DevSecOps — підхід до розробки та випуску ПЗ, за якого перевірки безпеки й спільна відповідальність за неї вбудовані в кожен етап конвеєра DevOps: від проєктування та написання коду до розгортання й експлуатації.
Як працює DevSecOps
У класичній розробці готовий код передавали на перевірку фахівцям із безпеки незадовго до релізу. DevSecOps «зсуває безпеку вліво» (shift left): автоматичні тести запускаються під час кожного коміту, а розробники виправляють проблеми, поки код ще свіжий у пам’яті. Типовий CI/CD-конвеєр містить:
- SAST — статичний аналіз вихідного коду на ін’єкції та небезпечні функції.
- SCA — аналіз складу ПЗ, який виявляє open-source-залежності з відомими вразливостями і формує перелік компонентів (SBOM).
- Пошук секретів — виявлення паролів і API-ключів, що потрапили до репозиторіїв.
- DAST і фазинг — тестування застосунку, що працює, шкідливими вхідними даними.
- Перевірка інфраструктури як коду та контейнерів — пошук помилок конфігурації хмарних ресурсів і вразливих базових образів.
Чому DevSecOps важливий
Релізи виходять щокілька годин, і ручні «шлюзи» безпеки за ними не встигають. Крім того, мішенню стали самі системи збирання: в інциденті SolarWinds (2020) зловмисники вбудували бекдор SUNBURST у процес збирання Orion, а 2021 року модифікований скрипт-завантажувач Codecov викрадав облікові дані з CI-середовищ клієнтів. Такі атаки на ланцюг постачання показують, що конвеєр треба захищати так само ретельно, як продуктивне середовище. Очікувані заходи описують NIST Secure Software Development Framework (SP 800-218) і SLSA.
Як запровадити DevSecOps
- Автоматизувати тести безпеки в конвеєрі й зупиняти збирання в разі критичних знахідок.
- Вести SBOM і постійно оновлювати залежності.
- Захищати облікові дані CI/CD, підписувати артефакти збирання й обмежувати коло тих, хто може змінювати конвеєри.
- Навчати розробників безпечного програмування й давати їм швидкий і зрозумілий зворотний зв’язок.
