Nahoana ny fiarovana an-tserasera no ampahany fototra amin'ny fampivoarana rindrambaiko (tsy hoe noeritreretina fotsiny)
Na manorina fitaovana anatiny ianao na sehatra SaaS, fiarovana amin'ny aterineto ho an'ny fampiharana rindrambaikotsy maintsy ampidirina hatramin'ny voalohany ny s commitTsy afaka mihevitra izany ho andraikitry ny hafa intsony ireo mpamorona. Raha ny marina, ny fahatakarana ny fetran'ny fiarovana amin'ny aterineto vs injeniera rindrambaiko manampy ny ekipa hanome kaody izay tsy vitan'ny hoe miasa tsara fa mahatanty ihany koa. Ao no misy ny maoderina rindrambaiko cybersecurity sy Fomba fanao amin'ny AppSec mamirapiratra. Ireo fitaovana ireo dia manome fitaovana ho an'ny mpamorona amin'ny fitadiavana fandrahonana amin'ny fotoana tena izy, mampihatra kaody azo antoka standards, ary mitantana ny risika manerana ny rojo famatsiana rindrambaiko. Vokatr'izany, ity fiovana fantatra amin'ny anarana hoe "Shift Left" ity dia mametraka ny fiarovana amin'ny toerana tena manan-danja indrindra: ao anatin'ny codebase-nao.
Ato amin'ity lahatsoratra ity dia hanazava izay cybersecurity tena midika ho an'ny ekipa mpamorona rindrambaiko sy ny antony tokony hampidiran'ny injeniera DevOps rehetra azy mialoha.
Inona no atao hoe fiarovana an-tserasera ho an'ny rindranasa rindrambaiko?
Ny fiarovana an-tserasera ho an'ny fampiharana rindrambaiko dia ahitana ny fomba fanao sy fitaovana rehetra ampiasain'ny ekipa mpamorona mba hiarovana ny kaody amin'ny fanitsakitsahana angon-drakitra, fidirana tsy nahazoana alalana, ary hetsika ratsy manomboka amin'ny dingana voalohany amin'ny... SDLC.
Ity fomba fiasa ity dia manome laharam-pahamehana ny fiarovana ny tena fananan'ny rindrambaiko toy ny rakitra loharano, fa tsy mifantoka amin'ny tontolo iainana runtime fotsiny. tranomboky avy amin'ny antoko fahatelo, firafitry ny rafitra, ary CI/CD fomba fiasa. Amin'ny fanaovana izany, mampiasa rindrambaiko fiarovana an-tserasera ny ekipa mba hamantarana haingana ireo fahalemena, hitantanana ireo tsiambaratelo saro-pady, hampihatra politika momba ny fiarovana, ary hiarovana ireo singa open-source sy ireo singa namboarina manokana.
Koa ahoana no fiasan'izany eo amin'ny tontolo tena izy pipelineIreto ny fomba fampiasan'ny ekipa DevSecOps matetika:
- Fitsapana fiarovana ny fampiharana statika (SAST) fitaovana hamantarana ireo bibikely sy lesoka mivantana ao amin'ny IDE na mandritra ny famerenana kaody
- Fanaraha-maso ny fitondran-tena ao anatin'ny rafitra fananganana toy ny GitHub Hetsika na Jenkins mba hisamborana hetsika tsy mahazatra
- Famakafakana ny firafitry ny rindrambaiko (SCA) hamantarana ireo fiankinan-doha mampidi-doza sy ireo fonosana efa lany andro
- CI/CD fampidirana mba ho mandeha ho azy ireo rehetra voalaza etsy ambony ireo mba hahafahan'ny tsirairay commit mandalo amin'ny fitaovana fiarovana tsy misy fikikisana fanampiny
Shift Left: Fampidirana ny fiarovana an-tserasera eo am-piandohan'ny fizotran'ny asa fampandrosoana
Mazava fa ny foto-kevitra ny "Miova ankavia" midika hoe fampidirana fiarovana mialoha kokoa amin'ny tsingerin'ny fampandrosoana. Na izany aza, rehefa tena mampihatra izany ny ekipa dia manova tanteraka ny fomba fiatrehany ny fampandrosoana rindrambaiko izy ireo.
Aleo tsy manosika kaody ary miandry ny fizahana fiarovana amin'ny dingana farany, DevSecOps mandinika mialoha ny tsirairay ireo ekipa pull request, artifact fananganana, ary rakitra fikirakirana alohan'ny hifindran'ny kaody amin'ny famokarana. Raha lazaina amin'ny teny hafa, mampiditra fiarovana mivantana ao amin'ny workflows izy ireo.
