{"id":31852,"date":"2019-10-31T21:43:30","date_gmt":"2019-10-31T18:43:30","guid":{"rendered":"https:\/\/prohoster.info\/blog\/strah-i-nenavist-devsecops\/"},"modified":"2019-10-31T21:43:30","modified_gmt":"2019-10-31T18:43:30","slug":"strah-i-nenavist-devsecops","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/strah-i-nenavist-devsecops","title":{"rendered":"Strach a nen\u00e1vist DevSecOps","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

M\u011bli jsme 2 analyz\u00e1tory k\u00f3du, 4 n\u00e1stroje pro dynamick\u00e9 testov\u00e1n\u00ed, sv\u00e9 vlastn\u00ed projekty a 250 skript\u016f. Nen\u00ed to, \u017ee by to v\u0161echno bylo pot\u0159ebn\u00e9 v sou\u010dasn\u00e9m procesu, ale kdy\u017e jsme za\u010dali zav\u00e1d\u011bt DevSecOps, je t\u0159eba to dot\u00e1hnout do konce.<\/p>\n

\"Strach
\n
\nZdroj<\/a><\/noindex>. Auto\u0159i postav: Justin Roiland a Dan Harmon.<\/i><\/p>\n

Co je to SecDevOps? A DevSecOps? Jak\u00e9 jsou rozd\u00edly? Bezpe\u010dnost aplikac\u00ed \u2013 co to je? Pro\u010d klasick\u00fd p\u0159\u00edstup u\u017e nefunguje? Na v\u0161echny tyto ot\u00e1zky zn\u00e1 odpov\u011b\u010f Jurij \u0160abalin<\/b> z\u00a0Swordfish Security. <\/b>Jurij podrobn\u011b odpov\u00ed na v\u0161e a probere probl\u00e9my p\u0159echodu od klasick\u00e9ho modelu bezpe\u010dnosti aplikac\u00ed k procesu DevSecOps: jak spr\u00e1vn\u011b vbudovat proces bezpe\u010dn\u00e9ho v\u00fdvoje do procesu DevOps a nic p\u0159i tom neporu\u0161it, jak proj\u00edt hlavn\u00edmi etapami testov\u00e1n\u00ed na bezpe\u010dnost, jak\u00e9 n\u00e1stroje lze pou\u017e\u00edt, \u010d\u00edm se li\u0161\u00ed a jak je spr\u00e1vn\u011b nastavit, aby se zabr\u00e1nilo p\u0159ek\u00e1\u017ek\u00e1m.
\n<\/a><\/noindex>
\n

\r\n \"P\u0159ehr\u00e1t\r\n
<\/div>\r\n <\/div><\/center>
\nO speakerovi:<\/b> Jurij \u0160abalin \u2013 <\/b>Chief Security Architect ve spole\u010dnosti Swordfish Security<\/b>. Odpov\u00edd\u00e1 za zaveden\u00ed SSDL, za celkovou integraci n\u00e1stroj\u016f pro anal\u00fdzu aplikac\u00ed do jedin\u00e9 ekosyst\u00e9mu v\u00fdvoje a testov\u00e1n\u00ed. 7 let zku\u0161enost\u00ed v oblasti informa\u010dn\u00ed bezpe\u010dnosti. Pracoval v Alfa-Banku, Sberbank a v Positive Technologies, kter\u00e1 vyv\u00edj\u00ed software a poskytuje slu\u017eby. Speaker na mezin\u00e1rodn\u00edch konferenc\u00edch ZerONights, PHDays, RISSPA, OWASP.<\/p>\n

Bezpe\u010dnost aplikac\u00ed: co to je?<\/h2>\n

\nBezpe\u010dnost aplikac\u00ed<\/b>\u00a0\u2013 to je oblast bezpe\u010dnosti, kter\u00e1 se zam\u011b\u0159uje na bezpe\u010dnost aplikac\u00ed. To se net\u00fdk\u00e1 infrastruktury nebo s\u00ed\u0165ov\u00e9 bezpe\u010dnosti, ale toho, co p\u00ed\u0161eme a na \u010dem pracuj\u00ed v\u00fdvoj\u00e1\u0159i \u2013 to jsou nedostatky a zranitelnosti samotn\u00e9 aplikace.<\/p>\n

