции и ориентиры. 8.13–8.16 — hands-on с Vault, GitOps, DR, FinOps. Матрица выше в разделе "Связь статей 8.12 с практикумами".

"Что читать после завершения всех 11 статей?"​

Итоги 998, чек-лист 999, затем углубление по роли — Platform Engineering для платформенных инженеров, Secure SDLC для тимлидов.

Карта компетенций по ролям​

РольОбязательно из 8.12ЖелательноПрактикум
Junior backend1, 3, 82 Passkeyslab/1134
Frontend2, 83 DevSecOpsWebAuthn demo
DevOps / SRE1, 3, 4 GitOps9 Gateway, 6 Platform8.13
Архитектор9, 6, 5 облака10 SDLC8.16 FinOps
AppSec3, 10, 17 ИИ, 11 фишингThreat model workshop
Тимлид10, 6 Platform3, 11Secure SDLC roadmap

Внешние ссылки — быстрый указатель​

ТемаРесурс
OWASP Top 10https://owasp.org/www-project-top-ten/
OWASP ASVShttps://owasp.org/www-project-application-security-verification-standard/
OWASP SCVShttps://owasp.org/www-project-software-component-verification-standard/
NIST SSDFhttps://csrc.nist.gov/Projects/ssdf
FIDO / passkeyshttps://fidoalliance.org/
passkeys.devhttps://passkeys.dev/
SLSAhttps://slsa.dev/
CycloneDXhttps://cyclonedx.org/
OWASP DevSecOpshttps://owasp.org/www-project-devsecops-guideline/
CISA SolarWindshttps://www.cisa.gov/solarwinds

Дальше​

Последнее обновление
Содержание