{"id":31852,"date":"2019-10-31T21:43:30","date_gmt":"2019-10-31T18:43:30","guid":{"rendered":"https:\/\/prohoster.info\/blog\/strah-i-nenavist-devsecops\/"},"modified":"2019-10-31T21:43:30","modified_gmt":"2019-10-31T18:43:30","slug":"strah-i-nenavist-devsecops","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/strah-i-nenavist-devsecops","title":{"rendered":"A DevSecOps f\u00e9lelme \u00e9s gy\u0171l\u00f6lete","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

K\u00e9t k\u00f3d-analiz\u00e1torunk, n\u00e9gy dinamikus tesztel\u00e9si eszk\u00f6z\u00fcnk, saj\u00e1t k\u00e9sz\u00edtm\u00e9nyeink \u00e9s 250 szkript\u00fcnk volt. Nem mintha mindezekre sz\u00fcks\u00e9g lett volna a jelenlegi folyamatban, de ha m\u00e1r elkezdtem bevezetni a DevSecOps-t, akkor \u00e9rdemes v\u00e9gigmenni a folyamaton.<\/p>\n

\"A
\n
\nForr\u00e1s<\/a><\/noindex>. A karakterek alkot\u00f3i: Justin Roiland \u00e9s Dan Harmon.<\/i><\/p>\n

Mi az a SecDevOps? \u00c9s a DevSecOps? Miben k\u00fcl\u00f6nb\u00f6znek? Mi az alkalmaz\u00e1sbiztons\u00e1g? Mi\u00e9rt nem m\u0171k\u00f6dik a klasszikus megk\u00f6zel\u00edt\u00e9s? Minden k\u00e9rd\u00e9sre v\u00e1laszol. J\u00fari S\u00e1balin<\/b> a\u00a0Swordfish Security. <\/b>J\u00fari mindent r\u00e9szletesen meg fog v\u00e1laszolni, \u00e9s \u00e1t fogja tekinteni a klasszikus alkalmaz\u00e1sbiztons\u00e1gi modellr\u0151l a DevSecOps folyamatra val\u00f3 \u00e1t\u00e1ll\u00e1s probl\u00e9m\u00e1it: hogyan k\u00f6zel\u00edts\u00fck meg helyesen a biztons\u00e1gos fejleszt\u00e9si folyamat be\u00e9p\u00edt\u00e9s\u00e9t a DevOps folyamatba an\u00e9lk\u00fcl, hogy b\u00e1rmit is t\u00f6nkremenn\u00e9nk, hogyan kell v\u00e9gigmenni a biztons\u00e1gi tesztel\u00e9s f\u0151bb l\u00e9p\u00e9sein, milyen eszk\u00f6z\u00f6ket lehet alkalmazni, mif\u00e9le elt\u00e9r\u00e9sek vannak k\u00f6zt\u00fck, \u00e9s hogyan kell ezeket helyesen be\u00e1ll\u00edtani, hogy elker\u00fclj\u00fck a csapd\u00e1kat.
\n<\/a><\/noindex>
\n

\r\n \"Vide\u00f3\r\n
<\/div>\r\n <\/div><\/center>
\nA el\u0151ad\u00f3r\u00f3l:<\/b> J\u00fari S\u00e1balin \u2013 <\/b>Chief Security Architect a Swordfish Security<\/b>. A SSDL bevezet\u00e9s\u00e9\u00e9rt felel, a k\u00fcl\u00f6nf\u00e9le alkalmaz\u00e1selemz\u0151 eszk\u00f6z\u00f6k integr\u00e1l\u00e1s\u00e1\u00e9rt a fejleszt\u00e9si \u00e9s tesztel\u00e9si \u00f6kosziszt\u00e9m\u00e1ba. 7 \u00e9ves tapasztalattal rendelkezik inform\u00e1ci\u00f3biztons\u00e1g ter\u00e9n. Dolgozott az Alfa-Bankn\u00e1l, a Sberbankn\u00e1l \u00e9s a Positive Technologies-n\u00e9l, amely szoftvereket fejleszt \u00e9s szolg\u00e1ltat\u00e1sokat ny\u00fajt. Nemzetk\u00f6zi konferenci\u00e1k el\u0151ad\u00f3ja, mint a ZerONights, PHDays, RISSPA, OWASP.<\/p>\n