Oblast SDL nebo SDLC<\/a><\/noindex>\u00a0\u2014 Security development lifecycle<\/b>\u00a0\u2013 vyvinula spole\u010dnost Microsoft. Na sch\u00e9matu je kanonick\u00fd model SDLC, jeho\u017e hlavn\u00edm \u00fakolem je \u00fa\u010dast bezpe\u010dnosti v ka\u017ed\u00e9 f\u00e1zi v\u00fdvoje, od po\u017eadavk\u016f a\u017e po uvoln\u011bn\u00ed do produkce. V Microsoftu si uv\u011bdomili, \u017ee v produktech je p\u0159\u00edli\u0161 mnoho chyb, \u017ee jich st\u00e1le p\u0159ib\u00fdv\u00e1 a je t\u0159eba s t\u00edm n\u011bco d\u011blat, a navrhli tento p\u0159\u00edstup, kter\u00fd se stal kanonick\u00fdm.<\/p>\n

\"Strach
\n
\nBezpe\u010dnost aplikac\u00ed a SSDL nesm\u011b\u0159uj\u00ed k odhalov\u00e1n\u00ed zranitelnost\u00ed, jak se \u010dasto myln\u011b p\u0159edpokl\u00e1d\u00e1, ale k prevenci jejich vzniku. \u010casem byl kanonick\u00fd p\u0159\u00edstup od Microsoftu vylep\u0161en a rozvinut, do\u0161lo k hlub\u0161\u00edmu detailn\u00edmu vniknut\u00ed.<\/p>\n

\"Strach
\n
\nKanonick\u00fd SDLC je podrobn\u011b rozpracov\u00e1n v r\u016fzn\u00fdch metodologi\u00edch \u2013 OpenSAMM, BSIMM, OWASP. Metodologie se li\u0161\u00ed, ale celkov\u011b si jsou podobn\u00e9.<\/p>\n

Model zralosti vybudov\u00e1n\u00ed zabezpe\u010den\u00ed<\/h3>\n

\nNejv\u00edce mi vyhovuje BSIMM<\/b>\u00a0\u2014 Model zralosti vybudov\u00e1n\u00ed zabezpe\u010den\u00ed<\/a><\/noindex>. Z\u00e1kladem metodologie je rozd\u011blen\u00ed procesu aplikovan\u00e9 bezpe\u010dnosti do 4 dom\u00e9n: Governance, Intelligence, SSDL Touchpoints a Deployment. V ka\u017ed\u00e9 dom\u00e9n\u011b je 12 praktik, kter\u00e9 jsou prezentov\u00e1ny jako 112 aktivit.<\/p>\n

\"Strach
\n
\nKa\u017ed\u00e1 z 112 aktivit m\u00e1 3 \u00farovn\u011b zralosti<\/b>: z\u00e1kladn\u00ed, st\u0159edn\u00ed a pokro\u010dil\u00e1. V\u0161echny 12 praktik lze studovat podle sekc\u00ed, vyb\u00edrat si d\u016fle\u017eit\u00e9 v\u011bci pro v\u00e1s, zkoumat, jak je implementovat a postupn\u011b p\u0159id\u00e1vat prvky, nap\u0159\u00edklad statickou a dynamickou anal\u00fdzu k\u00f3du nebo code review. Napl\u00e1nujete si pl\u00e1n a podle n\u011bj klidn\u011b pracujete v r\u00e1mci implementace vybran\u00fdch aktivit.<\/p>\n

Pro\u010d DevSecOps<\/h2>\n

<\/p>\n

DevOps je komplexn\u00ed proces, ve kter\u00e9m je t\u0159eba db\u00e1t na bezpe\u010dnost.<\/p><\/blockquote>\n

\nP\u016fvodn\u011b DevOps<\/b><\/a><\/noindex> p\u0159edpokl\u00e1dal kontroly na bezpe\u010dnost. V praxi byla po\u010detn\u00ed s\u00edla bezpe\u010dnostn\u00edch t\u00fdm\u016f mnohem men\u0161\u00ed, ne\u017e je dnes, a fungovali jako kontroln\u00ed a dozorov\u00fd org\u00e1n, kter\u00fd klade po\u017eadavky a kontroluje kvalitu produktu na konci vyd\u00e1n\u00ed. To je klasick\u00fd p\u0159\u00edstup, kde byly bezpe\u010dnostn\u00ed t\u00fdmy odd\u011bleny od v\u00fdvoje a neparticipovaly na procesu.<\/p>\n

