От
KL FC Bot
Low code, no code, zero code и даже «зерокодинг» — это популярный класс бизнес-приложений, в которых задачи, традиционно требующие привлечения программистов, решаются самими бизнес-пользователями. Необходимая функциональность собирается из готовых шаблонов, интерфейс при необходимости рисуется в WYSIWYG-редакторе, логика работы описывается простыми схемами или очень короткими фрагментами кода. Со всем этим может справиться человек без специальной подготовки, достаточно уверенного владения компьютером. Благодаря low code время разработки простого мобильного приложения сокращается с полугода до пары недель, а промостраничку для интернет-магазина или новый отчет в системе можно сделать за пару часов.
Систем «без программирования» достаточно много: для разработки мобильных приложений есть Bubble, для конструирования сайтов — Webflow, для аналитики и работы с данными — Parabola и Airtable. Все эти системы помогают организациям снизить затраты на IT-обслуживание систем и быстрее развивать нужные бизнес-функции.
Разумеется, есть и подводные камни, а одним из самых серьезных являются киберриски. Их нужно минимизировать еще на этапе внедрения платформы low code, чтобы не подвергать данные и процессы организации значительной опасности. Вот о чем надо подумать.
Привилегированные учетные записи
Мини-приложение, разработанное вашими сотрудниками внутри платформы low code или no code, зачастую для работы должно иметь доступ к различным базам данных и вычислительным ресурсам. Оно часто выполняется с привилегиями сотрудника, создавшего приложение, и любой последующий пользователь (например, посетитель мини-сайта) выполняет действия с этим уровнем доступа. Отсюда прямой путь к атакам с повышением привилегий, причем понять, какой из посетителей совершил вредоносную активность, по логам будет проблематично.
Снижение рисков:
принцип наименьших привилегий для любых соединений с базами данных и API из системы no code;
отдельные учетные записи для работы мини-приложений (применение учетных данных пользователя, разработавшего приложение, недопустимо);
специальные меры протоколирования, позволяющие отследить реальных пользователей мини-приложения в моменты, когда оно делает запросы к базам данных и API.
Посмотреть полную статью
От xx3l
От rambee
От BurundukTat
От KL FC Bot
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти