帮助从代码到边缘交付安全的软件更新。
您已被重定向到JFrog网站
DevSecOps ?
DevSecOps【中文】
DevSecOpsの原則およびプラクティスを従来のDevOpsの原則およびプラクティスと並行させることにより,統合された学際的チームが協力して,継続的なソフトウェアデリバリ【中文译文】DevSecOps開発ライフサイクルは、開発者がコードを書くことから始まって、ビルドをトリガーし、ソフトウェアパッケージを本番環境にデプロイし、実行時に識別される問題を監視するという反復プロセスですが、これらの各段階にセキュリティが含まれます。
DevSecOpsのベストプラクティスでは,確実にセキュリティがソフトウェア開発ライフサイクルの不可欠な部分となる必要があります。。開発とリリースを迅速化するために,開発者はプロジェクトを完成させる点でオープンソースソフトウェアに依存しています。典型的な最新のアプリケーションは,最大90パーセントがオープンソースソフトウェアで構成されています。中文:中文:。
- 【中文】
- ライセンスコンプライアンスの問題
。。
【中文译文】，。つまり,セキュリティ脆弱性スキャンツールによって特定されたセキュリティの問題は,技術的な知識が不足している可能性がある非常に少人数のセキュリティチームがレビューしなければならないということです。この課題は,開発者チームと運用チームがセキュリティとコンプライアンスの責任も担い,SDLCプロセスの早い段階にセキュリティを移行することで軽減できます。
CI / CDパイプラインの早い段階でセキュリティ問題の特定を実装し,手動プロセスを使用するのではなく,ソフトウェア開発ライフサイクル(SDLC)でセキュリティおよびコンプライアンスのポリシーを自動化することが重要です。さらに,セキュリティ(Sec)をDevOpsから除外している組織は,リリース間際にセキュリティとコンプライアンスの問題に直面し,そのような問題を修正するための追加コストが発生する可能性があります。
JFrog x射线無料で開始し,セキュリティ脆弱性をスキャンする
你说得对
DevSecOpsカルチャ
。德vOpsのベストプラクティスと融合させるため、各開発チームは、提供されるソフトウェアのセキュリティを最大限に高めることを目的として、チーム内のセキュリティとコンプライアンスのプロセスとアクションを主導するセキュリティチャンピオンを割り当てるべきです。
DevOpsの本質は,人為的エラーを防ぐために可能な限り自動化し,不安定なコードが本番環境に入るのを防ぐ自動化されたゲートを作成することです。本来,セキュリティ脆弱性または非準拠のライセンス。
DevSecOps原則
組織にDevSecOpsを導入して実装するには,文化的および運用上の変化が必要です。。★★★★★★★★★★★★★★★★★★★★★★★★
セキュリティチャンピオン
これらのチームメンバーは,全体的なセキュリティの側面について責任を担い,それらがDevOps。。
- 【翻译】。
- 【翻译】。
qa。
- (最后)。(最后)
プロセスの不可欠な部分としてのセキュリティ
DevSecOpsのプラクティスでは,ソフトウェアが本番環境にリリースされる直前ではなく,SLDCの一部としてセキュリティが必要です。これは,開発者がセキュリティスキャンをビルドプロセスとIDE環境に統合して,脆弱な依存関係を特定することを意味します。
簡単にアクセスできるデータ
。【翻译】ideを使用すると,開発者がすでに使用しているツールにセキュリティデータを直接取り込むことができるため,簡単に採用できます。開発者がコードを書くときにセキュリティの問題を回避する方法について,開発者向けのベストプラクティスをご紹介します。
JFrog x光は,コードで使用されている依存関係に関するセキュリティの脆弱性情報を提供することにより,開発者がセキュリティをすぐに確保できるようにします。
自動化されたガバナンス
コードレビューなどの手動チェックに加えて,セキュリティチェックポイントをDevOpsパイプラインの各フェーズに分散させ,ソフトウェアが次のフェーズに進むことができるかどうかを判断できます。ガバナンスシステムは,企業のポリシーを自動的に適用し,それに応じて介入なしに次のようなアクションを実行できます。
- セキュリティ違反またはコンプライアンス違反の通知(メール,松弛,インスタントメッセージ,Jiraなど)
- ダウンロードのブロック
- 脆弱なコンポーネントに依存する,またはライセンスポリシーに準拠していないビルドの失敗
- 脆弱なリリースバンドルのデプロイの防止
JFrog x光を任意のCIサーバーと統合して,ビルドのアーティファクトまたは依存関係にセキュリティ脆弱性またはオープンソースライセンスのコンプライアンス違反が見つかった場合にビルドを失敗させることができます。
。
DevSecOpsツール
SDLCのさまざまな側面に対処するため,セキュリティおよびコンプライアンスのツールにはいくつかのファミリがあります。これには,静的コード分析(科协)ソフトウェア構成分析(SCA),および脆弱性についてコードをテストするための異なるアプローチ(DASTおよびIAST)が含まれます。さらに,コードや環境の脆弱性を悪用する攻撃から本番環境のバイナリを監視および保護することを目的としたツールもあります。理想的には,チームは完全なSDLCセキュリティを確保するためにこれらすべての領域を採用することを目指すべきです。