\"Strach
\n
\nHlavn\u00edm probl\u00e9mem je, \u017ee kybernetick\u00e1 bezpe\u010dnost je odd\u011blen\u00e1 od v\u00fdvoje. Obvykle je to n\u011bjak\u00fd obrys kybernetick\u00e9 bezpe\u010dnosti a v n\u011bm 2-3 velk\u00e9 a drah\u00e9 n\u00e1stroje. Jednou za p\u016fl roku doraz\u00ed zdrojov\u00fd k\u00f3d nebo aplikace, kterou je t\u0159eba zkontrolovat, a jednou ro\u010dn\u011b prob\u00edhaj\u00ed penetra\u010dn\u00ed testy<\/a><\/noindex>. To v\u0161echno vede k tomu, \u017ee term\u00edny uveden\u00ed do produkce se prodlu\u017euj\u00ed a na v\u00fdvoj\u00e1\u0159e se hromad\u00ed obrovsk\u00e9 mno\u017estv\u00ed zranitelnost\u00ed z automatizovan\u00fdch prost\u0159edk\u016f. To v\u0161e je nemo\u017en\u00e9 rozebrat a opravit, proto\u017ee je\u0161t\u011b za p\u0159edchoz\u00edch \u0161est m\u011bs\u00edc\u016f nebyly zpracov\u00e1ny v\u00fdsledky, a nyn\u00ed je tu nov\u00e1 v\u00e1rka.<\/p>\n

V procesu pr\u00e1ce na\u0161\u00ed spole\u010dnosti vid\u00edme, \u017ee bezpe\u010dnost ve v\u0161ech oborech a odv\u011btv\u00edch si uv\u011bdomuje, \u017ee je \u010das se zlep\u0161ovat a spolupracovat s v\u00fdvojem jako jeden celek \u2013 v\u00a0Agile<\/b><\/a><\/noindex>. Paradigma DevSecOps skv\u011ble zapad\u00e1 do metodologie agiln\u00edho v\u00fdvoje, b\u011bhem implementace, podpory a \u00fa\u010dasti v ka\u017ed\u00e9m vyd\u00e1n\u00ed a iteraci.<\/p>\n

\"Strach
\n<\/p>\n

P\u0159echod na DevSecOps<\/h2>\n

\nNejd\u016fle\u017eit\u011bj\u0161\u00ed slovo v Security Development Lifecycle je \"proces\"<\/b>Mus\u00edte to pochopit, ne\u017e za\u010dnete uva\u017eovat o koupi n\u00e1stroj\u016f.<\/p>\n

Pouh\u00e9 za\u0159azen\u00ed n\u00e1stroj\u016f do procesu DevOps nesta\u010d\u00ed - d\u016fle\u017eit\u00e9 je zapojen\u00ed a pochopen\u00ed mezi \u00fa\u010dastn\u00edky procesu.<\/p><\/blockquote>\n

<\/p>\n

D\u016fle\u017eit\u011bj\u0161\u00ed jsou lid\u00e9, nikoli n\u00e1stroje.<\/h3>\n

\n\u010casto pl\u00e1nov\u00e1n\u00ed procesu bezpe\u010dn\u00e9ho v\u00fdvoje za\u010d\u00edn\u00e1 v\u00fdb\u011brem a koup\u00ed n\u00e1stroje a kon\u010d\u00ed pokusy o integraci n\u00e1stroje do st\u00e1vaj\u00edc\u00edho procesu, kter\u00e9 z\u016fst\u00e1vaj\u00ed jen pokusy. To vede k smutn\u00fdm n\u00e1sledk\u016fm, proto\u017ee ka\u017ed\u00fd n\u00e1stroj m\u00e1 sv\u00e9 specifick\u00e9 vlastnosti a omezen\u00ed.<\/p>\n

B\u011b\u017en\u00fd p\u0159\u00edpad je, kdy\u017e bezpe\u010dnostn\u00ed odd\u011blen\u00ed vybere dobr\u00fd, drah\u00fd n\u00e1stroj s \u0161irok\u00fdmi mo\u017enostmi a p\u0159ich\u00e1z\u00ed k v\u00fdvoj\u00e1\u0159\u016fm, aby ho za\u010dlenili do procesu. Ale nefunguje to - proces je nastaven tak, \u017ee omezen\u00ed ji\u017e zakoupen\u00e9ho n\u00e1stroje neodpov\u00edd\u00e1 aktu\u00e1ln\u00ed paradigm\u011b.<\/p>\n

