AppSecFest2025

Чем запомнился 2025

22 спикера

Дэниел Чернов Генеральный директор
DerScanner Как провести Security Code Review и сохранить рассудок Алексей Федулаев Head of Cloud Native Security
Независимый эксперт All right, keep your secrets secure (Ладно уж, храни свои секреты безопасно) Денис Валяев Team Lead
АО «Центральный депозитарий ценных бумаг» Уровни безопасности финансового приложения: насколько глубока кроличья нора Светлана Газизова Директор по построению процессов безопасной разработки
Независимый эксперт AppSec'ов вызывают по второй линии! Или как обеспечить безопасность моделей машинного обучения? Валерия Ким Solutions Engineer Lead
DerScanner Как заставить ИИ работать на вашу безопасность Игорь Петров Руководитель спец. проектов, основатель отдела заботы
CodeScoring Тайны пакетных менеджеров. И где здесь про безопасность? Татьяна Коршикова Главный эксперт направления безопасности продуктов
Freedom Holding Corp. Исправляли и не исправили: как мутируют баги Иван Филько Application Security Engineer
Независимый эксперт Поэтапное внедрение SSDLC и подводные камни Екатерина Шевченко Lead Security Testing Engineer, Team Lead
Независимый эксперт Твой забытый EC2-инстанс — моя точка входа: как Red Team компрометирует облако Дмитрий Пак Начальник управления техподдержки ЦОД
АО «Казтелепорт» Эволюция инфраструктуры: от Colocation до Managed Kubernetes Темирлан Биржанов Senior QA Automation Engineer
Независимый эксперт UI тесты в действии: от сценария до стабильного запуска Расул Айтбаев Head of RedTeam
Freedom Holding Corp. Анатомия проникновения: DevSecOps глазами атакующего Адиль Нурманов Offensive Security Engineer
DataArt 1С за всех, все на 1С: как не стоит админить бухгалтерию Олег Юрченко (undefi) RedTeam Lead
RTEAM Host: oops.domain.internal — чит-код на пропуск в инфраструктуру Антон Михайлов Владелец продукта SASTAV
ITD Group Эволюция Application Security: правильной ли дорогой идём, товарищи? Soffian Osman Regional Sales Manager
Sonatype Balancing Innovation, Speed and Security with the Evolution of Artificial Intelligence Михаил Парфенов Application Security Architect
DPA Analytics Frontend Application Security Testing (FAST). Задачи подхода и место в DevSecOps/SSDLC Константин Мазуров IT директор
Technodom и Airba «Никогда не» или практическая безопасная backend-разработка Бакытжан Сейтказин Управляющий директор, CTO
Центральный депозитарий ценных бумаг Панельная сессия Sec Zone Ренат Туканов Chief Technology Officer
Freedom Holding Corp. Панельная сессия App Zone Никита Баев Head of Web & Mobile (Development)
Bereke Bank Панельная сессия App Zone Фарух Бакиев Head of DMP
Tele2 Панельная сессия App Zone

Как проходил день

1. 09:00–10:00
   Регистрация и приветственный кофе
2. 10:00–10:05
   Приветственное слово

   Съездбек Темирбеков, CEO в AST Cyber Lab
3. 10:05–10:40
   Как заставить ИИ работать на вашу безопасность

   Валерия Ким, DerScanner

   Подробнее

   Как понять, когда ИИ помогает, а когда создаёт риски? Какие новые угрозы он приносит в безопасность приложений и как использовать его с умом, чтобы повысить и эффективность команды, и уровень безопасности.

4. 10:40–11:05
   Тайны пакетных менеджеров. И где здесь про безопасность?

   Игорь Петров, CodeScoring

   Подробнее

   Базовые правила и принципы работы менеджеров пакетов в контексте композиционного анализа. Насколько разработчик действительно управляет тем, что собирает в продукт?

5. 11:05–11:30
   Эволюция Application Security: правильной ли дорогой идём, товарищи?

   Антон Михайлов, ITD Group

   Подробнее

   ASOC и ASPM как продолжение DevSecOps: насколько эффективно работают агрегирование и корреляция данных от разных инструментов и не превращается ли «снежный ком» из False Negative и False Positive в лавину.

6. 11:30–12:00
   Кофе-брейк
7. 12:00–13:00
   Панельная сессия: AppSec — всё, что вы хотели знать, но боялись спросить

   Алексей Федулаев, Бакытжан Сейтказин, Светлана Газизова, Татьяна Коршикова
8. 13:00–14:00
   Обед
9. 14:00–14:20
   Анатомия проникновения: DevSecOps глазами атакующего

   Расул Айтбаев, Freedom Holding Corp.

