DevSecOps: 8 основных элементов вашей программы DevSecOps

Узнайте о 8 элементах, необходимых для внедрения DevSecOps в вашей организации, и о передовых методах, позволяющих вывести вашу программу DevSecOps на новый уровень.

Contents

1 Что такое DevSecOps?

Что такое DevSecOps?

DevSecOps (операции безопасности разработки) — это организационная модель, целью которой является создание непрерывного цикла интеграции и доставки, сочетающего разработку приложений с соображениями безопасности и эксплуатации. Он использует автоматизацию, чаще всего инфраструктуру как код (IaC), для создания непрерывного жизненного цикла разработки программного обеспечения (SDLC).

DevSecOps стремится обеспечить безопасность, включая сканирование, мониторинг и исправление, в SDLC. Это охватывает все этапы — от планирования, разработки, сборки, тестирования до выпуска, развертывания, текущих операций и обновлений. Это помогает снизить затраты на безопасность и соответствие требованиям, а также позволяет организациям быстрее предоставлять безопасное программное обеспечение.

DevSecOps требует, чтобы каждый, кто участвует в планировании, разработке или доставке программного обеспечения, брал на себя ответственность за безопасность. Все принимаемые решения должны с самого начала учитывать безопасность.

В этой статье вы узнаете:

DevOps против DevSecOps

DevOps — популярная концепция с различными определениями, появившимися за последнее десятилетие. Распространенное определение заключается в том, что DevOps объединяет разработку и эксплуатацию в одной организации с общей ответственностью за качество продукта и эффективность работы. Эта совместная ответственность между разработкой и эксплуатацией позволяет организациям выполнять итерации быстрее и приносить больше пользы клиентам.

DevSecOps отличается от DevOps тем, что расширяет философию DevOps и включает цели безопасности. DevSecOps следует рассматривать не как отдельную от DevOps концепцию, а скорее как ее естественное продолжение. Расширение процессов DevOps для обеспечения безопасности — это эволюционный, а не революционный шаг.

Модель DevOps представила методы и инструменты, которые позволили повысить скорость разработки, но создали узкие места для групп безопасности. В то время как процессы разработки стали быстрыми и автоматизированными, процессы безопасности остались прежними и не успевали за быстрыми темпами развития. Безопасность часто отводилась на постпродакшн или возлагалась на сторонние группы, которые задерживали производственные версии.

DevSecOps вводит действия по обеспечению безопасности на ранней стадии SDLC, не дожидаясь выпуска продукта. Проблемы безопасности могут быть выявлены и решены в процессе разработки приложения, при этом группы разработчиков выполняют задачи безопасности независимо друг от друга.

Такой подход помогает предотвратить попадание уязвимостей безопасности в производственную среду, что снижает затраты на исправление недостатков после выпуска. Культура сотрудничества помогает согласовать безопасность с усилиями DevOps и обеспечивает масштабируемость. С DevSecOps автоматизированные меры безопасности встроены в каждый этап конвейера разработки.

Связанный контент: прочтите наше руководство по SecDevOps (скоро) и узнайте о различиях между DevSecOps и SecDevOps ›

Каковы ключевые элементы для реализации DevSecOps?

Каждый проект DevSecOps уникален, но есть общие элементы, которые потребуются большинству организаций для успешного внедрения DevOps. Вот 8 элементов, которые, по нашему мнению, имеют решающее значение для большинства организаций.

1. Безопасность контейнера

Поскольку контейнеры являются центральной частью современных процессов DevOps, они также являются основной задачей инициатив DevSecOps. Существует три основных аспекта безопасности контейнеров:

Сканирование образов. Образы Docker и базовые образы могут содержать множество устаревших, неисправленных программных компонентов или уязвимостей в системе безопасности. Процесс DevSecOps с участием контейнеров должен включать сканирование и восстановление образов на каждом этапе конвейера CI/CD. Автоматические сканеры образов контейнеров гарантируют, что образы содержат только стабильный и безопасный код и артефакты, и соответствуют рекомендациям по безопасной конфигурации.
Минимальные базовые образы — чтобы уменьшить поверхность атаки, сведите к минимуму количество файлов и компонентов в контейнере. Ограничьте поверхность атаки, выбрав минимальный базовый образ и установив только те библиотеки, которые действительно необходимы для работы контейнера.
Управление рисками образов контейнеров — выявляет секреты, встроенные в образы (не с помощью безопасного механизма секретов), уязвимости программного обеспечения, вредоносное ПО и дефекты конфигурации.
Защита от дрейфа — предотвращает дрейф в конфигурации контейнера, гарантируя, что вредоносные действия могут быть немедленно идентифицированы и заблокированы.