Nejprve popi\u0161te, jak\u00fd v\u00fdsledek chcete a jak bude proces vypadat. To pom\u016f\u017ee pochopit roli n\u00e1stroje a bezpe\u010dnosti v procesu.<\/p><\/blockquote>\n

<\/p>\n

Za\u010dn\u011bte s t\u00edm, co ji\u017e pou\u017e\u00edv\u00e1te.<\/h3>\n

\nP\u0159ed koup\u00ed drah\u00fdch n\u00e1stroj\u016f se pod\u00edvejte na to, co ji\u017e m\u00e1te. V ka\u017ed\u00e9 spole\u010dnosti existuj\u00ed po\u017eadavky na bezpe\u010dnost, kter\u00e9 se vztahuj\u00ed na v\u00fdvoj, jsou tu audity, penetra\u010dn\u00ed testy - pro\u010d to cel\u00e9 nep\u0159etavit do srozumiteln\u00e9ho a u\u017eivatelsky p\u0159\u00edv\u011btiv\u00e9ho form\u00e1tu?<\/p>\n

Obvykle jsou po\u017eadavky jen pap\u00edrov\u00fd svazek, kter\u00fd le\u017e\u00ed na polici. Byla situace, kdy jsme p\u0159i\u0161li do spole\u010dnosti, abychom prozkoumali procesy, a po\u017e\u00e1dali jsme o uk\u00e1z\u00e1n\u00ed po\u017eadavk\u016f na bezpe\u010dnost software. Odborn\u00edk, kter\u00fd to m\u011bl na starosti, dlouho hledal:<\/p>\n

\u2014 Moment, n\u011bkde v pozn\u00e1mk\u00e1ch byl odkaz, kde le\u017e\u00ed tento dokument.<\/i><\/p>\n

Nakonec jsme dokument dostali po t\u00fddnu.<\/p>\n

Pro po\u017eadavky, audity a dal\u0161\u00ed v\u011bci vytvo\u0159te str\u00e1nku, nap\u0159\u00edklad na\u00a0Confluence<\/b>\u00a0\u2014 je to pohodln\u00e9 pro v\u0161echny.<\/p>\n

Je snaz\u0161\u00ed p\u0159eform\u00e1tovat to, co u\u017e existuje, a pou\u017e\u00edt to jako z\u00e1klad.<\/p><\/blockquote>\n

<\/p>\n

Vyu\u017eijte Security Champions. <\/h3>\n

\nObvykle v pr\u016fm\u011brn\u00e9 firm\u011b s 100-200 v\u00fdvoj\u00e1\u0159i pracuje jeden bezpe\u010dnostn\u00ed specialista, kter\u00fd vykon\u00e1v\u00e1 n\u011bkolik funkc\u00ed a fyzicky nest\u00edh\u00e1 v\u0161e kontrolovat. I kdy\u017e se sna\u017e\u00ed ze v\u0161ech sil, s\u00e1m nezvl\u00e1dne zkontrolovat cel\u00fd k\u00f3d, kter\u00fd v\u00fdvoj generuje. Pro takov\u00e9 p\u0159\u00edpady byl vyvinut koncept - Security Champions.<\/b><\/a><\/noindex>.<\/p>\n

Security Champions jsou lid\u00e9 uvnit\u0159 t\u00fdmu v\u00fdvoje, kte\u0159\u00ed maj\u00ed z\u00e1jem o bezpe\u010dnost va\u0161eho produktu.<\/p><\/blockquote>\n

\"Strach
\n
\nSecurity Champion je vstupn\u00ed bod do t\u00fdmu v\u00fdvoje a evangelista bezpe\u010dnosti v jedn\u00e9 osob\u011b.<\/p>\n

Obvykle, kdy\u017e do t\u00fdmu v\u00fdvoje p\u0159ijde bezpe\u010dnostn\u00ed expert a upozorn\u00ed na chybu v k\u00f3du, dostane p\u0159ekvapenou odpov\u011b\u010f:<\/p>\n

