DevSecOps — подход к разработке и выпуску ПО, при котором проверки безопасности и общая ответственность за неё встроены в каждый этап конвейера DevOps: от проектирования и написания кода до развёртывания и эксплуатации.
Как работает DevSecOps
В классической разработке готовый код передавали на проверку безопасникам незадолго до релиза. DevSecOps «сдвигает безопасность влево» (shift left): автоматические тесты запускаются при каждом коммите, а разработчики исправляют проблемы, пока код ещё свеж в памяти. Типичный CI/CD-конвейер включает:
- SAST — статический анализ исходного кода на инъекции и небезопасные функции.
- SCA — анализ состава ПО, который находит open-source-зависимости с известными уязвимостями и формирует перечень компонентов (SBOM).
- Поиск секретов — обнаружение паролей и API-ключей, попавших в репозитории.
- DAST и фаззинг — тестирование работающего приложения вредоносными входными данными.
- Проверка инфраструктуры как кода и контейнеров — поиск ошибок конфигурации облачных ресурсов и уязвимых базовых образов.
Почему DevSecOps важен
Релизы выходят каждые несколько часов, и ручные «шлюзы» безопасности за ними не успевают. Кроме того, мишенью стали сами системы сборки: в инциденте SolarWinds (2020) атакующие внедрили бэкдор SUNBURST в процесс сборки Orion, а в 2021 году модифицированный скрипт-загрузчик Codecov похищал учётные данные из CI-сред клиентов. Такие атаки на цепочку поставок показывают, что конвейер нужно защищать так же тщательно, как продуктивную среду. Ожидаемые меры описывают NIST Secure Software Development Framework (SP 800-218) и SLSA.
Как внедрить DevSecOps
- Автоматизировать тесты безопасности в конвейере и останавливать сборку при критичных находках.
- Вести SBOM и постоянно обновлять зависимости.
- Защищать учётные данные CI/CD, подписывать артефакты сборки и ограничивать круг тех, кто может менять конвейеры.
- Обучать разработчиков безопасному программированию и давать им быструю и понятную обратную связь.
