Infrastructure-as-Code Scanning
Scannen Sie Terraform-, CloudFormation-, Pulumi- und ARM-Vorlagen vor der Bereitstellung auf Sicherheitsprobleme. Tools wie Checkov, tfsec und KICS bewerten IaC anhand von Sicherheitsrichtlinien und CIS-Benchmarks und erkennen Fehlkonfigurationen, bevor diese die Cloud erreichen.
Pull Request Security Gates
Integrieren Sie IaC-Scanning in Pull-Request-Reviews. Sicherheitsergebnisse werden als PR-Kommentare angezeigt und blockieren Merges, die kritische Fehlkonfigurationen einführen. Dies verlagert das Sicherheitsfeedback an den Punkt, an dem Entwickler bereits Entscheidungen treffen – den Pull Request.
Runtime Validation
IaC-Scanning erkennt Probleme im Code. Runtime-Scanning erkennt Probleme in der bereitgestellten Infrastruktur – einschließlich Abweichungen vom IaC-definierten Zustand, Ressourcen, die außerhalb von IaC erstellt wurden, und Konfigurationen, die manuell geändert wurden. Beide Ebenen sind notwendig.
When to Add Manual Testing
Automatisierte Pipeline-Tools erkennen bekannte Muster. Vierteljährliche manuelle Penetration Testing durch Cloud-Sicherheitsexperten – wie die Praktiker von Penetrify – deckt die Exploitation-Ketten, Cross-Service-Angriffspfade und architektonischen Schwächen auf, die Pipeline-Tools nicht identifizieren können. Die Kombination bietet Geschwindigkeit und Tiefe.
The Bottom Line
Beim Security Testing in DevSecOps geht es nicht darum, zu verlangsamen – sondern darum, Fehlkonfigurationen mit der Geschwindigkeit der Bereitstellung zu erkennen. Automatisieren Sie das IaC-Scanning in Ihrer Pipeline, validieren Sie kontinuierlich die Runtime-Konfigurationen und ergänzen Sie dies vierteljährlich durch manuelles Expert Testing, um mehr Tiefe zu erreichen. Penetrify bietet die manuelle Tiefenebene.