Alkalmaz\u00e1sbiztons\u00e1g: mir\u0151l van sz\u00f3?<\/h2>\n

\nAlkalmaz\u00e1sbiztons\u00e1g<\/b>\u00a0\u2013 ez a biztons\u00e1g egyik \u00e1ga, amely a programok biztons\u00e1g\u00e1val foglalkozik. Ez nem vonatkozik az infrastrukt\u00far\u00e1ra vagy a h\u00e1l\u00f3zati biztons\u00e1gra, hanem konkr\u00e9tan arra, amit \u00edrunk \u00e9s amin a fejleszt\u0151k dolgoznak \u2013 ez a program konkr\u00e9t hib\u00e1i \u00e9s sebezhet\u0151s\u00e9gei.<\/p>\n

Ir\u00e1nyvonal SDL vagy SDLC<\/a><\/noindex>\u00a0\u2014 Security development lifecycle<\/b>\u00a0\u2013 a Microsoft \u00e1ltal kifejlesztett. A diagramon a kanonikus SDLC modell l\u00e1that\u00f3, amelynek f\u0151 c\u00e9lja a biztons\u00e1g r\u00e9szv\u00e9tele a fejleszt\u00e9s minden szakasz\u00e1ban, az ig\u00e9nyekt\u0151l a kiad\u00e1sig \u00e9s a termel\u00e9sbe val\u00f3 \u00e1tmenetig. A Microsoft r\u00e1j\u00f6tt, hogy a piacon t\u00fal sok hiba van, ezek egyre gyakoribbak, \u00e9s ezzel kezdeni kell valamit, ez\u00e9rt ezt a megk\u00f6zel\u00edt\u00e9st javasolt\u00e1k, amely kanonikus lett.<\/p>\n

\"A
\n
\nAz alkalmaz\u00e1sbiztons\u00e1g \u00e9s az SSDL nem a sebezhet\u0151s\u00e9gek felder\u00edt\u00e9s\u00e9re, mint \u00e1ltal\u00e1ban v\u00e9lik, hanem azok megjelen\u00e9s\u00e9nek megakad\u00e1lyoz\u00e1s\u00e1ra ir\u00e1nyulnak. Az id\u0151 m\u00fal\u00e1s\u00e1val a Microsoft kanonikus megk\u00f6zel\u00edt\u00e9se javult, fejl\u0151d\u00f6tt, \u00e9s m\u00e9lyebb r\u00e9szletes betekint\u00e9st nyert.<\/p>\n

\"A
\n
\nA kanonikus SDLC r\u00e9szletesen kidolgozott k\u00fcl\u00f6nb\u00f6z\u0151 metodol\u00f3gi\u00e1kban - OpenSAMM, BSIMM, OWASP. A metodol\u00f3gi\u00e1k elt\u00e9rnek, de \u00f6sszess\u00e9g\u00e9ben hasonl\u00f3ak.<\/p>\n

Building Security In Maturity Model<\/h3>\n

\nAmi a legjobban tetszik nekem BSIMM<\/b>\u00a0\u2014 Building Security In Maturity Model<\/a><\/noindex>. A metodol\u00f3gia alapja az Application Security folyamat\u00e1nak 4 ter\u00fcletre val\u00f3 feloszt\u00e1sa: Governance, Intelligence, SSDL Touchpoints \u00e9s Deployment. Minden ter\u00fcleten 12 gyakorlat tal\u00e1lhat\u00f3, amely 112 tev\u00e9kenys\u00e9g form\u00e1j\u00e1ban van bemutatva.<\/p>\n

\"A
\n
\nMinden 112 tev\u00e9kenys\u00e9gnek van 3 \u00e9retts\u00e9gi szintje<\/b>: kezdeti, k\u00f6z\u00e9ps\u0151 \u00e9s halad\u00f3. Az \u00f6sszes 12 gyakorlatot szakaszok szerint lehet tanulm\u00e1nyozni, fontos elemeket kiemelni, kider\u00edteni, hogyan lehet \u0151ket bevezetni, \u00e9s fokozatosan hozz\u00e1adni elemeket, p\u00e9ld\u00e1ul statikus \u00e9s dinamikus k\u00f3dellen\u0151rz\u00e9st vagy code review-t. Megtervezed a tervet, \u00e9s azon nyugodtan dolgozol a v\u00e1lasztott tev\u00e9kenys\u00e9gek bevezet\u00e9se sor\u00e1n.<\/p>\n

Mi\u00e9rt DevSecOps<\/h2>\n

<\/p>\n

A DevOps egy \u00e1tfog\u00f3 folyamat, amelyben foglalkozni kell a biztons\u00e1ggal.<\/p><\/blockquote>\n

