محققان آزمایشگاه تخصصی شرکت پالو آلتو ( Unit42 ) توانستند با یافتن دو تنظیم اشتباه در کلاد AWS آمازون در سایت مشتری ظرف یک هفته ، از شکست حفاظتی دهها میلیون دلاری احتمالی توسط هکر ها، جلوگیری کنند .

@roozbeh_learning
🔷شرکت امن گستران روزبه
❇️مجری امنیت کلاد ، با تنها دارند مدرک امنیت رایانش ابریCCSP در کشور
www.roozbehsecurity.com

#امنیت_ابر #امنیت_رایانش_ابری #امنیت_کلاد #امنیت_کلاود #شرکت_امن_گستران_روزبه #آکادمی_آموزش_روزبه #آکادمی_روزبه
#cloudsecurity #ccsp #aws #openstack

https://www.sdxcentral.com/articles/news/palo-alto-networks-hacks-aws-exposes-multi-million-dollar-misconfigurations/2020/10/?utm_campaign=website&utm_source=sendgrid&utm_medium=email

نمیخواهیم از آب گل آلود ماهی بگیریم
ولی درد دارد ....
که ۵ سال است میگی بیاین آموزش امنیت ابرCCSP
اما تا حالا یکنفر آموزش ندیده!!
حتی استاد دارای مدرک رسمی هم داریم

این میشه که ابرآروان و آسیاتک اینطور میروند روی هوا

حتی نمیدونن چقدر هر کدام تقصیر دارند
و این وسطه ، مشتریانشون بیچاره !!

سرفصل دوره رسمی امنیت کلاد 👇
https://www.isc2.org/Certifications/CCSP

09902857289 واتس اپ و تلفن
www.roozbeh.academy

لینک خبر وقوع حادثه و توضیحات آسیاتک
https://lnkd.in/dyr9qeY
#cybersecurity #infosec #ccsp #cloudsecurity
#exploit
تصویر فوق: توییت مسوولان ابرآروان

🚨چهار سال پیش هشدار دادیم که امنیت ابر را جدی بگیرید
ولی
😔کسی گوش نکرد

⚠️این بار نگذارید حادثه باز تکرار شود

✳️اصولی کار کنیم

🔰ارایه دوره استاندارد امنیت ابر
🏮با تنها دارنده مدرک رسمی امنیت ابر در کشور
عضو هیات علمی آکادمی روزبه

🕹مدارک صادره با لوگوی افتا
www.roozbeh.academy
021 860 340 75
0990 285 72 89

#ccsp #cloud #cloudcomputing #cloudsecurity

⁉️سوال بزرگ : چرا بر اساس علم کار نمیکنیم ؟
چرا هر فناوری به کشور میاوریم به امنیت آن بی توجهیم ؟

مقوله DevSecOps؛ امنیت به‌عنوان بخشی از فرایند توسعه

بحث DevSecOps رویکردی است که امنیت را از یک کنترل نهایی، به مسئولیتی مشترک در سراسر چرخه توسعه نرم‌افزار تبدیل می‌کند. در روش سنتی، تیم امنیت معمولاً پس از تکمیل محصول وارد عمل می‌شود؛ زمانی که اصلاح آسیب‌پذیری‌ها پرهزینه، دشوار و گاهی غیرممکن است. در DevSecOps، کنترل‌های امنیتی از مرحله طراحی و کدنویسی آغاز می‌شوند و تا استقرار و بهره‌برداری ادامه می‌یابند.

در این رویکرد، Pipeline می‌تواند به‌صورت خودکار کد، کتابخانه‌ها، Container Image، تنظیمات زیرساخت و Secretها را ارزیابی کند. ابزارهایی مانند SAST، DAST، SCA، IaC Scanning و Secret Scanning به شناسایی زودهنگام ضعف‌ها کمک می‌کنند؛ اما DevSecOps صرفاً مجموعه‌ای از ابزارها نیست. فرهنگ همکاری میان توسعه‌دهندگان، تیم عملیات و متخصصان امنیت، هسته اصلی آن را تشکیل می‌دهد.

یکی از نقاط حساس، اجرای کد متعلق به Pull Requestهای تأییدنشده است. چنین کدی نباید در محیطی اجرا شود که به Token، Cloud Credential، Registry یا Runnerهای عملیاتی دسترسی دارد. تفکیک Pipelineهای غیرقابل‌اعتماد، اعمال Least Privilege، استفاده از Runnerهای موقت و فعال‌سازی Approval پیش از Deployment از کنترل‌های ضروری هستند.

هدف DevSecOps متوقف‌کردن توسعه نیست؛ بلکه تولید نرم‌افزار امن‌تر با سرعتی پایدار است. امنیت زمانی مؤثر خواهد بود که در معماری، کد، Pipeline و عملیات روزانه حضور داشته باشد، نه اینکه فقط پیش از انتشار بررسی شود.



#DevSecOps #DevOps #CyberSecurity #ApplicationSecurity #SecureCoding #SoftwareSecurity #CICD #SecurityAutomation #ShiftLeftSecurity #CloudSecurity #PipelineSecurity #SupplyChainSecurity #SAST #DAST #SCA #امنیت_سایبری #امنیت_نرم_افزار #توسعه_امن #مهندسی_امنیت #آکادمی_روزبه