Amin'ny maha-mpitarika ny fiarovana amin'ny aterineto Kelly Shortridge manazava, "Tsy maintsy miova ny fiarovana, fa tsy mpiambina vavahady intsony, fa lasa mpanome hery ho anisan'ny mpandray anjara amin'izany." pipeline, tsy sakana amin'izany.” Io filozofia io no fototry ny hetsika Shift Left.
Indrindra indrindra, ireo ekipa maoderina dia mampihatra ireto fomba fanao ireto:
- Fiarovana-toy-kaody: Mamaritra, mamolavola ary mandeha ho azy ny politika ny ekipa mba hampiharana azy tsy misy fahatarana
- Fijerena an-tserasera: Ireo sehatra toa an'i Xygeni dia mijery isaky ny commit mba hamantarana avy hatrany ireo tsiambaratelo, malware ary tranomboky mampidi-doza
- Laharam-pahamehana amin'ny risika: Tsy miantehitra amin'ny CVSS fotsiny ireo ekipa fa manome laharam-pahamehana ny fahalemena amin'ny fampiasana ny EPSS, ny fahafahana mampiasa azy, ary ny fahafahana mahatratra azy.
- Valin-kafatra avy amin'ny mpamorona aloha: Miseho mivantana ao amin'ireo fitaovan'ny mpamorona ny fampandrenesana momba ny fiarovana miaraka amin'ny soso-kevitra azo ampiharina sy fanamboarana mandeha ho azy
Vokatr'izany, tsy mandany fotoana amin'ny fanavaozana na olana efa tara loatra ireo mpamorona rindrambaiko. Mifantoka amin'izay tena zava-dehibe izy ireo, dia ny fandefasana kaody azo antoka sy azo itokisana haingana kokoa.
Fiarovana amin'ny Aterineto vs Injeniera Rindrambaiko: Nahoana ny Mpamorona no Mila Azy Roa
Raha vao jerena dia toa sehatra misaraka ny fiarovana an-tserasera sy ny injeniera rindrambaiko. Na izany aza, miha-mifampitohy hatrany izy ireo amin'ny asa fampandrosoana andavanandro.
Mifantoka amin'ny fananganana rafitra azo itokisana sy azo ovaina izay miasa araka ny antenaina ny injenieran'ny rindrambaiko. Mifanohitra amin'izany kosa, ny fiarovana amin'ny aterineto dia miaro ireo rafitra ireo amin'ny fandrahonana niniana natao toy ny fanitsakitsahana angon-drakitra, malware, ary fanafihana amin'ny rojo famatsiana.
Araka ny fomban-drazana, ireo mpamorona kaody no nanoratra kaody, ary ireo ekipa fiarovana no nanamarina izany taty aoriana. Amin'izao fotoana izao, tsy miasa intsony io maodely io. Satria mamindra ny fiarovana miankavia izao ny DevSecOps, dia tsy maintsy manoratra ireo mpamorona kaody. kaody azo antoka, mitantana tsara ny tsiambaratelo, ary manamarina ny fiankinan-doha amin'ny fotoana tena izy.
Raha lazaina amin'ny teny hafa, ny mpamorona maoderina dia tsy vitan'ny hoe mamorona endri-javatra fotsiny fa miaro azy ireo ihany koa. Mampiasa rindrambaiko fiarovana an-tserasera izy ireo mba hijerena pull requests, manara-maso ny fitondran-tena mampidi-doza, ary mampihatra ny politika araka ny fehezan-dalàna nefa tsy miala amin'ny IDE-ny.
Amin'ny farany, ny fahatakarana ny fifandanjana eo amin'ny fiarovana amin'ny aterineto sy ny injeniera rindrambaiko dia manome hery ny ekipa hiara-hiasa amin'ny fomba mahomby kokoa. Rehefa mizara andraikitra amin'ny fiarovana ny rehetra, manomboka amin'ny injeniera backend ka hatramin'ny SREs, dia lasa matanjaka kokoa ny fampiharana.
