Ferramentas de DevSecOps

A fase de compilação começa quando os desenvolvedores confirmam o código no repositório de origem. As ferramentas de compilação de DevSecOps se concentram na análise automatizada de segurança em relação ao artefato de saída do build. Práticas de segurança importantes incluem análise de componentes de software, teste de software de aplicativo estático (SAST) e testes de unidade. As ferramentas podem ser conectadas a um pipeline de CI/CD existente para automatizar esses testes.

Os desenvolvedores instalam e desenvolvem com regularidade dependências de código de terceiros, que podem vir de fontes desconhecidas ou não confiáveis. Dependências de código externo podem incluir, de modo acidental ou com más intenções, vulnerabilidades e explorações. Durante a fase de compilação, é fundamental revisar e verificar essas dependências em busca de vulnerabilidades de segurança.

Algumas ferramentas conhecidas para executar a análise de fase de compilação incluem: OWASP Dependency-Check, SonarQube, SourceClear, Retire.js, Checkmarx e Snyk.

As ferramentas DevSecOps para a fase de codificação ajudam os desenvolvedores a escrever códigos mais seguros. Práticas de segurança importantes para a fase de codificação incluem análise de código estático, revisões de código e ganchos de pré-confirmação.

Quando as ferramentas de segurança se conectam direto ao fluxo de trabalho do Git que os desenvolvedores já têm, cada confirmação ou mesclagem aciona automaticamente um teste ou revisão de segurança. Essas ferramentas são compatíveis com diferentes linguagens de programação e ambientes de desenvolvimento integrados. Algumas das ferramentas populares de código de segurança incluem Gerrit, Phabricator, SpotBugs, PMD, CheckStyle e Find Security Bugs.

A fase de teste é acionada depois que um artefato de compilação é criado e implementado com sucesso em ambientes de staging ou teste. A execução de um conjunto de testes abrangente leva um tempo considerável. Essa fase deve falhar rapidamente para que as tarefas de teste mais caras sejam deixadas para o fim.

A fase de teste usa ferramentas de teste dinâmico de segurança de aplicativos (DAST) para detectar fluxos de aplicativos em tempo real, como autenticação de usuário, autorização, SQL injection e endpoints relacionados à API. O DAST focado em segurança analisa um aplicativo em relação a uma lista de problemas de alta gravidade conhecidos, como aqueles listados no OWASP Top 10.

Existem várias ferramentas de teste de código aberto e pagas disponíveis, que oferecem uma série de funcionalidades e suporte a ecossistemas de linguagem, entre elas, BDD Automated Security Tests, JBroFuzz, Boofuzz, OWASP ZAP, Arachi, IBM AppScan, GAUNTLT e SecApp suite.

Se as fases anteriores forem aprovadas, é hora de implementar o artefato de build na produção. As áreas de segurança abordadas na fase de implementação são aquelas que só acontecem com o sistema de produção ao vivo. Por exemplo, as diferenças na configuração entre o ambiente de produção e os ambientes de staging e desenvolvimento anteriores devem ser analisadas a fundo. Os certificados TLS e DRM de produção devem ser validados e revisados para renovação futura.

A fase de implementação é um bom momento para ferramentas de verificação de tempo de execução, como Oswery, Falco e Tripwire, que extraem informações de um sistema em execução para determinar se ele funciona conforme o esperado. As empresas também podem executar princípios de engenharia do caos experimentando um sistema para gerar confiança na capacidade que ele tem para suportar condições turbulentas. Eventos do mundo real podem ser simulados, como pane em servidores, falhas no disco rígido ou conexões de rede rompidas. A Netflix é bastante conhecida por sua ferramenta Chaos Monkey, que exerce os princípios de engenharia do caos. A Netflix também usa a ferramenta Security Monkey, que procura por violações ou vulnerabilidades em grupos de segurança de infraestrutura configurados incorretamente e corta os servidores vulneráveis.

Na fase de lançamento do ciclo DevSecOps, o código do aplicativo e o executável já devem ter sido testados a fundo. O foco desta fase é proteger a infraestrutura do ambiente de execução examinando valores de configuração do ambiente, como controle de acesso do usuário, acesso a firewall de rede e gerenciamento de dados secretos.

O princípio do menor privilégio (PoLP, na sigla em inglês) é uma das principais preocupações da fase de lançamento. O PoLP pretende que qualquer usuário, programa ou processo tenha acesso mínimo para executar a função. Isso envolve a auditoria de chaves de API e tokens de acesso para que os proprietários tenham acesso limitado. Sem essa auditoria, um invasor pode encontrar uma chave que tenha acesso a áreas inesperadas do sistema.

As ferramentas de gerenciamento de configuração são um ingrediente fundamental para a segurança na fase de lançamento, pois dão visibilidade da configuração estática de uma infraestrutura dinâmica. Assim, a configuração do sistema pode ser auditada e revisada. A configuração se torna imutável e só pode ser atualizada com confirmações em um repositório de gerenciamento de configuração. Algumas ferramentas populares de gerenciamento de configuração incluem Ansible, Puppet, HashiCorp Terraform, Chef e Docker.

A comunidade de segurança oferece diretrizes e recomendações de melhores práticas para reforçar a infraestrutura, como os parâmetros do Center for Internet Security (CIS) e as listas de verificação de configuração do NIST.

À medida que mais equipes de desenvolvimento aprimoram os processos e adotam novas ferramentas, elas precisam ter cuidado com a segurança. O DevSecOps é um processo cíclico e deve ser iterado com continuidade e aplicado em toda nova implementação de código. As explorações e os invasores estão sempre evoluindo, e é importante que as equipes de software modernas também evoluam.

Um bom lugar para começar o teste de DevSecOps é automatizando seus testes com o Bitbucket Pipelines. Além disso, não deixe de revisar as ferramentas e os recursos de automação de testes disponíveis no Atlassian Marketplace.