Aabo ati Iṣakoso Aṣiri: DevSecOps ati Oríkĕ oye

Awọn anfani:

• Agbara lati loye DevSecOps ati awọn ofin goolu ti iṣakoso awọn aṣiri (ko tẹ koodu sii, ti o wa ni ipamọ, ti wa ni itasi ni akoko ṣiṣe, pada, awọn anfani ti o kere ju)
• Agbara lati lo oye atọwọda lati ṣe pataki awọn abajade ọlọjẹ aabo (SCA, SAST, aworan, IaC, aṣiri) ati koodu iṣayẹwo fun awọn idi igbeja
• Mọ pe igbesẹ akọkọ ninu jijo ikoko jẹ ifagile / iyipada ati lilo oye atọwọda nikan ni awọn eto ti a fun ni aṣẹ, fun awọn idi aabo, laarin awọn opin ofin

Bawo ni iyara ti gbe eto kan ko tumọ si ohunkohun ni ọjọ ti o ti gbogun. Lakoko ti DevOps dojukọ iyara, aabo nigba miiran a fi silẹ si ipari - ati aabo ti o fi silẹ si opin nigbagbogbo kii ṣe wa rara. DevSecOps jẹ ọna ti o gbe aabo ni ibẹrẹ ati ni gbogbo igbesẹ ti ṣiṣan DevOps: "aabo iyipada osi" - iyẹn ni, mimu ailagbara kan ninu opo gigun ti epo, lakoko ti a ti kọ koodu naa, kuku ju ninu prod. Fun ọjọgbọn DevSecOps, aabo kii ṣe iṣẹ ti ẹgbẹ ọtọtọ, ṣugbọn jẹ apakan ti gbogbo ifaramọ, gbogbo aworan, gbogbo ifihan.

Awọn aake akọkọ meji wa ninu ẹyọ yii. Akọkọ jẹ iṣakoso asiri: iran ti o ni aabo, ibi ipamọ, pinpin ati yiyi alaye asiri gẹgẹbi awọn ọrọigbaniwọle, awọn bọtini, awọn iwe-ẹri. Ẹlẹẹkeji jẹ ọlọjẹ aabo ati lile: wiwa awọn ailagbara ni awọn igbẹkẹle, awọn aworan, awọn atunto. AI jẹ oluranlọwọ ti o lagbara ni awọn mejeeji - o ṣafihan awọn ailagbara, ṣe pataki awọn abajade ọlọjẹ, ṣeduro awọn atunṣe. Ṣugbọn awọn julọ lominu ni caveat kan nibi: AI ni fun olugbeja; Wiwọle laigba aṣẹ si eto ẹlomiran, ṣiṣe ayẹwo laigba aṣẹ, tabi ṣiṣẹda ohun elo ikọlu jẹ arufin ati pe o jẹ opin to muna ti pẹpẹ yii.

Golden ofin ti asiri isakoso

1. Aṣiri ko ṣe sinu koodu orisun. Kii ṣe Dockerfile, kii ṣe YAML, kii ṣe iwe afọwọkọ, kii ṣe Git. Ni kete ti o wọle si Git, aṣiri naa wa ni iṣaaju.
2. Asiri ti wa ni pa ni a aringbungbun ifinkan. HashiCorp Vault, Oluṣakoso Aṣiri AWS, Azure Key Vault, Oluṣakoso Aṣiri GCP - awọn aṣiri ile itaja wọnyi ti paroko, iwọle iṣakoso, ati tọju wọn.
3. O ti wa ni itasi ni akoko iṣẹ. Ohun elo naa gba aṣiri lati inu ifinkan tabi oniyipada ayika lakoko ti o nṣiṣẹ, kii ṣe lati disiki.
4. O n yi nigbagbogbo. Awọn gun a ìkọkọ aye, ti o tobi ewu ti jijo. Auto-omo ere jẹ apẹrẹ.
5. Aṣẹ ti o kere julọ. Nikan iṣẹ ti o nilo rẹ le wọle si aṣiri kọọkan.