Узнайте больше в наших подробных руководствах:

2. Автоматизация инфраструктуры

DevSecOps в значительной степени полагается на автоматизацию для обнаружения и устранения уязвимостей безопасности и проблем с конфигурацией в ИТ-среде. К современным методам автоматизации относятся:

Управление конфигурацией — автоматизирует развертывание ресурсов с проверенной безопасной конфигурацией и управляет изменениями в конфигурации, чтобы убедиться, что они не создают уязвимостей в системе безопасности.
Инфраструктура как код (IaC) — создает удобочитаемые шаблоны кода, которые определяют, как следует развертывать среды, и автоматически выделяет ресурсы на основе этих шаблонов. Это можно использовать для обеспечения безопасности ресурсов по мере их развертывания.

3. Анализ приложений

Анализ приложений помогает выявлять проблемы безопасности, такие как уязвимости приложений, на ранних стадиях SDLC и устранять их до того, как они станут сложными и дорогостоящими. Инструменты и технологии анализа приложений включают:

Статическое тестирование безопасности приложений (SAST) — анализирует исходный код для выявления проблем с качеством кода, методов небезопасного кодирования и известных уязвимостей.
Анализ состава программного обеспечения (SCA) — исследует сторонние пакеты и пакеты с открытым исходным кодом, включая их зависимости, которые устраняются во время сборки, для выявления известных уязвимостей и потенциальных конфликтов лицензий с открытым исходным кодом.
Динамическое тестирование безопасности приложений ( DAST) — анализирует запущенные приложения для обнаружения уязвимостей, проявляющихся во время выполнения, а также других потенциальных направлений атак.
Интерактивное тестирование безопасности приложений (IAST) — это нечто среднее между SAST и DAST, которое использует знания о структуре приложения на уровне исходного кода для обнаружения уязвимых состояний и векторов атак в скомпилированных приложениях.
Моделирование угроз — позволяет прогнозировать, обнаруживать и анализировать угрозы безопасности путем определения поверхности атаки. Это позволяет командам заблаговременно свести к минимуму подверженность выявленным рискам.

Узнайте больше в нашем подробном руководстве по:

4. Управление идентификацией и доступом

Управление идентификацией и доступом (IAM) состоит из методов, использующих централизованно определенные политики для управления доступом к данным, приложениям и другим сетевым активам. IAM должен управлять доступом ко всем аспектам среды DevOps на каждом этапе SDLC. Это помогает предотвратить несанкционированный доступ к чувствительным системам и блокирует боковое перемещение.

ПРЯМЫЕ МЕТОДЫ включают в себя:

Элементы управления аутентификацией — они проверяют личность пользователя или приложения.
Элементы управления авторизацией — они предоставляют авторизованным пользователям доступ к определенному ресурсу или функции.
Управление доступом на основе ролей (RBAC) — предоставляет группе пользователей доступ к ресурсу или функции на основе их обязанностей или коллективных разрешений. Это упрощает администрирование и адаптацию, а также помогает уменьшить расползание привилегий.
Аппаратные модули безопасности (HSM) — это физические устройства, которые помогают управлять секретами, такими как учетные данные, сертификаты и ключи, и защищать их как в состоянии покоя, так и при передаче.
Поставщики удостоверений (IdP) — это службы, которые управляют авторизацией пользователей.
Хранилища секретов — они хранят секреты и гарантируют, что только авторизованные пользователи могут получить к ним доступ.
Происхождение образа контейнера и подпись образа — эти функции подтверждают подлинность образов контейнера и устанавливают доверие.

5. Сетевые элементы управления и сегментация

Сетевые элементы управления и сегментация позволяют визуализировать, разделять и контролировать трафик, которым управляют инструменты оркестрации контейнеров. Они помогают изолировать арендаторов и защитить поток связи между элементами контейнерных приложений и микросервисов. Еще одним преимуществом является возможность разделения сетей разработки, тестирования и производства, чтобы гарантировать, что атака на любую из этих сред не повлияет на другие.