静的アプリケーションセキュリティテスト(科协)。開発者は、開発プロセスの自動化部分と認識してSASTツールを使用する必要があります。これにより、DevOpsサイクルの早い段階で潜在的な脆弱性を検出して修正することができます。
【翻译】には,コードが依存するオープンソースコンポーネントでのライセンスコンプライアンスとセキュリティ脆弱性の管理と監視が含まれます。。オープンソースコンポーネントを特定した後,JFrog x光などのSCAツールは,ライセンスに関する情報と,それらのコンポーネントに関連する既知のセキュリティ脆弱性の有無などの情報を提供します。高度なSCAツールにはポリシー適用機能が備わっていて,バイナリのダウンロードを防止したり,ビルドを失敗させたり,他のシステムへ通知したりします。
動的アプリケーションセキュリティテストおよび対話型アプリケーションセキュリティテスト(DASTおよびIAST)。DASTはアプリケーションをブラックボックスと見なしますが,IASTは動的アプリケーションセキュリティテスト(DAST)と静的分析セキュリティテスト(科协)の手法を組み合わせたインストルメンテーションを使用して,アプリケーションセキュリティテストの精度を高めます。
コンテナランタイムセキュリティ。。たとえば,各種レベルでのファイアウォール,行動分析に基づく異常の特定などです。
DevSecOps
- 開発チームが安全なコードを開発できるようにトレーニングする
- ソフトウェアの問題と同じようにセキュリティの問題を追跡する
- コードとしてのセキュリティ,組み込みのセキュリティ
- ソフトウェア開発パイプラインにセキュリティ管理を統合する
- ビルドプロセスでセキュリティテストを自動化する
- パイプライン全体で既知の脆弱性を検出する
- 【中文翻译
- セキュリティを強化するためにエラーを挿入する
出典：网络安全的神圣与罪恶本质——约翰·威利斯@botchagalupe
DevOps手册，Gene Kim, Patrick Debois, John Willis, Jez Humble
よくある質問
?
ソフトウェア構成分析(SCA)の必要性は,開発者がイノベーションのペースについていくために使用するオープンソースソフトウェアコンポーネントの利用が増えたことから生じています。企業は,チームやサイト間でのオープンソースの使用状況の管理および追跡に苦労しており,より自動化された方法を必要としていました。
。。
あまりにも多くの企業が,自分たちが書いたコードだけに注目し,オープンソースコンポーネントのリスクを見落としています。これは,EquifaxやCapital Oneなどの企業に数百万ドルのコストを負わせる,悪名高いセキュリティやライセンスの違反につながる可能性があります。。
DevSecOpsに重要なSCAには,オープンソースコンポーネントでのライセンスコンプライアンスとセキュリティの脆弱性の管理と監視が含まれます。。組織内のOSSコンポーネントを特定した後,SCAツールは,ライセンスの情報,バージョン番号,およびそれに関連する既知のセキュリティ脆弱性の有無などを含む,各コンポーネントの可視性を提供します。
?
。これは,私たちが日常的に構築,展開,および消費しているソフトウェアの大部分で,脆弱性が含まれている可能性がこれまで以上に高いことを意味します。オープンであるため,ハッカーは簡単にコードを確認し,脆弱性を探すことができます。オープンソースソフトウェアは脆弱性を通じてリスクをもたらすだけでなく,組織に複雑なライセンスコンプライアンスの問題をもたらす可能性もあります。複雑化する可能性があるのは,ライセンスに”このコンポーネントを使用する場合は,コードをオープンソースにする必要がある”と述べられている場合です。
理想的には,開発プロセスのできるだけ早い段階,ですべてのOSSコンポーネントのライセンスコンプライアンスと脆弱性の問題をスキャンして特定する必要があります。アプリケーションポートフォリオ全体でどのコンポーネントを使用しているかを把握し,それらを追跡することは絶対に必要であり,最終的には自動化すべきです。。
これまで,SDLC全体から本番環境までのセキュリティを確保するには,コンポーネントスキャンを行うためのエージェントの実行が必要でした。現在,より高いレベルのセキュリティとコンプライアンスの監視を実現できるさまざまなソリューションがあり,IDE,リポジトリマネージャー,CI / CDパイプラインに直接統合され,コンテナイメージをスキャンすることもできます。オープンソースのセキュリティとコンプライアンスの監視には,ネイティブに統合されたSCAソリューションが最適です。
。
高度なSCAツールにはポリシー適用機能が備わっており,オープンソースコンポーネントの自動監視を行うことができます。この機能では,スキャン対象のコンテキストに基づいて,特定されたセキュリティ違反またはコンプライアンス違反に対してさまざまな動作を構成できます。たとえば,脆弱性に基づいて非常に機密性の高いアプリケーションのビルドを失敗させる一方で,同じ脆弱性のあるコンポーネントを使用したテストアプリケーションのビルドは失敗させないなどです。SCAツールは,コード内のすべてのオープンソースコンポーネントをポリシーと比較し,結果に応じてさまざまなタイプの自動アクションをトリガーします。
SCAツールは,既知の脆弱性とライセンスの参照データベースを使用して,アプリケーションで使用されているOSSの依存関係を比較します。データベースが包括的であるほど,本番環境のコードに既知の脆弱性やライセンスの問題が発生するリスクが低くなります。
?
