Scans Infrastructure-as-Code
Scansiona i template Terraform, CloudFormation, Pulumi e ARM alla ricerca di problemi di sicurezza prima del deployment. Strumenti come checkov, tfsec e KICS valutano l'IaC rispetto alle policy di sicurezza e ai benchmark CIS, individuando configurazioni errate prima che raggiungano il cloud.
Security Gates per Pull Request
Integra la scansione IaC nelle revisioni delle pull request. I risultati relativi alla sicurezza appaiono come commenti alla PR, bloccando i merge che introducono configurazioni errate critiche. Questo sposta il feedback di sicurezza al punto in cui gli sviluppatori stanno già prendendo decisioni: la pull request.
Validazione in Runtime
La scansione IaC individua i problemi nel codice. La scansione in runtime individua i problemi nell'infrastruttura implementata, comprese le deviazioni dallo stato definito da IaC, le risorse create al di fuori di IaC e le configurazioni modificate manualmente. Entrambi i livelli sono necessari.
Quando Aggiungere Test Manuali
Gli strumenti di pipeline automatizzati individuano i modelli conosciuti. I Penetration Testing manuali trimestrali da parte di esperti di sicurezza cloud, come i professionisti di Penetrify, individuano le catene di exploit, i percorsi di attacco cross-service e le debolezze architetturali che gli strumenti di pipeline non sono in grado di identificare. La combinazione offre velocità e profondità.
In Sintesi
Il security testing in DevSecOps non significa rallentare, ma individuare configurazioni errate alla velocità del deployment. Automatizza la scansione IaC nella tua pipeline, convalida continuamente le configurazioni in runtime e aggiungi test manuali esperti trimestralmente per una maggiore profondità. Penetrify fornisce il livello di profondità manuale.