Разработка безопасного ПО

Бакалавриат 2025/2026

Статус: Курс по выбору (Программная инженерия)

Кто читает: Департамент программной инженерии

Когда читается: 3-й курс, 1, 2 модуль

Охват аудитории: для своего кампуса

Преподаватели: Бураков Даниил Игоревич, Силаев Юрий Владимирович

Язык: русский

Контактные часы: 56

Дополнительные материалы в LMS Задать вопрос

Аннотация

Дисциплина «Разработка безопасного ПО» формирует у студентов сквозные навыки: от основ информационной безопасности в программной инженерии и постановки требований безопасности до DevOps-процессов (Git, Docker, CI/CD) и интеграции DevSecOps-контролей (SAST/DAST/Deps/Secrets, SBOM, контейнерная и IaC-безопасность, логи и алёрты). По итогам курса студенты создают рабочий репозиторий учебного приложения с моделью угроз, настроенным конвейером сборки/тестов, автоматизированными сканами и базовыми практиками реагирования.

Цель освоения дисциплины

Сформировать у студентов системное понимание и практические умения проектировать, разрабатывать и сопровождать программные системы с заданным уровнем безопасности, интегрируя требования ИБ и автоматизированные контрольные меры в стандартный DevOps-процесс

Планируемые результаты обучения

Формулировать требования безопасности (NFR) и выполнять моделирование угроз: строить контекст/DFD, применять STRIDE, составлять регистр угроз и мер с критериями приёмки.
Настраивать базовый DevOps-процесс: организовывать ветвление в Git, собирать приложение в Docker (multi-stage), поднимать reproducible окружение и настраивать CI/CD с автотестами и артефактами.
Реализовывать безопасное кодирование: вводная валидация/канонизация, защита от XSS/SQLi/десериализации; AuthN/AuthZ (OIDC/JWT, роли), покрытие модулей тестами не ниже оговорённого порога.
Автоматизировать DevSecOps-контроли: подключать SAST, secret-scan, dependency-скан с SBOM; запускать DAST для API; интерпретировать отчёты и вносить фикс-коммиты/MR с обоснованием по рискам.
Укреплять контейнеры и инфраструктуру как код: non-root, минимальные образы, ограничение capabilities, скан образов (Trivy), проверка IaC-политик (Checkov); добиваться отсутствия High/Critical-находок.
Организовывать наблюдаемость и реагирование: включать структурные логи, задавать правила оповещений, проводить краткий пост-мортем и документировать решения по рискам.