Mezera, kterou TaaS vyplňuje
SAST a SCA zachytávají problémy na úrovni kódu v rané fázi. DAST zachytává běžné webové zranitelnosti. Chyby v obchodní logice, obcházení autorizace a složité cesty zneužití však vyžadují testování expertem – a toto testování musí být poskytováno způsobem, který se integruje s vaším vývojovým pracovním postupem, a nenarušuje jej. TaaS tuto mezeru překlenuje.
Integrace do pipeline
Platformy TaaS se integrují v několika bodech: automatizované DAST skenování se spouští při nasazení v CI/CD, manuální testování experty se sladí s cykly sprintů nebo milníky vydání, nálezy se odesílají do Jira/GitHub jako problémy přiřazené vlastnícímu týmu a retestování se spouští automaticky, když jsou opravy sloučeny. Výsledkem je, že se bezpečnostní testování stává signálem ve vašem vývojovém procesu, a ne jeho narušením.
Zkrácení smyčky zpětné vazby
Tradiční poradenství: najdeme zranitelnost v lednu, doručíme zprávu v únoru, zahájíme nápravu v březnu, ověříme opravu v dubnu. TaaS: najdeme zranitelnost v úterý, vývojář ji uvidí v Jira ve středu, oprava je vydána ve čtvrtek, retestování potvrdí v pátek. Smyčka zpětné vazby se zkracuje z měsíců na dny.
Budování bezpečnostní kultury
Když vývojáři vidí bezpečnostní nálezy ve svých nástrojích, ve svém kontextu, vedle své další práce, bezpečnost přestává být „problémem týmu compliance“. Stává se provozní inteligencí, která zlepšuje kvalitu kódu. Platformy TaaS umožňují tento posun v praxi tím, že odstraňují tření mezi hledáním a opravou.
Penetrify pro DevSecOps
Platforma Penetrify se integruje do pracovních postupů DevSecOps pomocí automatizovaného skenování spouštěného nasazeními, manuálního testování experty sladěného s cykly vydávání, nálezů odesílaných do vývojářských nástrojů a retestování zabudovaného do pracovního postupu nápravy. Zprávy mapované na shodu s předpisy se generují automaticky – není vyžadován žádný samostatný proces dokumentace.
Závěrem
DevSecOps bez integrovaného bezpečnostního testování je filozofie bez zubů. TaaS jej umožňuje provozovat tím, že doručuje odborné nálezy do pracovních postupů, které vaši vývojáři již používají. Penetrify byl pro toto vytvořen: bezpečnostní testování, které se pohybuje rychlostí vývoje.