Narzędzia DevSecOps

Faza kompilowania rozpoczyna się, gdy programiści wykonują commit kodu do repozytorium źródłowego. Narzędzia kompilacji DevSecOps koncentrują się na zautomatyzowanej analizie zabezpieczeń wyjściowego artefaktu kompilacji. Do ważnych praktyk zapewniania bezpieczeństwa należy analiza komponentów oprogramowania, statyczne testowanie zabezpieczeń aplikacji (SAST) i testy jednostkowe. Narzędzia mogą być połączone z istniejącym pipeline'em CI/CD, aby zautomatyzować te testy.

Programiści regularnie instalują i kompilują w oparciu o zależności kodu innych firm, które mogą pochodzić z nieznanego lub niezaufanego źródła. Zewnętrzne zależności kodu mogą przypadkowo lub w wyniku złośliwej działalności obejmować luki w zabezpieczeniach i exploity. W fazie kompilowania kluczowe jest sprawdzanie i skanowanie tych zależności pod kątem wszelkich luk w zabezpieczeniach.

Znane narzędzia do wykonywania analizy podczas fazy kompilacji to między innymi: OWASP Dependency-Check, SonarQube, SourceClear, Retire.js, Checkmarx i Snyk.

Narzędzia DevSecOps dla fazy tworzenia kodu pomagają programistom pisać bezpieczniejszy kod. Ważne praktyki zapewniania bezpieczeństwa w tej fazie obejmują statyczną analizę kodu, przeglądy kodu i hooki pre-commit.

Gdy narzędzia zabezpieczeń zostaną bezpośrednio połączone z istniejącym przepływem pracy Git programistów, każdy commit i każde scalenie automatycznie uruchamiają test bezpieczeństwa lub przegląd. Narzędzia te obsługują różne języki programowania i zintegrowane środowiska programistyczne. Niektóre bardziej popularne narzędzia związane z bezpieczeństwem kodu to Gerrit, Phabricator, SpotBugs, PMD, CheckStyle i Find Security Bugs.

Faza testowania rozpoczyna się po utworzeniu artefaktu kompilacji i pomyślnym wdrożeniu go w środowiskach przejściowych lub testowania. Wykonanie kompleksowego zestawu testów zajmuje dużo czasu. Ta faza powinna zakończyć się szybko w przypadku niepowodzenia, aby bardziej czasochłonne zadania testowe zostały pozostawione na koniec.

Faza testowania wykorzystuje narzędzia dynamicznego testowania zabezpieczeń aplikacji (DAST) do wykrywania przepływów aktywnych aplikacji, takich jak uwierzytelnianie użytkownika, autoryzacja, wstrzykiwanie kodu SQL i punkty końcowe związane z interfejsem API. Rozwiązanie DAST skoncentrowane na bezpieczeństwie analizuje aplikację względem listy znanych problemów o wysokiej ważności, takich jak te wymienione na liście OWASP Top 10.

Dostępnych jest wiele narzędzi testowych zarówno open source, jak i płatnych, które oferują różnorodne funkcje i obsługę w przypadku ekosystemów konkretnych języków. Są to na przykład: BDD Automated Security Tests, JBroFuzz, Boofuzz, OWASP ZAP, Arachi, IBM AppScan, GAUNTLT i pakiet SecApp.

Jeśli dotychczasowe fazy przebiegły pomyślnie, nadszedł czas, aby wdrożyć artefakt kompilacji do produkcji. Obszary bezpieczeństwa, którymi należy zająć się podczas fazy wdrażania, to te występujące tylko w przypadku aktywnego systemu produkcyjnego. Przykładowo należy dokładnie przeanalizować wszelkie różnice w konfiguracji między środowiskiem produkcyjnym a poprzednimi środowiskami przejściowymi i programistycznymi. Produkcyjne certyfikaty TLS i DRM powinny zostać zatwierdzone i sprawdzone pod kątem nadchodzącego odnowienia.

Faza wdrażania to dobry moment na użycie narzędzi do weryfikacji środowiska uruchomieniowego, takich jak Osquery, Falco i Tripwire, które wyodrębniają informacje z uruchomionego systemu, aby ustalić, czy działa on poprawnie. Organizacje mogą również wykorzystać zasady inżynierii chaosu, eksperymentując na systemie w celu upewnienia się co do możliwości działania systemu w niestabilnych warunkach. Można symulować rzeczywiste zdarzenia, takie jak awarie serwerów czy dysków twardych lub zerwanie połączeń sieciowych. Serwis Netflix jest znany ze swojego narzędzia Chaos Monkey, które stosuje zasady inżynierii chaosu. Netflix wykorzystuje też narzędzie Security Monkey, które wyszukuje naruszenia lub luki w zabezpieczeniach w nieprawidłowo skonfigurowanych grupach zabezpieczeń infrastruktury i odcina wszelkie niezabezpieczone serwery.

W fazie wydawania cyklu DevSecOps kod aplikacji i plik wykonywalny powinny być już dokładnie przetestowane. Ta faza skupia się na zabezpieczeniu infrastruktury środowiska uruchomieniowego poprzez sprawdzenie wartości konfiguracji środowiska, takich jak kontrola dostępu użytkowników, dostęp do zapory sieciowej i zarządzanie tajnymi danymi.

Zasada najmniejszego uprzywilejowania (principle of least privilege, PoLP) jest kluczową kwestią fazy wydawania. PoLP oznacza, że każdy użytkownik, program lub proces ma minimalny poziom dostępu do wykonywania swojej funkcji. Obejmuje to inspekcję kluczy interfejsu API i tokenów dostępu w celu zapewnienia, że właściciele mają ograniczony dostęp. Bez tego audytu osoba atakująca może znaleźć klucz, który ma dostęp do niepożądanych obszarów systemu.

Narzędzia do zarządzania konfiguracją są kluczowym składnikiem zabezpieczeń w fazie wydawania, ponieważ zapewniają wgląd w statyczną konfigurację infrastruktury dynamicznej. Konfigurację systemu można następnie poddać audytowi i ocenie. Konfiguracja staje się niezmienna i może być aktualizowana tylko za pomocą commitów dodawanych do repozytorium zarządzania konfiguracją. Wybrane popularne narzędzia do zarządzania konfiguracją to Ansible, Puppet, HashiCorp Terraform, Chef i Docker.

Społeczność specjalistów z branży zabezpieczeń zapewnia wytyczne i zalecenia dotyczące najlepszych praktyk w zakresie zwiększania odporności infrastruktury, takich jak dokumenty Center for Internet Security (CIS) Benchmark i listy kontrolne konfiguracji NIST.

Ponieważ coraz więcej zespołów programistycznych rozwija swoje procesy i sięga po nowe narzędzia, muszą one zwracać szczególną uwagę na bezpieczeństwo. DevSecOps to proces cykliczny, który powinien być stale iterowany i stosowany do każdego nowego wdrożenia kodu. Exploity i atakujący ciągle się rozwijają i ważne jest, aby nowoczesne zespoły programistyczne również ewoluowały.

Dobrym punktem wyjścia do rozpoczęcia testowania DevSecOps jest zautomatyzowanie testów za pomocą Bitbucket Pipelines. Warto również zapoznać się z narzędziami do automatyzacji testów i zasobami dostępnymi w sklepie Atlassian Marketplace.