   Подробнее

   Как выглядит DevSecOps глазами атакующего — на примерах реальных инцидентов и типовых ошибок.

10. 14:20–14:55
    All right, keep your secrets secure

    Алексей Федулаев

    Подробнее

    Угрозы и атаки на компрометацию секретов, спасёт ли Vault, доставка секретов в k8s и влияние дизайна работы с секретами на безопасность приложения.

11. 14:55–15:15
    Host: oops.domain.internal — чит-код на пропуск в инфраструктуру

    Олег Юрченко, RTEAM

    Подробнее

    Как один внешний IP и заголовок Host открывают доступ к приватным сервисам.

12. 15:15–15:40
    Frontend Application Security Testing (FAST)

    Михаил Парфенов, DPA Analytics

    Подробнее

    Почему классические анализаторы не применимы для frontend-приложений и как защититься от Supply Chain-атак в js-библиотеках.

13. 15:40–16:10
    Кофе-брейк
14. 16:10–16:40
    Твой забытый EC2-инстанс — моя точка входа

    Екатерина Шевченко

    Подробнее

    Как атакующие находят забытые EC2-инстансы, извлекают AWS Access Keys и проводят разведку внутри облачного аккаунта — и как от этого защититься.

15. 16:40–17:10
    Поэтапное внедрение SSDLC и подводные камни

    Иван Филько

    Подробнее

    Почему Application Security начинается с документа, а не с покупки SAST.

16. 17:10–17:20
    Подведение итогов, вручение призов

1. 09:00–10:00
   Регистрация и приветственный кофе
2. 10:00–10:05
   Приветственное слово

   Тимур Шайхин, CTO в AST Cyber Lab
3. 10:05–10:40
   Как провести Security Code Review и сохранить рассудок

   Дэниел Чернов, DerScanner

   Подробнее

   Основные проблемы code review — от отсутствия стандартов до сложности поиска уязвимостей — и почему автоматизация так важна.

4. 10:40–11:05
   Уровни безопасности финансового приложения: насколько глубока кроличья нора

   Денис Валяев, ЦДЦБ

   Подробнее

   Система для торгов ценными бумагами за 9 месяцев силами 4 человек: как небольшими ресурсами соответствовать высоким требованиям к безопасности.

5. 11:05–11:25
   Эволюция инфраструктуры: от Colocation до Managed Kubernetes

   Дмитрий Пак, АО «Казтелепорт»

   Подробнее

   Переход бизнеса от физического оборудования к IaaS и Managed Kubernetes.

6. 11:25–11:55
   Кофе-брейк
7. 11:55–13:00
   Панельная сессия: Будущее разработки — как меняются роли Dev, DevOps и AI в создании ПО

   Ренат Туканов, Фарух Бакиев, Никита Баев
8. 13:00–14:00
   Обед
9. 14:00–14:25
   Balancing Innovation, Speed and Security with the Evolution of AI

   Soffian Osman, Sonatype

   Подробнее

   Balancing innovation, speed, and security in the evolution of AI is crucial for responsible and sustainable progress.

10. 14:25–14:55
    Исправляли и не исправили: как мутируют баги

    Татьяна Коршикова

    Подробнее

    Как из небольшой уязвимости-гусеницы получается уязвимость-бабочка, и почему инструменты не могут защитить от самого человека.

11. 14:55–15:20
    UI тесты в действии: от сценария до стабильного запуска

    Темирлан Биржанов

    Подробнее

    Архитектура, подходы и ошибки UI-автоматизации с живой демонстрацией.

12. 15:20–15:50
    Кофе-брейк
13. 15:50–16:25
    AppSec'ов вызывают по второй линии! Безопасность моделей машинного обучения

    Светлана Газизова

    Подробнее

    Основные угрозы этапа эксплуатации ML-моделей и алгоритмы защиты — как на пайплайн разработки, так и специфические для моделей.

14. 16:25–16:50
    1С за всех, все на 1С: как не стоит админить бухгалтерию

    Адиль Нурманов, DataArt

    Подробнее

    Первое погружение в безопасность 1С: клиент-сервер, кодирование vs шифрование и нестандартные сценарии внешних обработок.

15. 16:50–17:10
    «Никогда не» или практическая безопасная backend-разработка

    Константин Мазуров, Technodom и Airba

    Подробнее

    Частые ошибки безопасности Go-разработчиков на уровне бизнес-логики — по реальным кейсам из продакшена.

16. 17:10–17:20
    Подведение итогов, вручение призов (в Sec Zone)

Испытай себя в роли хакера

Партнёры выпуска

General

Gold

Silver

Bronze

Медиа и инфопартнёры