DevSecOps怎么样?
DevSecOps:定义
Les principes et Les pratiques DevSecOps sont parallèles à cex de DevOps traditionnel, avec des équipes intégrées et multidisciplinary aires, travaillant ensemble pour permettre uneLivraison logicielle继续sécurisée．Le cycle de vie du développement DevSecOps est un process répétitif qui begin par l ' écriture de code par un développeur, Le déclenchement d ' un build, Le déploiement du package logiciel dans un environment de production et sa surveillance pour détecter les problèmes identifiés dans Le runtime。Mais en plus de cela, il inclut la sécurité à chacune de ces étapes。
Les meilleures pratiques DevSecOps doivent garantir que la sécurité facit party intégrante du cycle de vie du développement logiciel。程序répète à新措施fonctionnalités sont développées漏洞问题corrigés。倒développer et publier + rapidement, et mener à bien leurs projets, les développeurs s'appuient sur des logiciels开源。L ' application modern typque est composée jusqu ' à 90% de logiciels开源。Cela a le potential d ' introduction les éléments suivants dans une组织:
- Failles de sécurité
- Problèmes de conformité des许可证
关于我们之间的关系développeurs关于我们之间的关系，我们之间的关系，我们之间的关系。La sécurité et La conformité constituent donc une party essential du processus DevSecOps。
Il existelementun ratio de 200:5:1 entre les développeurs et les opérations et les agents de sécurité。Cela signifie que tout problème de sécurité identifié par unOutil d 'analyse des vulnérabilités de sécuritéDoit être examiné par une très娇小équipe de sécurité， qui peut même ne pas disposer de toutes les connaissances techniques nécessaires。系数可能de reduire ce违抗en se deplacant更les装备de开发署et d 'exploitation en les rendant并非对安全负责的de la et de la公司等在traitant la安全炸药+合计在突起SDLC。
Il est mettre en euuvre l 'identification problèmes de sécurité + tôt dans le pipeline CI/CD, ainsi que d 'automatiser les politiques de sécurité et de conformité dans le cycle de vie du développement logiciel (SDLC)， plutôt que d 'utiliser des procesmanuels。De plus, les organizations qui laissent la secendehors De DevOps peuvent être confrontées à des problèmes De sécurité et De conformité à un stade plus rapproché De leur publication, ce qui entraîne des coûts supplémentaires liés à la résolution De ces problèmes。
蛙x光GRATUITEMENTEt analysez les vulnérabilités de sécurité
Demarrer Gratuitement
文化DevSecOps
Une culture DevSecOps est Une culture dans laquelle chacun assume ses responsabilités en matière de sécurité et se l’适当。En s ' appuyant sur les meilleures pratiques de DevOps, chque équipe de développement doit désigner un champion de la sécurité qui dirigera les processus et les actions de sécurité et de conformité au sein de l ' équipe, afin de maximiser la sécurité du logiciel livré。
La nature de DevOps consistent à automatiser autant que possible, afin d'éviter les erreurs humaines et de créer des portes automatisées pour éviter que du code不稳定ne pénètre dans La production。En substance, le code présentant une vulnérabilité de sécurité ou une许可证不符合是不稳定的。
普林西比岛DevSecOps
《发展行动与组织协议导论》nécessitent《文化变革与组织协议》opérationnels。公告，les suivants: formation, outtils et resources en matière de sécurité。Voici quelques概念效用倒réussir la过渡dans votre文化组织。
JFrog x射线遇见la sécurité à la portée de main du développeur, en fournissant des information sur les vulnérabilités de sécurité concernant les dépendances utilisées dans le code。
JFrog x射线peut être intégré à n ' import quel server CI pour mettre en échec les builds si des failles de sécurité ou des违规de conformité de许可证开源sont détectées dans des artifact ou des dépendances de build。
DevSecOps peut être automatisé dans votre管道，créant ainsi une叠加抽象de sécurité。
OutilsDevSecOps
Il existusieurs familles d 'outils de sécurité et de conformité pour traiter différents aspect du SDLC。Il s 'agit notamment des éléments suivants: Analyse Statique du Code (SAST，静态代码分析)，Analyse de la Composition Logicielle (SCA，软件组合分析)等différentes methods pour tester le Code à la recherche de vulnérabilités (DAST et IAST)。在外面，il存在des outtils destinés à监工et à protéger vos fichiers binaires dans les环境生产控制攻击和剥削投票人代码ou les vulnérabilités de votre环境。Idéalement, les équipes doivent viser à adopter tous ces domaines pour une sécurité SDLC complète。
静态应用程序安全测试Peuvent vous aider à identifier les vulnérabilités dans votre propre code propriétaire。Les développeurs doivent connaître et utiliser Les outils SAST en tant que party automatisée de leur procsus de développement。Cela aidera à détecter et à corriger les vulnérabilités potentielles dès le début du cycle DevOps。
逻辑成分分析(SCA)Englobe la gestion et la surveillance de la conformité des licence et des vulnérabilités de sécurité dans les composants开源don dépend votre代码。Il est primitive de savoir quels composants OSS sont utilisés et quelles sont leurs dépendances。Après avoir identifié les composants开源，les outils SCAtels que JFrog x射线fourniront des信息有关许可证和indiqueront s 'il存在des vulnérabilités de sécurité connues associées à ces合成。Les outils SCA avancés offrent des fonctionnalités d 'application des stratégies, empêchant le téléchargement de fichiers binaires, la mise en échec de builds et la notification d ' aures systèmes。
测试动态和交互sécurité应用程序(DAST et IAST)测试接口exposées de l 'application en courd 'exécution， à la recherche de vulnérabilités et de fail illes。Alors que DAST considère l 'application comme une boîte noire, IAST利用une instrumentation qui associe des techniques de test de sécurité d 'application dynamique (DAST) et de test de sécurité d 'analyse statique (SAST) pour augmenter la précision des tests de sécurité des applications。
Les outils deSécurité d'exécution du conteneur监视les竞争者dans leur环境d 'exécution。Ces outtils offrent différentes capacités, notamement un par -feu à différents niveaux, l 'identification des异常basées sur l 'analyse comportementale et plus encore。
Meilleures pratiques pour DevSecOps
- 前les équipes de développement au développement de代码sécurisé
- 幸存者problèmes de sécurité de la même manière que les problèmes logiciels
- Sécurité en tant que code, Sécurité Intégrée
- Intégrer les contrôles de sécurité dans le pipeline de développement logiciel
- Automatiser les tests de sécurité dans le process sus de build
- Détecter les vulnérabilités connues dans l 'ensemble du pipeline
- 监工la sécurité en生产
- 注射un échec pour s ' assureque la sécurité est renforcée
来源:网络安全的神圣与罪恶本质——约翰·威利斯@botchagalupe
《DevOps手册》，Gene Kim, Patrick Debois, John Willis, Jez Humble
Analysez Vos图片
Essayez JFrog DevSecOps工具dès维护者!
Exécutez une analyze de sécurité GRATUITE de vos图像!
