Выступление Катерины Трошиной на PDUG-треке в рамках форума PHDays VII 24 мая 2017 года.

1. Заголовок
ptsecurity.com
От экспериментального
программирования к
промышленному:
путь длиной в 10 лет
Ведущий эксперт по ИБ
Solar Security, к.ф.-м.н.
Катерина Трошина

2. Заголовок
• Разработка программного кода сегодня
• Лучшие мировые практики
• Наш процесс разработки ПО
• Сопровождение разработанного ПО
• Работать на себя
План

3. Заголовок
• На вход подается нечеткая постановка
задачи
• Нет технического задания
• Нет алгоритмов
• Есть нечеткое понимание
функциональности
• О требованиях защищенности вообще
никто не заботится
Экспериментальное программирование

4. Заголовок
• Декомпилятор
• Пассивный перехватчик трафика
• Анализатор кода
Наш опыт экспериментального программирования

5. ЗаголовокРазработка программного кода сегодня
разработчик
тестировщик
аналитик
Дружное трио:

6. Заголовок
• Начальник отдела разработки
• Коллектив
• Программный продукт
• Бизнес
Разработка программного кода сегодня

7. Заголовок
Кодиро
вание
$X
Сборка
$3X
Тестирование
и Безопасность
$10X
Эксплуатация
$100X
Обнаружение
дефектов
Повышение качества разработки

8. Заголовок
• Декомпилятор
• Неподдерживаемые языковые конструкции (таких оказалось много)
• Неполные спецификации микроконтроллеров
• Нехватка памяти (CFG – очень большой)
• Классические алгоритмы плохо масштабируются на реальные
приложения
• Результат
• используется как внутренний инструмент
• неотделим от разработчика
От экспериментального кода к промышленному

9. Заголовок
• Пассивный перехватчик трафика
• дефицит памяти
• перепутанные пакеты
• плохая стандартизация протоколов обмена
• разнообразная инфраструктура
• Результат
• проект занял времени и ресурсов в 2 раза больше планируемого
• потребовалось строгое административное вмешательство в процесс
разработки
• перехватчик внедрен в промышленную эксплуатацию
От экспериментального кода к промышленному

10. Заголовок
• Статический анализатор кода
• дефицит памяти
• много ложных срабатываний на реальных примерах
• сторонние компоненты не приспособлены для реальных приложений
• классические алгоритмы даже адаптированные не работают
• Результат
• Дополнительные исследования по обновленным требованиям
• Есть промышленный результат
От экспериментального кода к промышленному

11. ЗаголовокРазделяй и властвуй
аналитик
разработчик
тестировщик

12. ЗаголовокНаш пример: разработка
Кодиро
вание
$X
Сборка
$3X
Тестирование
и Безопасность
$10X
Эксплуатация
$100X
Обнаружение
дефектов
3 независимые группы:
• Аналитика
• Разработка
• Тестирование

13. ЗаголовокАнализ кода
ИС анализа кода
разработчик
тестировщик

14. Заголовок
• Статический анализ кода
• Динамический анализ кода
• Анализ кода времени
выполнения
Повышение качества разработки
Кодиро
вание
Сборка Тестирование
и Безопасность
Запуск
Система
управления
проектами
Среда
разработки
Система
контроля
версий и
сборки
анализ кода

15. ЗаголовокНаш пример: разработка
Кодиро
вание
$X
Сборка
$3X
Тестирование
и Безопасность
$10X
Эксплуатация
$100X
Обнаружение
дефектов

16. ЗаголовокМотивация
аналитик
разработчик
тестировщик

17. ЗаголовокНаш пример: сопровождение
разработчик

18. Заголовок
Мы добились эффективной разработки:
• Разделили аналитику, разработку и тестирование
• Грамотно внедрили анализ кода
• Разработали прозрачные мотивационные программы для
сотрудников
Заключение

19. Заголовок
ptsecurity.com
Спасибо!
Спасибо!