\u2014 A vy kdo? Vid\u00edm v\u00e1s poprv\u00e9. U m\u011b je v\u0161e v po\u0159\u00e1dku \u2014 m\u016fj star\u0161\u00ed kolega na code review dal \u201eapply\u201c, pokra\u010dujeme d\u00e1l!<\/i><\/p>\n

To je typick\u00e1 situace, proto\u017ee ke star\u0161\u00edm nebo prost\u011b koleg\u016fm z t\u00fdmu, se kter\u00fdmi v\u00fdvoj\u00e1\u0159 pravideln\u011b spolupracuje v r\u00e1mci pr\u00e1ce a code review, je mnohem v\u011bt\u0161\u00ed d\u016fv\u011bra. Pokud m\u00edsto bezpe\u010dnostn\u00edho experta na chybu a jej\u00ed d\u016fsledky upozorn\u00ed Security Champion, jeho slovo bude m\u00edt v\u011bt\u0161\u00ed v\u00e1hu.<\/p>\n

Tak\u00e9 v\u00fdvoj\u00e1\u0159i l\u00e9pe znaj\u00ed sv\u016fj k\u00f3d ne\u017e jak\u00fdkoli bezpe\u010dnostn\u00ed expert. Pro \u010dlov\u011bka, kter\u00fd m\u00e1 minim\u00e1ln\u011b 5 projekt\u016f v n\u00e1stroji pro statickou anal\u00fdzu, je obvykle obt\u00ed\u017en\u00e9 pamatovat si v\u0161echny nuansy. Security Champions znaj\u00ed sv\u016fj produkt: co s \u010d\u00edm interaguje a na co se d\u00edvat jako prvn\u00ed \u2014 jsou efektivn\u011bj\u0161\u00ed.<\/p>\n

Tak\u017ee se zamyslete nad t\u00edm, abyste zavedli Security Champions a roz\u0161\u00ed\u0159ili vliv t\u00fdmu bezpe\u010dnosti. Pro samotn\u00e9ho \u0161ampiona je to tak\u00e9 u\u017eite\u010dn\u00e9: profesion\u00e1ln\u00ed rozvoj v nov\u00e9 oblasti, roz\u0161\u00ed\u0159en\u00ed technick\u00e9ho obzoru, zlep\u0161en\u00ed technick\u00fdch, mana\u017eersk\u00fdch a v\u016fd\u010d\u00edch dovednost\u00ed, zv\u00fd\u0161en\u00ed tr\u017en\u00ed hodnoty. To je ur\u010dit\u00fd prvek soci\u00e1ln\u00edho in\u017een\u00fdrstv\u00ed, va\u0161e \u201eo\u010di\u201c v t\u00fdmu v\u00fdvoje.<\/p>\n

F\u00e1ze testov\u00e1n\u00ed<\/h2>\n

\nParadigma 20 na 80<\/a><\/noindex>\u00a0\u0159\u00edk\u00e1, \u017ee 20% snah p\u0159in\u00e1\u0161\u00ed 80% v\u00fdsledk\u016f. T\u011bchto 20% tvo\u0159\u00ed praktiky anal\u00fdzy aplikac\u00ed, kter\u00e9 lze a je t\u0159eba automatizovat. P\u0159\u00edklady takov\u00fdch aktivit jsou statick\u00e1 anal\u00fdza \u2014 SAST<\/b>, dynamick\u00e1 anal\u00fdza \u2014 DAST,<\/b> a\u00a0kontrola Open Source<\/b>. P\u0159edstav\u00edm podrobn\u011bji aktivity, a tak\u00e9 n\u00e1stroje, s jak\u00fdmi specifiky se obvykle setk\u00e1v\u00e1me p\u0159i jejich zav\u00e1d\u011bn\u00ed do procesu, a jak to d\u011blat spr\u00e1vn\u011b.<\/p>\n

\"Strach
\n<\/p>\n

Hlavn\u00ed probl\u00e9my n\u00e1stroj\u016f<\/h3>\n

\nVyzdvihnu obecn\u011b platn\u00e9 probl\u00e9my v\u0161ech n\u00e1stroj\u016f, kter\u00e9 vy\u017eaduj\u00ed pozornost. Rozebran\u00e9 je podrobn\u011bji, abych se u\u017e d\u00e1le neopakoval.<\/p>\n

