Инструменты DevSecOps

Этап сборки начинается после того, как разработчики отправят код в исходный репозиторий. Задача инструментов сборки DevSecOps — автоматический анализ безопасности выходных данных сборки. Среди главных принципов безопасности можно назвать анализ программных компонентов, статическое тестирование программных приложений (SAST) и модульные тесты. Для автоматизации этих тестов инструменты необходимо подключить к конвейеру CI/CD.

Разработчики регулярно устанавливают зависимости стороннего кода из неизвестных или ненадежных источников и используют их при выполнении сборки. Зависимости внешнего кода могут случайно или преднамеренно содержать уязвимости или вредоносные элементы. На этапе сборки критически важно выполнить мониторинг и проверку таких зависимостей на наличие уязвимостей в защите.

Среди известных инструментов для выполнения анализа на этапе сборки можно назвать OWASP Dependency-Check, SonarQube, SourceClear, Retire.js, Checkmarx и Snyk.

Инструменты DevSecOps для этапа программирования помогают разработчикам писать более безопасный код. Важные методики обеспечения безопасности на этапе программирования включают в себя статический анализ кода, проверку кода и запуск хуков перед созданием коммитов.

Когда инструменты защиты подключены непосредственно к существующему рабочему процессу Git, каждый коммит и слияние автоматически запускают тестирование или проверку безопасности. Такие инструменты поддерживают различные языки программирования и интегрированные среды разработки. Вот некоторые из наиболее популярных инструментов защиты: Gerrit, Phabricator, SpotBugs, PMD, Checkstyle и Find Security Bugs.

Этап тестирования начинается после создания артефакта сборки и успешного развертывания в промежуточной или тестовой средах. Комплексное тестирование занимает достаточно много времени. Сбои на этом этапе должны быть обнаружены как можно скорее, а наиболее дорогостоящие тесты следует оставлять на конец.

На этапе тестирования используются инструменты тестирования безопасности с динамическим анализом (DAST). Они помогают выявить рабочие процессы приложений: аутентификацию пользователей, авторизацию, SQL Injection и конечные точки, связанные с API. DAST-тестирование направлено на обеспечение безопасности и помогает проверить приложение на наличие известных проблем высокой степени опасности (такие проблемы перечислены в списке OWASP Top 10 [«Топ 10 уязвимостей OWASP»]).

Существует множество инструментов тестирования, как платных, так и с открытым исходным кодом. Они обладают разными функциональными возможностями и поддерживают многочисленные экосистемы языков программирования. В числе таких инструментов — BDD Automated Security Tests, JBroFuzz, Boofuzz, OWASP ZAP, Arachi, IBM AppScan, GAUNTLT и комплект решений SecApp.

Если предыдущие этапы прошли успешно, можно выполнить развертывание артефакта сборки в рабочей среде. Проблемные области защиты, которыми необходимо заняться на этапе развертывания, связаны только с запуском в рабочей среде. Например, необходимо тщательно проанализировать любые конфигурационные различия между рабочей средой и промежуточной средой либо средой разработки. Рабочие сертификаты TLS и DRM необходимо проверить на наличие обновлений.

Этап развертывания — подходящее время для запуска таких инструментов проверки во время работы, как Osquery, Falco и Tripwire. Они извлекают информацию из работающей системы и проверяют, работает ли она должным образом. Организации также могут использовать принципы инженерии хаоса, экспериментируя с системой, чтобы укрепить уверенность в ее способности противостоять непредсказуемым дестабилизирующим условиям. Можно смоделировать реальные события: сбой серверов, ошибки жесткого диска или разрывы сетевых подключений. Компания Netflix известна изобретением инструмента Chaos Monkey, который реализует принципы инженерии хаоса. Netflix также использует инструмент Security Monkey, который ищет нарушения и уязвимости в неправильно настроенных группах безопасности инфраструктуры и устраняет уязвимые серверы.

К этапу релиза цикла DevSecOps код приложения и исполняемый файл должны быть тщательно протестированы. На этом этапе основное внимание уделяется обеспечению безопасности инфраструктуры среды выполнения путем изучения таких значений конфигурации среды, как управление доступом пользователей, доступ к сетевому брандмауэру и управление секретными данными.

Основная забота на этапе релиза — обеспечить принцип минимальных привилегий (PoLP). PoLP означает, что любой пользователь, программа или процесс имеют лишь минимально необходимый доступ для выполнения своих функций. Сюда относится выполнение аудита ключей API и токенов доступа, для того чтобы ограничить доступ владельцам. Без этого аудита злоумышленник сможет найти ключ доступа к закрытым разделам системы.

Инструменты управления конфигурацией — ключевой компонент обеспечения безопасности на этапе релиза, поскольку они позволяют просматривать статическую конфигурацию динамической инфраструктуры. С их помощью можно проводить аудит и оценку системной конфигурации. Конфигурация становится неизменяемой и обновляется только путем коммитов в репозитории управления конфигурацией. Вот некоторые из популярных инструментов управления конфигурацией: Ansible, Puppet, HashiCorp Terraform, Chef и Docker.

Сообщество по безопасности предоставляет руководства и рекомендации по передовым методам усиления инфраструктуры, таким как контрольные показатели Center for Internet Security (CIS) и контрольные списки конфигурации NIST.

По мере развития процессов и внедрения новых инструментов командам разработчиков необходимо все серьезнее подходить к вопросам безопасности. DevSecOps — это циклический процесс, требующий непрерывных итераций и применения в каждом новом развертывании кода. Вредоносные программы и злоумышленники становятся все изощреннее, поэтому крайне важно, чтобы команды разработчиков ПО оттачивали навыки защиты.

Начать тестирование DevSecOps можно с автоматизации тестирования при помощи Bitbucket Pipelines. Кроме того, стоит ознакомиться с инструментами и ресурсами автоматизации тестирования, доступными в Atlassian Marketplace.