Imọran: Ọna kan ti o munadoko ti o munadoko julọ ni lati fi ọlọjẹ aṣiri kan (gẹgẹbi awọn aṣiri git, gitleaks, trufflehog) sinu opo gigun ti epo: o da iṣẹ naa duro ti aṣiri kan ba gbiyanju lairotẹlẹ lati ṣe. Eyi duro jijo ni orisun. AI ṣe iranlọwọ kọ isọpọ opo gigun ti epo ti awọn aṣawakiri wọnyi.

Igbesẹ nipa igbese: fesi si jijo ikoko kan

Ti aṣiri kan ba ti jo, maṣe bẹru, aṣẹ naa ṣe pataki:

1. Fagilee ki o si n yi lẹsẹkẹsẹ. Nu bọtini ti jo, ṣe ipilẹṣẹ tuntun. O kan erasing o ko to - o wa ni igba atijọ.
2. Ṣe iṣiro ipa naa. Nibo ni bọtini yii ti wọle si? Njẹ o ti ṣe ilokulo? Ṣayẹwo awọn akọọlẹ.
3. Pa orisun naa. Bawo ni o ti jo? Ko koodu, itan; Ṣugbọn ranti: fagilee wa ṣaaju imukuro.
4. Idilọwọ. Ṣafikun ẹrọ aṣawakiri aṣiri si opo gigun ti epo ki o ko tun ṣe.

Akiyesi: tẹtẹ ti o gbowolori julọ kii ṣe lati da aṣiri ti o jo kan pada nitori “ko si ẹnikan ti o rii”. Bọtini ti o lọ silẹ sinu ibi ipamọ ti gbogbo eniyan ni a ṣayẹwo nipasẹ awọn bot laarin iṣẹju-aaya. Nigbati o ba wa ni iyemeji, yiyi - iye owo iyipo jẹ kekere, iye owo jijo jẹ ajalu.

Orisi ti aabo sikanu

DevSecOps nlo ọpọ fẹlẹfẹlẹ ti ọlọjẹ; AI ṣe iranlọwọ ni itumọ abajade ti ọkọọkan:

• SCA (Onínọmbà Iṣọkan Software): Wa awọn ailagbara ti a mọ (CVE) ninu awọn igbẹkẹle orisun ṣiṣi ti o lo.
• SAST (Idanwo Aabo Ohun elo Aimi): Ṣiṣayẹwo koodu orisun fun awọn ailagbara laisi ṣiṣiṣẹ rẹ.
• DAST (Idanwo Aabo Ohun elo Yiyi): Ṣe idanwo ohun elo nṣiṣẹ ni ita.
• Ṣiṣayẹwo aworan: Wa awọn ailagbara ninu aworan eiyan (trivy, scout docker).
• Ṣiṣayẹwo IaC: Wa awọn atunto aiṣedeede ni Terraform/hanifests (tfsec, checkov).

Išọra: Ayẹwo ẹrọ n da ọgọọgọrun awọn awari silẹ; Ko ṣee ṣe lati ṣatunṣe gbogbo wọn ni akoko kanna. Lo AI lati ṣe pataki awọn awari: kini o jẹ ilokulo nitootọ, eyiti o han gbangba ni imọ-jinlẹ ṣugbọn ko le wọle ni iṣe? Ṣugbọn ṣe idaniloju iṣaju iṣaaju pẹlu ọrọ-ọrọ tirẹ.

Tabili ti raster fẹlẹfẹlẹ

Layer

Kini o ṣe ọlọjẹ?

ọkọ ayẹwo

nigbawo

SCA

Awọn ailagbara igbẹkẹle (CVE)

Dependabot, Snyk

gbogbo Kọ

SAST

Awọn ailagbara koodu orisun

Semgrep, CodeQL

Gbogbo PR

aworan wíwo

Awọn ailagbara apoti

Trivy, Sikaotu

Lẹhin ti kọ

IaC ọlọjẹ

Iṣeto ni aṣiṣe

tfsec, checkov

Terraform PR

ìkọkọ scan

Awọn asiri ti o jo

gitleaks

Gbogbo ifaramo

mẹta mini igba

Ọran 1 - 300 CVEs, 12 awọn ewu gidi. Ayẹwo aworan kan royin awọn ailagbara 300; Ẹgbẹ naa ti rọ. Fun iṣẹjade ọlọjẹ naa si AI ki o beere “awọn wo ni o le jẹ yanturu latọna jijin ati pe wọn le de ọdọ?” Wọn ṣe pataki rẹ. AI ṣe afihan awọn awari eewu gidi 12. Awọn egbe akọkọ pa wọn si isalẹ; O gba awọn iyokù lori ipilẹ ti a pinnu. Ṣe iṣaaju lori ijaaya.