Dlouh\u00e9 doby anal\u00fdzy. <\/b>Pokud od p\u0159evzet\u00ed k vyd\u00e1n\u00ed na produkci uplyne 30 minut na v\u0161echny testy a sestaven\u00ed, pak kontroly na informa\u010dn\u00ed bezpe\u010dnost zabere den. Tak\u017ee nikdo nebude brzdit proces. Zohledn\u011bte tuto zvl\u00e1\u0161tnost a vyvo\u010fte z\u00e1v\u011bry.<\/p>\n

Vysok\u00e1 \u00farove\u0148 False Negative nebo False Positive. <\/b>V\u0161echny produkty jsou r\u016fzn\u00e9, v\u0161echny pou\u017e\u00edvaj\u00ed r\u016fzn\u00e9 frameworky a sv\u016fj styl psan\u00ed k\u00f3du. Na r\u016fzn\u00fdch k\u00f3dov\u00fdch z\u00e1kladech a technologi\u00edch mohou n\u00e1stroje vykazovat r\u016fznou \u00farove\u0148 False Negative a False Positive. Proto se pod\u00edvejte, co konkr\u00e9tn\u011b ve\u00a0va\u0161\u00ed<\/b> firm\u011b a pro<\/b> va\u0161e<\/p>\n

aplikace bude vykazovat dobr\u00e9 a spolehliv\u00e9 v\u00fdsledky.<\/b>\u017d\u00e1dn\u00e9 integrace se st\u00e1vaj\u00edc\u00edmi n\u00e1stroji<\/p>\n

. Zam\u011b\u0159te se na n\u00e1stroje z pohledu integrac\u00ed, kter\u00e9 ji\u017e pou\u017e\u00edv\u00e1te. Nap\u0159\u00edklad, pokud m\u00e1te Jenkins nebo TeamCity \u2013 zkontrolujte integraci n\u00e1stroj\u016f pr\u00e1v\u011b s t\u00edmto SW, a ne s GitLab CI, kter\u00fd nepou\u017e\u00edv\u00e1te. <\/b>Nep\u0159\u00edtomnost nebo nadm\u011brn\u00e1 slo\u017eitost p\u0159izp\u016fsoben\u00ed.<\/p>\n

Pokud n\u00e1stroj nem\u00e1 API, k \u010demu je dobr\u00fd? V\u0161e, co lze ud\u011blat v rozhran\u00ed, by m\u011blo b\u00fdt dostupn\u00e9 i prost\u0159ednictv\u00edm API. Ide\u00e1ln\u011b by m\u011bl m\u00edt n\u00e1stroj mo\u017enost p\u0159izp\u016fsoben\u00ed kontrol. <\/b>\u017d\u00e1dn\u00e1 roadmapa pro rozvoj produktu. Roadmap<\/a><\/noindex> V\u00fdvoj nestoj\u00ed na m\u00edst\u011b, v\u017edy pou\u017e\u00edv\u00e1me nov\u00e9 frameworky a funkce, p\u0159episujeme star\u00fd k\u00f3d na nov\u00e9 jazyky. Chceme m\u00edt jistotu, \u017ee n\u00e1stroj, kter\u00fd koup\u00edme, bude podporovat nov\u00e9 frameworky a technologie. Proto je d\u016fle\u017eit\u00e9 v\u011bd\u011bt, \u017ee produkt m\u00e1 skute\u010dn\u00fd a spr\u00e1vn\u00fd<\/p>\n

pl\u00e1n rozvoje.<\/h3>\n

\nZvl\u00e1\u0161tnosti procesu<\/p>\n

Krom\u011b zvl\u00e1\u0161tnost\u00ed n\u00e1stroj\u016f zohledn\u011bte i zvl\u00e1\u0161tnosti procesu v\u00fdvoje. Nap\u0159\u00edklad naru\u0161en\u00ed v\u00fdvoje je typick\u00e1 chyba. Pod\u00edvejme se, jak\u00e9 dal\u0161\u00ed zvl\u00e1\u0161tnosti by m\u011bly b\u00fdt zohledn\u011bny a na co by se m\u011bl t\u00fdm bezpe\u010dnosti zam\u011b\u0159it. Aby nedo\u0161lo k naru\u0161en\u00ed term\u00edn\u016f v\u00fdvoje a uvoln\u011bn\u00ed, vytvo\u0159te<\/b> r\u016fzn\u00e1 pravidla a r\u016fzn\u00e9\u00a0<\/b>show stoppers \u2014 krit\u00e9ria zastaven\u00ed procesu sestaven\u00ed p\u0159i v\u00fdskytu zranitelnost\u00ed \u2014<\/b>pro r\u016fzn\u00e9 prost\u0159ed\u00ed.<\/p>\n