К методам управления сетью и сегментации относятся:

Политики безопасности сети оркестрации контейнеров — потоки трафика контролируются на уровне IP-адреса или порта. Кластерные элементы управления входящим и исходящим трафиком, а также ведение журнала и визуализация сети могут помочь получить контроль и прозрачность.
Программно-определяемые сети (SDN) — сетевая структура программируется, адаптируется и предоставляется в режиме реального времени для удовлетворения меняющихся потребностей бизнеса и требований безопасности.
Сетка служб — предлагает автоматизированную сегментацию и визуализацию сети, аутентификацию и авторизацию для приложений на основе контейнеров и микросервисов.

6. Управление данными

Методы и технологии контроля данных защищают целостность данных и предотвращают несанкционированную утечку данных. Они могут защитить данные в состоянии покоя и в движении, используя:

Шифрование данных — симметричное шифрование и шифрование с закрытым ключом, токенизация и управление ключами. Эти возможности помогают предотвратить несанкционированную эксфильтрацию данных в базах данных, файлах и контейнерах.
Защита данных — обнаружение и классификация конфиденциальных данных, предоставление расширенных средств контроля безопасности для улучшения соответствия нормативным требованиям, а также настройка возможностей мониторинга и аудита. Контроль доступа начинается в средах разработки и тестирования, предотвращая компрометацию, которая может привести к атакам на цепочку поставок, и распространяется на производственные среды для защиты от сбоев в обслуживании и кражи данных.
Маскировка данных — такие методы, как анонимизация данных и псевдонимизация, помогают предоставлять реалистичные данные для сред разработки и тестирования без риска для производственных данных.

7. Аудит, мониторинг и оповещение

Методы аудита и мониторинга позволяют получить представление об инцидентах безопасности в производственных средах. Они могут помочь быстрее реагировать на инциденты, предоставляя подробную криминалистическую информацию о возможных причинах и последствиях события. Компоненты мониторинга включают в себя:

Собственные облачные инструменты мониторинга — такие инструменты , как Prometheus и Jaeger, позволяют осуществлять мониторинг распределенных сред с централизованным агрегированием журналов и поддержкой постоянного хранения данных журналов.
Информация о безопасности и управление событиями (SIEM) — централизует отчеты о событиях, объединяя журналы и данные сетевого трафика с распределенных устройств, конечных точек, инструментов безопасности и приложений.
Криминалистическая экспертиза — дает представление об уязвимостях в системе безопасности с доказательствами для поддержки аудита соответствия и ускоряет восстановление.
Информационные панели и визуализация — отображают информацию о безопасности и раскрывают тенденции и ключевые показатели эффективности таким образом, чтобы это было понятно разработчикам, специалистам по эксплуатации и группам безопасности. Например, информационную панель можно использовать для отображения увеличения или уменьшения количества уязвимостей или инцидентов безопасности в конкретном приложении с течением времени.
Инструменты оповещения — помогают командам DevSecOps быстро реагировать на инциденты безопасности. В идеале инструмент оповещения будет анализировать, расставлять приоритеты и уведомлять команду об аномалиях после того, как они будут расставлены по приоритетам и подтверждены как реальные инциденты. Получив уведомление, команда может быстро расследовать инцидент и отреагировать.

Связанный контент: прочтите наше руководство по инструментам DevSecOps ›

8. Исправление

При возникновении инцидента безопасности в производственной среде доступны инструменты для автоматического принятия корректирующих действий. Это увеличивает время безотказной работы и предотвращает распространение угрозы в окружающей среде. Еще одним важным элементом является отслеживание производственных проблем до конкретной сборки и компонента кода, вызвавшего проблему, что позволяет разработчикам быстро устранять проблему.

Компоненты исправления включают в себя:

SOAR (Security Orchestration, Automation, Response) — реагирует на инциденты безопасности с помощью автоматизированных операций и интеграции с другими инструментами безопасности.
Платформы защиты облачных рабочих нагрузок (CWPP) — постоянно оценивают облачные среды, выявляют неверные конфигурации и автоматически исправляют их в соответствии с рекомендациями по обеспечению безопасности.
Узнайте больше в нашем руководстве по платформам CWPP ›

Лучшие практики DevSecOps

Убедившись, что у вас есть ключевые элементы, перечисленные выше, обратите внимание на следующие рекомендации, которые помогут вам повысить эффективность вашей программы DevSecOps.

