Skenovanie Infrastructure-as-Code
Skenujte šablóny Terraform, CloudFormation, Pulumi a ARM na prítomnosť bezpečnostných problémov ešte pred nasadením. Nástroje ako checkov, tfsec a KICS vyhodnocujú IaC voči bezpečnostným politikám a CIS benchmarkom, čím zachytávajú nesprávne konfigurácie skôr, než sa dostanú do cloudu.
Bezpečnostné brány pre Pull Requesty
Integrujte skenovanie IaC do revízií pull requestov. Bezpečnostné zistenia sa zobrazujú ako komentáre k PR, čím blokujú mergovanie, ktoré zavádzajú kritické nesprávne konfigurácie. Toto presúva spätnú väzbu o bezpečnosti do bodu, kde už vývojári robia rozhodnutia – do pull requestu.
Validácia za behu
Skenovanie IaC zachytáva problémy v kóde. Skenovanie za behu zachytáva problémy v nasadenej infraštruktúre – vrátane odchýlok od stavu definovaného v IaC, zdrojov vytvorených mimo IaC a konfigurácií upravených manuálne. Obe vrstvy sú nevyhnutné.
Kedy pridať manuálne testovanie
Automatizované nástroje v pipeline zachytávajú známe vzory. Kvartálne manuálne penetračné testovanie vykonávané odborníkmi na cloudovú bezpečnosť – ako sú odborníci z Penetrify – zachytávajú reťazce zneužitia, cesty útoku medzi službami a architektonické slabiny, ktoré nástroje v pipeline nedokážu identifikovať. Táto kombinácia poskytuje rýchlosť a hĺbku.
Záver
Bezpečnostné testovanie v DevSecOps nie je o spomaľovaní – je o zachytávaní nesprávnych konfigurácií rýchlosťou nasadenia. Automatizujte skenovanie IaC vo vašej pipeline, nepretržite validujte konfigurácie za behu a kvartálne pridávajte manuálne odborné testovanie pre hĺbku. Penetrify poskytuje vrstvu manuálnej hĺbky.