Ọran 2 - yiyi baje ikọlu. Olùgbéejáde lairotẹlẹ ti ta bọtini awọsanma si ibi ipamọ gbogbo eniyan. Itaniji naa lọ; Ẹgbẹ naa fagile ati da bọtini pada ni iṣẹju 4. Awọn akọọlẹ naa fihan pe bọtini naa ti beere tẹlẹ lati inu bot kan - ṣugbọn o jẹ alaiṣe. Yipada iyara ṣe idiwọ ajalu ìdíyelé ti o pọju ati jijo data.

Ọran 3 - IaC ọlọjẹ mu garawa ṣiṣi kan. Ṣiṣayẹwo IaC ti o ṣe iranlọwọ AI kan mu garawa ipamọ kan ni koodu Terraform ti o ni igbanilaaye “kika gbangba” laisi lilọ si prod. Olùgbéejáde ti ṣii “fun idanwo” o gbagbe lati tii. Pipeline duro ifaramo; ìmọ kò ṣe o si prod. Iyẹn gan-an ni aaye ti yiyi si apa osi.

Mẹrin daakọ awọn awoṣe

1) Ṣafihan iṣẹjade ọlọjẹ akọkọ:

Prioritize aabo ọlọjẹ o wu ni isalẹ. Fun wiwa kọọkan: (1) o jẹ iṣamulo nitootọ (latọna/laigba aṣẹ?), (2) Ṣe o wa ni aaye wa, (3) igbiyanju atunṣe, (4) pataki ti a ṣe iṣeduro (pataki / giga / alabọde / kekere). Saami awọn 5 julọ amojuto.Sọ kedere; tọkasi pe Mo nilo lati fọwọsi pataki kọọkan pẹlu ọrọ-ọrọ mi. Abajade: [SCAN]

2) Apẹrẹ iṣakoso asiri:

Ṣe imọran ọna iṣakoso awọn aṣiri fun [APPLICATION/INFRstructure]: ewo ni ifinkan, bawo ni a ṣe le fi awọn aṣiri sii ni akoko asiko, bii o ṣe le ṣe adaṣe adaṣe, bawo ni a ṣe le fi ipa mu awọn anfani to kere julọ? Apejuwe a nja sisan ti MASE ifibọ awọn ikoko ni awọn koodu.

3) Wiwa fun awọn ailagbara ninu koodu (olugbeja):

Ṣayẹwo koodu OWN mi ni isalẹ fun aabo (Mo ni igbanilaaye): ṣe abẹrẹ eyikeyi wa, aṣiri ti a fi sinu, aiyipada ti ko ni aabo, titẹ sii ti ko tọ? Fun kọọkan wiwa awọn oniwe-pataki ati atunse. Idi ni aabo ati isọdọkan. Kóòdù: [CODE]

4) Ètò ìdáhùn sísọ ìkọ̀kọ̀:

A [ASIRI TYPE] le ti lairotẹlẹ wọ inu [LOCATION]. Fun mi ni igbesẹ nipasẹ aṣẹ ilowosi igbese: kini o yẹ ki n ṣe ni akọkọ (ifagile / ipadabọ), bawo ni a ṣe le ṣe iṣiro ipa naa, bawo ni a ṣe le ṣe idiwọ isọdọtun? Tun ṣe alaye idi ti piparẹ kan ko to.

Ailagbara kiakia / Alagbara kiakia

Alailagbara: "Bawo ni MO ṣe gige eto yii / lo nilokulo ailagbara yii?”