Сдвиг охраны влево

Основной принцип DevSecOps — смещение безопасности влево — выполнение задач безопасности как можно раньше в жизненном цикле разработки. Чтобы быть настоящей организацией DevSecOps , эксперты по безопасности должны работать вместе с разработчиками, когда они планируют и создают первые итерации продукта. Они должны убедиться, что компоненты, конфигурации и среды защищены, и предоставить разработчикам инструменты, необходимые им для проверки того, что они используют передовые методы безопасного кодирования и используют только безопасные компоненты и образы контейнеров.

Узнайте больше в нашем подробном руководстве по сдвигу DevOps влево

Установите непрерывный контроль безопасности

Чтобы DevSecOps был эффективным, вы должны автоматизировать средства контроля безопасности. Это позволяет добавлять проверки безопасности на каждый этап конвейера разработки и снижает количество ошибок, связанных с человеческим фактором. Вы можете настроить автоматизированные инструменты, которые:

Сканирует код на наличие недостатков и лучших практик безопасности
Сканирует компоненты с открытым исходным кодом и образы контейнеров
Проверяет безопасные конфигурации и исправляет неправильную конфигурацию
Настраивает среды разработки, тестирования и производства с учетом лучших практик безопасности.
Использует оркестрацию для выполнения автоматизированных задач повторяемым и проверяемым способом.

Интеграция с конвейерами CI/CD

Конвейер CI/CD построен на идее обнаружения проблем с качеством и обеспечения быстрой обратной связи для разработчиков. В организации DevSecOps к безопасности применяется тот же принцип:

Конвейер CI/CD должен автоматически и постоянно запускать инструменты безопасности (как описано в предыдущем разделе).
Конвейер CI/CD обеспечивает запись изменений в коде, приложениях и инфраструктуре — эти изменения должны быть скомпилированы в метрики и отчеты, которые могут быть просмотрены группами безопасности.
Изменения, указывающие на проблемы или угрозы безопасности, должны инициировать процесс реагирования на инциденты.
Сотрудники службы безопасности должны использовать те же инструменты совместной работы, которые используются разработчиками и операторами (системы отслеживания проблем, чат и т. д.), чтобы совместно определять приоритеты проблем безопасности для устранения.

обучать

Чтобы практиковать DevSecOps, каждый в организации должен понимать угрозы безопасности, с которыми сталкивается компания, ее требования соответствия и политики безопасности.

Крайне важно информировать разработчиков и эксплуатационные группы о безопасности приложений, современном ландшафте угроз и передовых методах обеспечения безопасности для конкретных языков программирования и систем, с которыми они работают. Например, программисты Python должны быть обучены основам безопасности Python; Разработчики Kubernetes должны изучить безопасную конфигурацию Kubernetes; и облачные администраторы должны узнать о распространенных неправильных конфигурациях в своей облачной среде.

Создайте культуру общения

Культура DevSecOps способствует совместной ответственности за безопасность. Лидеры должны способствовать открытому общению и помогать различным командам, которые могут иметь очень разный опыт или навыки в области безопасности, понимать точки зрения друг друга и создавать основу для общения по вопросам безопасности.

Разработчики, операционные группы и эксперты по безопасности должны работать вместе, чтобы определить инструменты и процессы, которые лучше всего подходят для них, учитывая их навыки и технологические экосистемы. Предоставление командам возможности создавать среду и определять процесс помогает повысить мотивацию, делая их заинтересованными сторонами.

Сосредоточьтесь на прослеживаемости, аудитоспособности и прозрачности

Чтобы быть успешным, процесс DevSecOps должен способствовать:

Прослеживаемость — возможность отслеживать изменения конфигурации и среды от планирования до производства.
Возможность аудита — возможность автоматически генерировать отчеты и документацию о процессах разработки и сопутствующих им мерах безопасности.
Видимость — способность понимать, что происходит в среде, выявлять уязвимости и угрозы безопасности и реагировать на них.

Объединив эти три возможности, процесс разработки может справиться с изменяющимся ландшафтом угроз и строгими требованиями соответствия.