Бесшовное внедрение практик безопасности в DevOps-конвейер, или Как обеспечить безопасность беспрерывной разработки
В рамках выступления вы узнаете о предпосылках и целях внедрениях процессов безопасной разработки. Мы посмотрим на эволюцию цифровых угроз, а также определимся с основными интересами стейкхолдеров в парадигме DevSecOps. Поговорим о методологии и инструментах построения безопасной разработки, а также о важности бесшовной оркестрации процесса. Развеем мифы построения AppSec в формате сервис и наконец разберемся, кто же важнее — Dev / Sec или Ops.
Слайд 35. Статический анализатор не работает, если нет правильного процесса.
Обычно:
- Анализ решений и определения критериев оценки инструмента
- Внедрение статического анализа в MVP-проектах
- Тиражирование — покрытие тестирование 100% кодовой базы
По версии Swordfish:
- Определение процесса SSDL.
- Определение требований регуляторов к обеспечению ИБ.
- Определение недопустимых событий.
- Создание общего профиля бизнес рисков.
- Обучение разработчиков.
- Обучение ИБ специалистов.
- Анализ решений и определения критериев оценки инструмента.
- Введение роли Security Champion в частичных командах.
- Разработка модели критичности приложений.
- Внедрение статического анализа в MVP-проектах.
- Разработка методов выявления дефектов в ПО.
- Организация внешнего обучения Security Champion.
- Внедрение системы метрик.
- Выставление quality gates (warning).
- Тонкая настройка.
- Поздравляю! Вы выполнили первое сканирование!
- Анализ результатов сканирования.
- Определение процесса внесения изменений в код.
- Формирование отчета.
- Введение роли риск-акцептора.
- Предоставление информации разработчикам.
- Организация процесса пересмотра правил.
- Переход в режим block.
- Поддержка руководства.
- Покрытие тестирование 25% кодовой базы.
- Предоставление информации о процессе работы с уязвимостями.
- Покрытие тестированием 50% кодовой базы.
- Демонстрация эксплуатации уязвимостей.
- Покрытие тестирование 75% кодовой базы.
- Тиражирование — покрытие тестирование 100% кодовой базы.
Слайд 38. Ландшафт DevSecOps со временем только усложняется.
Сайт Saint Highload++
https://highload.ru/spb/2022/abstracts/9357
Андрей Иванов — Директор по развитию в Swordfish Security, ведет проекты разной степени сложности по DevSecOps. Темы, которыми увлекается: безопасная разработка, безопасность мобильных и web-приложений, безопасность архитектуры, кибербезопасность банковского сектора, безопасность платежей, законы и инициативы регулятора (ЦБ).
