Շերտ 05 · Ավտոմատացում · Նախագիծ կամ բաժանորդագրություն
DevSecOps՝ անվտանգություն commit-ից մինչև արտադրություն
DevSecOps-ն այն է, թե ինչպես է «ԷՍ ԹԻ ՓԻ»-ն անվտանգությունը դարձնում մատուցման և շահագործման մաս, այլ ոչ թե վերջում արվող վերանայում՝ ստուգումներն աշխատում են CI/CD pipeline-ում յուրաքանչյուր փոփոխության վրա, թողարկումները ստորագրվում և ստուգվում են գործարկվելուց առաջ, ենթակառուցվածքի և Kubernetes-ի քաղաքականությունները կիրառվում են որպես կոդ, գաղտնիքները կառավարվում են կենտրոնացված, իսկ արտադրությունը թողարկումից հետո հետևվում է նոր խոցելիությունների և սխալ կոնֆիգուրացիայի համար։
Ակնարկ
Նախագծի վերջում վերանայման սպասող անվտանգությունը խնդիրները գտնում է այն ժամանակ, երբ դրանք ուղղելն ամենաթանկն է, և գտնում է միայն մեկ անգամ։ Ծրագրային ապահովումը փոխվում է ամեն շաբաթ, վերանայումը՝ ոչ։
DevSecOps-ը ստուգումները դնում է այնտեղ, որտեղ տեղի է ունենում փոփոխությունը։ Pipeline-ը յուրաքանչյուր փոփոխության վրա սկանավորում է կոդը, կախվածությունները, ենթակառուցվածքը՝ որպես կոդ, և կոնտեյներային image-ները, իսկ յուրաքանչյուր թողարկում ստորագրվում է, որպեսզի կլաստերը կարողանա ստուգել, որ աշխատողը հենց այն է, ինչ կառուցվել և թեստավորվել է։ Ենթակառուցվածքի և Kubernetes-ի քաղաքականությունները գրվում են որպես կոդ, վերանայվում են կոդի պես և կիրառվում ավտոմատ։
Այն շարունակվում է թողարկումից հետո։ Արտադրությունը սկանավորվում է նոր խոցելիությունների համար այն ծրագրերում, որոնք մաքուր էին թողարկման պահին, կոնֆիգուրացիայի շեղումը հայտնաբերվում է, և խնդիրները վերադառնում են կոդի տեր թիմին՝ առաջնահերթությամբ և պատասխանատուով, այլ ոչ թե մի հաշվետվության մեջ, որը ոչ ոք չի կարդում։
Այն միավորում է մեր DevOps և Անվտանգ SDLC աշխատանքը մեկ ուղու մեջ՝ DevOps-ը փոփոխությունը դարձնում է առօրյա, Անվտանգ SDLC-ն խնդիրները տեղափոխում է ծրագրավորողի մոտ, իսկ DevSecOps-ը commit-ից մինչև արտադրություն ամբողջը պահում է պաշտպանված և դիտարկվող։
Ինչ է ներառված
- Առկա CI/CD pipeline-ների և դրանք փոխելու իրավունք ունեցողների անվտանգության վերանայում
- Pipeline-ի ամրապնդում՝ նվազագույն արտոնություններով runner-ներ, պաշտպանված ճյուղեր, վերանայված փոփոխություններ
- Կոդի, կախվածությունների, IaC-ի և կոնտեյներային image-ների սկանավորում յուրաքանչյուր փոփոխության վրա
- Աշխատող հավելվածի դինամիկ թեստավորում pipeline-ում
- SBOM-ի ստեղծում և թողարկումների ստորագրում՝ ստուգված տեղակայումից առաջ
- Policy-as-code ենթակառուցվածքի և Kubernetes admission-ի համար
- Գաղտնիքների կենտրոնացված կառավարում՝ կոդից և pipeline-ներից դուրս
- Խոցելիությունների շարունակական կառավարում արտադրության մեջ
- Կոնֆիգուրացիայի շեղման և սխալ կարգավորումների հայտնաբերում
- Խնդիրների ուղղորդում տեր թիմին՝ առաջնահերթությամբ
- Արտադրական միջավայրերի անվտանգության մոնիթորինգ և ազդանշաններ
- Գիտելիքի փոխանցում, որպեսզի Ձեր թիմը վարի այս պրակտիկան
Ինչ եք ստանում
- Յուրաքանչյուր փոփոխություն ստուգված նույն վերահսկողություններով, ավտոմատ
- Արտադրության մեջ աշխատում են միայն ստորագրված, ստուգված թողարկումներ
- Աշխատող ծրագրերի խոցելիությունները գտնված են և ունեն տեր, այլ ոչ թե թողնված հարձակվողին
Տեխնոլոգիաներ, որոնցով մատուցում ենք
- Trivy
- SAST
- DAST
- OWASP ASVS
- Terraform
- GitHub Actions
- Argo CD
- Kubernetes
Նշված են՝ նկարագրելու համար, թե ինչով ենք աշխատում։ Սա գործընկերության, հավանության կամ հավաստագրման հայտարարություն չէ։
Հարցեր
- Ի՞նչ է DevSecOps-ը։
- DevSecOps-ը անվտանգությունը DevOps-ի մեջ ներդնելու պրակտիկան է՝ անվտանգության ստուգումներն ավտոմատ աշխատում են մատուցման pipeline-ում յուրաքանչյուր փոփոխության վրա, քաղաքականությունները կիրառվում են որպես կոդ, իսկ արտադրությունը հետևվում է նոր խոցելիությունների և սխալ կոնֆիգուրացիայի համար, որպեսզի անվտանգությունը համընթաց լինի ծրագրերի փոփոխման հաճախականությանը։
- Ինչո՞վ է DevSecOps-ը տարբերվում Անվտանգ SDLC-ից։
- Անվտանգ SDLC-ն կենտրոնանում է մշակման վրա՝ թերությունների հայտնաբերում կոդը գրելու և վերանայելու ընթացքում, և այդ կարգապահության տարածում AI գործառույթների վրա։ DevSecOps-ն ընդգրկում է ամբողջ ուղին դեպի արտադրություն և այն, ինչ աշխատում է այնտեղ՝ pipeline-ն ինքնին, ստորագրված թողարկումները, քաղաքականությունների կիրառումը, գաղտնիքները և խոցելիությունների շարունակական կառավարումը։ Թիմերի մեծ մասին պետք են երկուսն էլ, և մենք դրանք մատուցում ենք միասին։
- Անվտանգության ստուգումները կդանդաղեցնե՞ն մեր թողարկումները։
- Չպետք է։ Ստուգումներն աշխատում են pipeline-ում զուգահեռ, շեմերը սահմանվում են այնպես, որ թողարկումն արգելափակեն միայն այն խնդիրները, որոնք դրան արժանի են, իսկ մնացածը հետևվում են պատասխանատուով։ Անընդհատ արգելափակող ստուգումն անջատվում է, ուստի շեմերի կարգավորումն աշխատանքի մաս է։
Ստանդարտներ և աղբյուրներ
Խոսեք ինժեների հետ՝ DevSecOps՝ անվտանգություն commit-ից մինչև արտադրություն
Կենդանի մասնագետը Ձեզ հետ կապ է հաստատում մեկ ժամվա ընթացքում։