AppSecFest2026
Әзірлеу, DevSecOps және қауіпсіздік нақты кейстерде, тәжірибелерде және ішкі шабуылдарда тоғысатын жер
2026 несімен есте қалды
Нақты осалдықтарды талқылап, шабуылдарды тікелей көрсетеміз.
Инфрақұрылымыңа шабуылдаушының көзімен қара.
Қауіпсіздікті CI/CD-ге енгізу және AI-модельдерді қорғау.
Әзірлеушілердің, қауіпсіздік мамандарының және CTO-лардың кездесу орны.
13 спикер
Күн қалай өтті
-
9:00–10:00Тіркеу және қарсы алу кофе-брейгі
-
10:00–10:03Құттықтау сөзСъездбек Темирбеков, AST Cyber Lab CEO
-
10:03–10:05Бас серіктес DerScanner сөзіАйдана Дербекова, DerScanner компаниясының AppSec Triage & CodeFix Engineer
-
10:05–10:30VibeCoding-тен Enterprise-деңгейдегі Specification-Driven Development-ке: есепке алу, бақылау және басқаруАлександр Тютин, Semrush (Adobe) компаниясының DevSecOps маманы
Толығырақ
AI-assisted және Specification-Driven Development өмірімізге берік енді, олардың айналасында жүздеген компания пайда болды. Мұны қалай масштабталатын және басқарылатын етуге болады? Спикер өнімді іске қосу тәжірибесімен бөлісіп, әзірлеу мен басқаруды ISO IEC 42001:2023 және басқа фреймворктар тұрғысынан қарастырады, Responsible AI қағидаттарына ерекше назар аударады.
-
10:30–10:55Bugbounty: Hack. Earn. Repeat — баг-хантерлерге арналған, баг-хантерлер жасаған тәуелсіз алаң құру тәжірибемізДаурен Базарбеков және Олег Юрченко, RTEAM
-
10:55–11:25Кофе-брейк
-
11:25–11:55The DevSecOps Backbone: Centralizing Security Workflows in HashiCorp VaultАдам Брезнен, IBM
Толығырақ
HashiCorp Vault қарапайым кілттер қоймасынан қалай шығып, қауіпсіздіктің өмірлік циклін басқаратын толыққанды платформаға айналатыны туралы сессия: динамикалық тіркелгі деректері, сертификаттарды автоматты басқару және деректерді орталықтандырылған шифрлау.
-
11:55–12:25The Post-Cookie WebСергей Белов, Freedom Holding Corp.
Толығырақ
Device-bound sessions, FedCM, WebAuthn L3, and the new browser primitives hardening the session layer.
-
12:25–12:55Prompt-to-Prod: вайбкодинг кезінде осалдықтар жасамау жолыСветлана Газизова
Толығырақ
ЖИ кодты жеткізу жылдамдығын қалай өзгерткенін және классикалық AppSec-тәсілдердің нейрожелілерге неге ілесе алмайтынын талқылаймыз. «Қауіпсіздік галлюцинацияларын» қарастырамыз: ЖИ жұмыс істейтін, бірақ тесігі көп шешім ұсынған кезде (ескі кітапханалар, SQL-инъекциялар, қауіпсіз емес архитектуралар). Қауіпсіз промпт жазуды көрсетіп, әр әзірлеушіге пайдалы кеңестер мен қауіпсіз сұраулар тізімін құрамыз.
-
12:55–14:00Түскі ас және белсенділіктер!
-
14:00–14:35What Open Source Malware Does Today?Кэмерон Таунсенд, Sonatype компаниясының Principal Architect
Толығырақ
Open source malware дамуы туралы өзекті бақылаулар және бағдарламалық қамтамасыз етуді жеткізу тізбегін қорғау қазіргі әзірлеу мен қауіпсіздік командалары үшін неге аса маңызды болып отырғаны.
-
14:35–15:10Running an International Bug Bounty: lessons from our first year in productionКарина Абакова, Beeline Kazakhstan компаниясының Head of Product Security
Толығырақ
Bug bounty іске қосу — тек платформа емес, процестердің, командалардың және инфрақұрылымның нақты шабуылдарға дайындығы. Халықаралық бағдарламаны қалай іске қосқанымызды, қандай қиындықтарға тап болғанымызды және бірінші жыл ішінде нені өзгерткенімізді айтамын: практикалық қорытындылар, метрикалар және бірнеше көрнекі кейс.
-
15:10–15:45Продакшен шахтасындағы канарейкаАрнур Нуров, ірі финтех-корпорациядағы тимлид
Толығырақ
Ірі компанияда канареялық деплойментті қалай енгізу және метрикалар жинауды автоматтандыру.
-
15:45–16:15Кофе-брейк және нетворкинг
-
16:15–16:45Аз ресурспен AppSec: шектеулі мүмкіндіктермен киберқорғанысты қалай құруға болады?Михаил Маркевич, киберқауіпсіздік бойынша тәуелсіз сарапшы және ментор
Толығырақ
Әлемдік статистика бойынша ірі компанияларда 75–100 әзірлеушіге бір AppSec-инженер келеді, оның тек 40%-ында ғана қажетті дағдылар бар. Кадр, уақыт және бюджет тапшы жағдайда ең аз қауіпсіз әзірлеуді іс жүзінде қалай ұйымдастыруға болады.
-
16:45–17:10Құпияларды басқару: Vault енгізу және өз клиентімізАрсений Савин, техникалық архитектор және әзірлеуші, ONAY!
Толығырақ
SSDLC аясында қауіпсіз әзірлеу контурын (Dev/Stage/Prod) қалай құрғанымыз және құпияларды ретсіз сақтаудан HashiCorp Vault арқылы орталықтандырылған басқаруға қалай көшкеніміз. Өз клиентіміз не үшін қажет болды, шешімді CI-ды өзгертпей қалай енгіздік және жолда қандай қателіктер жібердік.
-
17:10–17:355G желілерінің қауіпсіздігіЖаркынай Есполова, Huawei
Толығырақ
Мобильді желілерге жасалатын заманауи шабуылдар және 5G осалдықтары, сондай-ақ қауіпсіздік парадоксы: beamforming сияқты технологиялық жақсартулар жаңа шабуыл векторларын қалай ашуы мүмкін. Нақты кейстер және шешу тәсілдері.
-
17:35–17:45Kahoot-викторина
-
17:45–17:55Kahoot жеңімпаздарын марапаттау және конференцияның жабылуы
Практика және тірі пікірталас
This workshop explores the practical automation of internal and external certificates using HashiCorp Vault. Participants will learn how to implement native and ACME-based workflows to manage certificate lifecycles seamlessly across both legacy VM environments and modern Kubernetes platforms.
Тынығып, қауіпсіздік туралы әдетте тек әріптестердің тар шеңберінде ғана айтылатындай сөйлесуге мүмкіндік: AppSec, DevSecOps, инженерлік мәдениет, процестер, сәтсіздіктер, табыстар — ресми форматқа сирек сыятын бәрі. Кестесіз және регламентсіз — әңгіме қауымдастық бағыттаған жаққа қарай өрбиді.
Өзіңді хакер ретінде сынап көр
OpenCTF — Mimicats Team командасымен бірлесіп
mimicats командасының ашық CTF жарысы — ақпараттық қауіпсіздіктің нақты тапсырмаларында дағдыларыңды шыңда. Бірегей формат, барынша көп практика, теория жоқ — тек сен және сынақ.
! Тек өз ноутбугыңмен қатысу!
Шығарылым серіктестері
