Outils DevSecOps

La phase de développement démarre une fois que les développeurs ont commité le code dans le dépôt source. Les outils de développement DevSecOps se concentrent plutôt sur l'analyse de sécurité automatisée que sur l'artefact de sortie de build. Les pratiques de sécurité importantes incluent l'analyse des composants logiciels, les tests de logiciels applicatifs statiques (SAST) et les tests unitaires. Les outils peuvent être intégrés à un pipeline CI/CD existant pour automatiser ces tests.

Les développeurs installent régulièrement des dépendances de code tierces et s'appuient sur ces dernières. Elles peuvent provenir d'une source inconnue ou non fiable. Elles peuvent aussi inclure accidentellement ou malicieusement des vulnérabilités et des exploits. Au cours de la phase de développement, il est essentiel d'examiner et d'analyser ces dépendances pour détecter toute faille de sécurité.

Parmi les outils bien connus pour exécuter l'analyse de la phase de développement, citons OWASP Dependency-Check, SonarQube, SourceClear, Retire.js, Checkmarx et Snyk.

Les outils DevSecOps pour la phase de programmation aident les développeurs à écrire du code plus sécurisé. À ce niveau, les pratiques de sécurité importantes incluent les analyses de code statiques, les revues de code et les hooks pré-commit.

Lorsque les outils de sécurité s'intègrent directement au workflow Git existant des développeurs, chaque commit et merge déclenche automatiquement un test ou une revue de sécurité. Ces outils prennent en charge différents langages de programmation et environnements de développement intégrés. Parmi les outils de code de sécurité les plus populaires, citons Gerrit, Phabricator, SpotBugs, PMD, CheckStyle et Find Security Bugs.

La phase de test est déclenchée après la création d'un artefact de build et son déploiement réussi dans des environnements de staging ou de test. L'exécution d'une suite de tests complète prend beaucoup de temps. Cette phase devrait rapidement se solder par un échec pour laisser les tâches de test les plus coûteuses pour la fin.

La phase de test utilise des outils de test de sécurité des apps dynamiques (DAST) pour détecter les flux d'apps actives, tels que l'authentification des utilisateurs, l'autorisation, SQL Injection et les points de terminaison liés aux API. Les outils DAST axés sur la sécurité analysent une app sur la base d'une liste de problèmes extrêmement graves et connus, tels que ceux répertoriés dans le Top 10 d'OWASP.

De nombreux outils de test open source et payants fournissent plusieurs fonctionnalités et prennent en charge les écosystèmes linguistiques, y compris les tests de sécurité automatisés BDD, JBroFuzz, Boofuzz, OWASP ZAP, Arachi, IBM AppScan, GAUNTLT et la suite SecApp.

Si les phases précédentes réussissent, le moment est venu de déployer l'artefact de build en production. Les seuls domaines de sécurité à gérer pendant la phase de déploiement touchent au système de production réel. Par exemple, toute différence de configuration entre l'environnement de production et les environnements de staging et de développement précédents doit être minutieusement examinée. Les certificats TLS et DRM de production doivent être validés et revus en vue d'un prochain renouvellement.

La phase de déploiement est idéale pour utiliser les outils de vérification de l'environnement d'exécution comme Oquery, Falco et Tripwire, qui extraient des informations d'un système en cours d'exécution afin de déterminer s'il fonctionne comme prévu. Les organisations peuvent également appliquer les principes de l'ingénierie du chaos en essayant de renforcer la confiance dans la capacité d'un système à résister à des conditions difficiles. Des événements réels peuvent être simulés, tels que des pannes serveur, des pannes de disque dur ou une interruption des connexions réseau. Netflix est largement connu pour son outil Chaos Monkey, qui met en pratique les principes de l'ingénierie du chaos. Le service utilise également un outil Security Monkey qui recherche les violations ou les vulnérabilités dans les groupes de sécurité de l'infrastructure mal configurés et déconnecte tous les serveurs vulnérables.

Au cours de la phase de livraison du cycle DevSecOps, le code applicatif et l'exécutable doivent déjà être minutieusement testés. Cette phase se concentre sur la sécurisation de l'infrastructure de l'environnement d'exécution en examinant les valeurs de configuration de l'environnement, comme le contrôle d'accès utilisateur, l'accès au pare-feu réseau et la gestion des données secrètes.

Le principe du moindre privilège (PoLP) est une préoccupation majeure lors de la phase de livraison. Il signifie que tout utilisateur, programme ou processus dispose d'un accès minimal pour remplir ses fonctions. Le principe implique d'auditer les clés d'API et les jetons d'accès afin que les propriétaires aient un accès limité. Sans cet audit, un attaquant pourrait trouver une clé lui permettant d'accéder à des zones non prévues du système.

Les outils de gestion des configurations constituent un ingrédient clé de la sécurité lors de la phase de livraison, car ils fournissent une visibilité sur la configuration statique d'une infrastructure dynamique. La configuration système peut ensuite être auditée et revue. Cette configuration devient immuable et peut uniquement être mise à jour par des commits dans un dépôt de gestion des configurations. Parmi les outils de gestion des configurations populaires, citons Ansible, Puppet, HashiCorp Terraform, Chef et Docker.

La communauté de sécurité fournit des lignes directrices et des recommandations concernant les bonnes pratiques pour renforcer votre infrastructure, notamment les tests d'évaluation du CIS (Center for Internet Security) et les checklists des configurations NIST.

Alors que toujours plus d'équipes de développement peaufinent leurs processus et adoptent de nouveaux outils, elles doivent faire preuve de diligence en matière de sécurité. DevSecOps est un processus cyclique qui doit être itéré en continu et appliqué à chaque déploiement de nouveau code. Les exploits et les attaquants évoluent constamment. Il est donc important que les équipes de développement modernes évoluent elles aussi.

Avant de démarrer les tests DevSecOps, il s'avère judicieux d'automatiser vos tests avec Bitbucket Pipelines. N'oubliez pas non plus de consulter les outils et ressources d'automatisation des tests disponibles sur l'Atlassian Marketplace.