Fahatakarana ny Fisarahana: Fiarovana an-tserasera vs Injeniera Rindrambaiko amin'ny Fizotran'ny Asa Dev
Misafidy ny rindrambaiko fiarovana an-tserasera mety amin'ny stack-nao
Ny rindrambaiko fiarovana an-tserasera tsara indrindra dia tsy mipetraka ivelan'ny anao pipeline Miara-miasa amin'izany izy io. Izany no mahatonga ny stack-nao ho toy ny ampahany voajanahary amin'ny fomba fiasanao, fa tsy fitaovana misaraka izay ezahin'ny mpamorona ialana.
Miaraka amin'i Xygeni Sehatra AppSec rehetra-ao-amin'ny-iray, mahazo izay rehetra ilaina ianao mba hiarovana ireo rindranasa rindrambaiko amin'ny toerana iray. Tsy mila mampiasa fitaovana mitokana fotsiny ny Xygeni, fa mampiray ny fiarovana manerana ny SDLC hatramin'ny voalohany commit hatramin'ny fametrahanao farany.
Ireto ny tombony azon'ny ekipa amin'ny Xygeni:
- SAST + SCA mba hahitana ireo lesoka amin'ny kaody sy ireo risika amin'ny loharano misokatra amin'ny fotoana tena izy
- Fampidirana Git, GitHub, ary GitLab ho an'ny fanamarinana fiarovana teratany mandritra ny famerenana sy ny fampivondronana
- Fitihana tsiambaratelo sy IaC scanning mba hisorohana ny tsy fahatomombanana sy ny fisehoana tsy nahy
- Tatitra momba ny fitantanana sy ny fanarahan-dalàna mifanaraka amin'ny rafitra DORA, NIST, ary ISO
- Endri-javatra fanarenana mandeha ho azy izay manome fahafahana ireo mpamorona rindrambaiko hamaha olana avy hatrany amin'ny IDE-ny na CI/CD fitaovana
Ankoatra izany, tsy vitan'ny hoe mamantatra ny risika fotsiny ny Xygeni fa manome laharam-pahamehana azy ireo amin'ny fampiasana azy ireo koa. metrika momba ny fahafahana mampiasa azy toy ny EPSS sy fahatratraranaIzany dia manampy ny ekipanao handray andraikitra amin'izay tena zava-dehibe, sady manaraka ny lalàna sy mifehy ny zava-misy.
Rehefa ampifandraisina tsara ireo fitaovana fiarovana ireo, dia mihetsika haingana kokoa sy azo antoka kokoa ireo mpamorona rindrambaiko tsy misy olana.
Hevitra Farany: Nahoana no Tsy Maintsy Manomboka Amin'ny Mpamorona ny Fiarovana An-tserasera
Tsy fanampiny fotsiny ny fiarovana an-tserasera ho an'ny fampiharana rindrambaiko fa tena ilaina amin'ny fampandrosoana. Rehefa miha-mihafaingana ny tsingerin'ny fanaterana, ny hany fomba ahafahana manaraka izany dia ny fampidirana fiarovana hatrany am-piandohana.
Izany no mahatonga ny fahatakarana ny fahasamihafana misy eo amin'ny fiarovana amin'ny aterineto sy ny injeniera rindrambaiko ho zava-dehibe. Tsy vitan'ny hoe manorina rafitra fotsiny intsony ny mpamorona rindrambaiko fa miaro azy ireo mivantana. Na mitantana tranomboky avy amin'ny antoko fahatelo ianao na manoratra fotodrafitrasa ho toy ny kaody, dia tsy maintsy mijanona ho akaiky ny fototry ny kaody ny fiarovana.
Ny rindrambaiko fiarovana an-tserasera maoderina toy ny sehatra AppSec rehetra an'ny Xygeni dia manampy amin'ny fanovana ny fiarovana ho ankavia, ahafahan'ny mpamorona rindrambaiko mahita mialoha ny lesoka, manamboatra azy ho azy, ary mifanaraka amin'ny rafitra toy ny Dora sy NIST.
Amin'ny alàlan'ny fampiasana ny fiarovana amin'ny aterineto ho an'ny fampiharana rindrambaiko dieny mbola kely SDLC, mampihena ny asa fanavaozana ny ekipa, mampihena ny risika, ary mitazona ny fanarahan-dalàna ho mora. Rehefa lasa ampahany voajanahary amin'ny fomba fiasanao ny fiarovana, dia ho haingana kokoa ny fanaterana fa tsy hiadana kokoa.
Te hahafantatra ny fomba ahafahan'ny Xygeni manampy anao hametraka fiarovana manerana ny... pipeline? Manomboka anio ary sambo am-pahatokiana.