。
1 .テクノロジーサポート:どの程度ユニバーサルで,組織で使用されるすべてのコーディング言語とパッケージの種類をサポートしていますか。
2 .エコシステム統合:SCAツールは,リポジトリ,IDE,パッケージマネージャー,CIサーバーなどと,すぐに使用できる統合機能や豊富なオープンAPIを介して統合される必要があります。
3 .データベース:最高のカバレッジを提供するためには,包括的なライセンスと脆弱性のデータベースが必要です。
?
。
(最后)
-
-
——静的アプリケーションセキュリティテスト(科协)
JFrog x光は,アプリケーションコードを書くために依存するOSSコンポーネントと依存関係から,オープンソースのセキュリティ脆弱性とライセンスコンプライアンスの問題を検出して排除することに焦点を当てたSCAツールです。コードベースは最大90%がOSSで構成されているため,x光は本番環境リリースの安定性と安全性の確保に大きな影響を及ぼすことができます。
このようなアプローチを採用する組織は,問題の早期発見による品質の向上,プロプライエタリコードとオープンソースコード全体の可視化,開発プロセスの早い段階で脆弱性を検出して修正することによる修復コストの削減,セキュリティ侵害リスクの最小化,セキュリティテストの最適化など,SDLC全体で改善が見られます。
?
これまでで最高のSCAツールの統合を実現することは可能ですが,セキュリティスキャンソリューションの善し悪しは,それを駆動する脆弱性データベースに左右されます。最新の脆弱性に対応していないデータベースを使用することは,群衆の中の誰かを,その特徴も知らずに見つけようとするようなものです。一部の企業は,国家漏洞数据库(NVD)での横切の共通脆弱性タイプ一覧(CVE)の使用を,セキュリティを確保するためのゴールドスタンダードと見なしています。多くのセキュリティ専門家は,脆弱性データに関してCVEとNVDに依存するだけではもはや十分ではないと断言しています。
たとえば,最もタイムリーで包括的な脆弱性インテリジェンスサービスの1つであるVulnDBを利用できることで知られる基于风险的安全はそのサービスによりCVEおよびNVDを上回る総数の脆弱性を毎年特定および分類しています。CVE / NVDでは見つからない数万件の脆弱性を含む,27676のベンダーの製品をカバーする,249155を超える脆弱性により,VulnDBは市場で最も包括的なソリューションとなっています。2000。
JFrog x光は,脆弱性とライセンスコンプライアンスのインテリジェンスの主要なソースであるVulnDBと緊密に統合されていることから恩恵を受けています。
中文:中文:VulnDB，中文:VulnDB，中文:VulnDB，中文:VulnDB，中文:VulnDB，中文:?
第一に,業界の多くのセキュリティ専門家は,脆弱性データに関してCVEデータベースとNVDデータベースに依存するだけではもはや十分ではないと断言しています。脆弱性がCVE / NVDデータベースに公開されるまでには長い時間がかかることがあり,その間に悪意のある人物がこれらの脆弱性を分析し,悪質な活動にそれらをどのように利用できるかを考え出す可能性があります。
SCAソリューションのデータベースに脆弱性が含められるのが早ければ早いほど,その脆弱性が存在しないように本番環境コードを迅速に保護できます。。コンプライアンス部門または法務部門には,オープンソースソフトウェアライセンスの使用に関する一連のガイドラインがあります。チェックするライセンスの最新のデータベースがあると,本番環境コードに意図しないライセンスの種類が含まれるというリスクを最小限に抑えることができます。。
?
OSSの依存関係でライセンスコンプライアンスを確保することは,コンプライアンスマネージャー,法務チーム,およびCEOにとっても同様にますます大きな懸案事項となっています。監査に失敗したり,多額の費用がかかる知的財産またはライセンス侵害の訴訟裁判に巻き込まれたりすることは,誰も望みません。どのOSSが,どの開発者によって,どのビルドおよびリリースで使用されているかを把握することは非常に重要です。
★★★★★★★★★★★★★★★★数十億ドルの損失を被った,最近のSolarWinds社の侵害,または悪名高いEquifaxの大失態を振り返るだけで十分です。ソフトウェアライセンスのコンプライアンスから逸脱することは大きなリスクとなり,複雑で費用のかかる知的財産の争いに巻き込まれる可能性があります。特定のライセンス条項では,それらのコードを使用する場合に,アプリケーションコード全体をオープンソースにしなければならないこともあり得ます。首席执行官、首席执行官、首席执行官、首席执行官、首席执行官、首席执行官。。。