Nap\u0159\u00edklad ch\u00e1peme, \u017ee aktu\u00e1ln\u00ed v\u011btev jde na v\u00fdvojov\u00fd stend nebo UAT, tak\u017ee nebudeme zastavovat a ne\u0159ekneme:<\/i><\/p>\n

\u2014 M\u00e1te zde zranitelnosti, nikam d\u00e1le nep\u016fjdete! Na t\u00e9to \u00farovni je d\u016fle\u017eit\u00e9 \u0159\u00edct v\u00fdvoj\u00e1\u0159\u016fm, \u017ee existuj\u00ed probl\u00e9my s bezpe\u010dnost\u00ed, na kter\u00e9 by se m\u011blo zam\u011b\u0159it.<\/p>\n

P\u0159\u00edtomnost zranitelnost\u00ed nen\u00ed p\u0159ek\u00e1\u017ekou pro dal\u0161\u00ed testov\u00e1n\u00ed<\/b>: manu\u00e1ln\u00ed, integra\u010dn\u00ed nebo ru\u010dn\u00ed. Na druh\u00e9 stran\u011b mus\u00edme n\u011bjak zv\u00fd\u0161it bezpe\u010dnost produktu, a aby v\u00fdvoj\u00e1\u0159i nezapom\u00ednali na to, co bezpe\u010dnostn\u00ed t\u00fdm nach\u00e1z\u00ed. Proto n\u011bkdy postupujeme takto: na pracovn\u00edm m\u00edst\u011b, kdy\u017e se nasazuje na v\u00fdvojov\u00e9 prost\u0159ed\u00ed, jednodu\u0161e upozorn\u00edme v\u00fdvojov\u00fd t\u00fdm:<\/p>\n

\u2014 Kluci, m\u00e1te probl\u00e9my, pros\u00edm, v\u011bnujte tomu pozornost.<\/i><\/p>\n

V f\u00e1zi UAT znovu ukazujeme varov\u00e1n\u00ed o zranitelnostech a ve f\u00e1zi uveden\u00ed na trh \u0159\u00edk\u00e1me:<\/p>\n

\u2014 Kluci, n\u011bkolikr\u00e1t jsme v\u00e1s varovali, nic jste neud\u011blali \u2014 s t\u00edm v\u00e1s nepropust\u00edme.<\/i><\/p>\n

Pokud mluv\u00edme o k\u00f3du a dynamice, je nutn\u00e9 ukazovat a varovat p\u0159ed zranitelnostmi pouze t\u011bch funkc\u00ed a k\u00f3du, kter\u00e9 byly naps\u00e1ny pr\u00e1v\u011b v t\u00e9to funkci. Pokud v\u00fdvoj\u00e1\u0159 posunul tla\u010d\u00edtko o 3 pixely a my mu \u0159\u00edk\u00e1me, \u017ee tam m\u00e1 SQL injekci, a proto je nutn\u00e9 to urgentn\u011b opravit \u2014 to je \u0161patn\u011b. Sledujte pouze to, co bylo nyn\u00ed naps\u00e1no, a to zm\u011bnu, kter\u00e1 p\u0159ich\u00e1z\u00ed do aplikace.<\/p>\n

P\u0159edpokl\u00e1dejme, \u017ee m\u00e1me n\u011bjakou funk\u010dn\u00ed z\u00e1vadu \u2014 to, jak by aplikace nem\u011bla fungovat: pen\u00edze se neprev\u00e1d\u011bj\u00ed, po kliknut\u00ed na tla\u010d\u00edtko nen\u00ed p\u0159echod na dal\u0161\u00ed str\u00e1nku nebo se nezobrazuje zbo\u017e\u00ed. Bezpe\u010dnostn\u00ed defekty<\/b>\u00a0\u2014 to jsou stejn\u00e9 defekty, ale ne z pohledu fungov\u00e1n\u00ed aplikace, ale bezpe\u010dnosti. <\/p>\n