Ibeere yii jẹ aiṣedeede mejeeji ati muna ni ita awọn aala ti pẹpẹ yii. O jẹ arufin lati lo AI fun ikọlu.

Alagbara: "Fun laṣẹ koodu ti ohun elo ti ara mi fun aabo: wa awọn aṣiri ti a fi sinu, awọn ewu abẹrẹ ati awọn aṣiṣe ti ko ni aabo, ṣe atunṣe ọkọọkan wọn. Ifojusi ni lati mu eto naa le."

Iyatọ: ibeere keji jẹ fun awọn idi igbeja, laarin awọn opin aṣẹ ati fun isọdọkan. Eyi ni lilo deede ti AI ni DevSecOps.

Awọn aṣiṣe ti o wọpọ

• Ifisinu Asiri ni koodu / itan. Awọn wọpọ ati jubẹẹlo ailagbara.
• Ko pada asiri ti o jo. "Ko si ẹniti o ti ri" jẹ tẹtẹ ti o gbowolori julọ.
• Ri gbogbo awọn awari iboju bi dogba. Jije rọ nipa ayo tabi sonu gidi ewu.
• Nlọ aabo lati ṣiṣe. Aafo ni prod jẹ ọpọlọpọ igba diẹ gbowolori ju aafo ni opo gigun ti epo.
• Bypassing iwonba aṣẹ. Aṣiri / ipa ti o ni iwọle si ohun gbogbo jẹ ki jijo kan jẹ ajalu.
• Gbiyanju lati lo AI fun ikọlu. Arufin ati pa-Syeed.

Ni soki

DevSecOps gbe aabo ni ibẹrẹ ati ni gbogbo igbesẹ ti sisan DevOps - mimu awọn ailagbara ni koodu ati opo gigun ti epo, kii ṣe ni prod. Awọn ofin goolu ti iṣakoso awọn aṣiri: aṣiri naa ko tẹ koodu sii, o wa ni ipamọ ninu ifinkan aarin, ti wa ni itasi ni akoko asiko, a pada nigbagbogbo ati wọle pẹlu awọn anfani to kere. Igbesẹ akọkọ ninu jijo jẹ nigbagbogbo iṣẹyun/pada. AI lagbara ni iṣaju iṣaju ọlọjẹ, ṣiṣe apẹrẹ awọn ṣiṣan aṣiri, ati koodu ayewo igbeja - ṣugbọn o lo ni igbeja nikan ati laarin awọn opin ofin lori awọn eto ti o ni aṣẹ lori.

Ohun elo iṣẹ-ṣiṣe

Mu iṣẹ akanṣe ti tirẹ (fun eyiti o ni aṣẹ). (1) Ṣe ayẹwo aṣiri ti a fi sinu ati awọn aṣiṣe ti ko ni aabo pẹlu awoṣe “Nwa awọn ailagbara ninu koodu”. (2) Ṣeto iṣelọpọ ọlọjẹ aabo kan (gangan tabi apẹẹrẹ) nipasẹ awoṣe “triage” ki o ṣe idanimọ awọn awari 3 ti o ni iyara julọ. (3) Ṣe agbejade apẹrẹ ṣiṣan fun iṣẹ akanṣe rẹ pẹlu awoṣe “apẹrẹ iṣakoso asiri” ti o yọ aṣiri kuro patapata lati koodu naa.

akojọ ayẹwo

• [] Mo ti rii daju pe ko si awọn aṣiri ifibọ ninu koodu mi, aworan ati awọn ifihan.
• [] Mo tọju awọn aṣiri sinu ile ifinkan aarin kan ati ki o lọ wọn ni akoko asiko.
• [] Mo mọ pe igbesẹ akọkọ ni oju iṣẹlẹ jo jẹ iṣẹyun/pada.
• [] Mo ṣe pataki awọn awari ọlọjẹ ti o da lori ilokulo ati ọrọ-ọrọ mi.
• [] Mo ti gbe awọn ọlọjẹ aabo si awọn igbesẹ ibẹrẹ ti opo gigun ti epo (si apa osi).
• [] Mo ti lo AI nikan fun awọn idi igbeja lori awọn ọna ṣiṣe eyiti Mo ni aṣẹ.