Ne v\u0161echny probl\u00e9my kvality softwaru jsou probl\u00e9my bezpe\u010dnosti. Ale v\u0161echny probl\u00e9my bezpe\u010dnosti jsou spojeny s kvalitou softwaru. Sherif Mansour, Expedia.<\/p><\/blockquote>\n

\nJeliko\u017e v\u0161echny zranitelnosti jsou stejn\u00e9 defekty, m\u011bly by b\u00fdt na stejn\u00e9m m\u00edst\u011b jako v\u0161echny defekty ve v\u00fdvoji. Proto zapome\u0148te na zpr\u00e1vy a stra\u0161ideln\u00e9 PDF, kter\u00e9 nikdo ne\u010dte.<\/p>\n

\"Strach
\n
\nKdy\u017e jsem pracoval ve firm\u011b, kter\u00e1 se zab\u00fdvala v\u00fdvojem, dostal jsem zpr\u00e1vu z n\u00e1stroj\u016f statick\u00e9 anal\u00fdzy. Otev\u0159el jsem ji, zd\u011bsil jsem se, uva\u0159il jsem si k\u00e1vu, prolistoval jsem 350 stran, zav\u0159el ji a \u0161el jsem d\u00e1l pracovat. Velk\u00e9 zpr\u00e1vy jsou mrtv\u00e9 zpr\u00e1vy<\/b>. Obvykle nikam neputuj\u00ed, e-maily se ma\u017eou, zapom\u00ednaj\u00ed, ztr\u00e1c\u00ed nebo \u0159\u00edk\u00e1 byznys, \u017ee p\u0159ij\u00edm\u00e1 rizika.<\/p>\n

Co d\u011blat? Potvrzen\u00e9 chyby, kter\u00e9 byly nalezeny, jednodu\u0161e p\u0159evedeme do v\u00fdvojov\u011b p\u0159\u00edv\u011btiv\u00e9 podoby, nap\u0159\u00edklad je ulo\u017e\u00edme do backlogu v Jira. Chyby prioritizujeme a odstra\u0148ujeme podle priority vedle funk\u010dn\u00edch chyb a chyb test\u016f.<\/p>\n

Statick\u00e1 anal\u00fdza \u2013 SAST<\/h2>\n

\nJedn\u00e1 se o anal\u00fdzu k\u00f3du na p\u0159\u00edtomnost zranitelnost\u00ed.<\/b>, ale to nen\u00ed tot\u00e9\u017e, co SonarQube. Kontrolujeme nejen podle vzor\u016f nebo stylu. P\u0159i anal\u00fdze se pou\u017e\u00edv\u00e1 \u0159ada p\u0159\u00edstup\u016f: podle stromu zranitelnost\u00ed, podle\u00a0DataFlow<\/a><\/noindex>, pomoc\u00ed anal\u00fdzy konfigura\u010dn\u00edch soubor\u016f. To v\u0161e se t\u00fdk\u00e1 p\u0159\u00edmo k\u00f3du.<\/p>\n

V\u00fdhody p\u0159\u00edstupu<\/b>: odhalen\u00ed zranitelnost\u00ed v k\u00f3du v ran\u00e9 f\u00e1zi v\u00fdvoje<\/b>, kdy je\u0161t\u011b neexistuj\u00ed \u017e\u00e1dn\u00e9 testovac\u00ed prost\u0159ed\u00ed a hotov\u00e9 n\u00e1stroje, a\u00a0mo\u017enost inkrement\u00e1ln\u00edho skenov\u00e1n\u00ed<\/b>: skenov\u00e1n\u00ed \u010d\u00e1sti k\u00f3du, kter\u00e1 se zm\u011bnila, a pouze t\u00e9 funkce, na kter\u00e9 pr\u00e1v\u011b pracujeme, co\u017e zkracuje \u010das skenov\u00e1n\u00ed.<\/p>\n

Nev\u00fdhody<\/b>\u00a0\u2014 to je absence podpory pot\u0159ebn\u00fdch jazyk\u016f.<\/p>\n

Pot\u0159ebn\u00e9 integrace, <\/b>kter\u00e9 by m\u011bly b\u00fdt v n\u00e1stroj\u00edch, podle m\u00e9ho subjektivn\u00edho n\u00e1zoru:<\/p>\n