\nKezdetben DevOps<\/b><\/a><\/noindex> a biztons\u00e1g ellen\u0151rz\u00e9s\u00e9t felt\u00e9teleztem. A gyakorlatban a biztons\u00e1gi csapatok sz\u00e1ma sokkal kisebb volt, mint most, \u00e9s nem mint folyamat r\u00e9sztvev\u0151i, hanem mint ellen\u0151rz\u0151 \u00e9s fel\u00fcgyel\u0151 szerv m\u0171k\u00f6dtek, amely k\u00f6vetelm\u00e9nyeket t\u00e1masztott \u00e9s az elk\u00e9sz\u00fclt term\u00e9k min\u0151s\u00e9g\u00e9t ellen\u0151rizte a kiad\u00e1s v\u00e9g\u00e9n. Ez egy klasszikus megk\u00f6zel\u00edt\u00e9s, amelyben a biztons\u00e1gi csapatok a fejleszt\u00e9st\u0151l t\u00e1vol helyezkedtek el, \u00e9s nem sz\u00fclettek r\u00e9szt venni a folyamatban.<\/p>\n

\"A
\n
\nA f\u0151 probl\u00e9ma pontosan az, hogy a kiberv\u00e9delem k\u00fcl\u00f6n\u00e1ll\u00f3an m\u0171k\u00f6dik a fejleszt\u00e9st\u0151l. \u00c1ltal\u00e1ban van egy kiberv\u00e9delmi keret, amelybe 2-3 nagy \u00e9s dr\u00e1ga eszk\u00f6z tartozik. F\u00e9l\u00e9vente \u00e9rkezik egy forr\u00e1sk\u00f3d vagy alkalmaz\u00e1s, amelyet ellen\u0151rizni kell, \u00e9s \u00e9vente v\u00e9geznek penteszteket<\/a><\/noindex>. Ez mind ahhoz vezet, hogy a kereskedelmi kiad\u00e1s hat\u00e1rideje elcs\u00faszik, \u00e9s a fejleszt\u0151re hatalmas mennyis\u00e9g\u0171 sebezhet\u0151s\u00e9g z\u00fadul az automatiz\u00e1lt eszk\u00f6z\u00f6kb\u0151l. Mindezt lehetetlen feldolgozni \u00e9s jav\u00edtani, mert az el\u0151z\u0151 f\u00e9l\u00e9vr\u0151l kapott eredm\u00e9nyekkel m\u00e9g nem dolgoztak fel, \u00e9s itt van egy \u00fajabb adag.<\/p>\n

C\u00e9g\u00fcnk m\u0171k\u00f6d\u00e9se sor\u00e1n azt l\u00e1tjuk, hogy a biztons\u00e1g minden ter\u00fcleten \u00e9s ipar\u00e1gban meg\u00e9rti, hogy ideje felz\u00e1rk\u00f3zni \u00e9s egy ker\u00e9kben forogni a fejleszt\u00e9ssel - az\u00a0Agile<\/b><\/a><\/noindex>. A DevSecOps paradigma remek\u00fcl illeszkedik a rugalmas fejleszt\u00e9si metodol\u00f3gi\u00e1hoz, amelyben minden kiad\u00e1s \u00e9s iter\u00e1ci\u00f3 sor\u00e1n r\u00e9szt vesz \u00e9s t\u00e1mogathat.<\/p>\n

\"A
\n<\/p>\n

\u00c1tt\u00e9r\u00e9s DevSecOps-ra<\/h2>\n

\nA Security Development Lifecycle legfontosabb szava a \u201efolyamat\u201d<\/b>Ezt meg kell \u00e9rtenie, miel\u0151tt gondolkodna az eszk\u00f6z\u00f6k v\u00e1s\u00e1rl\u00e1s\u00e1r\u00f3l.<\/p>\n

Csak az eszk\u00f6z\u00f6k beilleszt\u00e9se a DevOps folyamat\u00e1ba nem elegend\u0151 - fontos a r\u00e9sztvev\u0151k k\u00f6z\u00f6tti interakci\u00f3 \u00e9s meg\u00e9rt\u00e9s.<\/p><\/blockquote>\n

<\/p>\n

Fontosabbak az emberek, nem az eszk\u00f6z\u00f6k.<\/h3>\n

\nGyakran a biztons\u00e1gos fejleszt\u00e9si folyamat tervez\u00e9se az eszk\u00f6z kiv\u00e1laszt\u00e1s\u00e1val \u00e9s megv\u00e1s\u00e1rl\u00e1s\u00e1val kezd\u0151dik, majd az eszk\u00f6z integr\u00e1l\u00e1s\u00e1nak pr\u00f3b\u00e1lkoz\u00e1saival v\u00e9gz\u0151dik a jelenlegi folyamatba, amelyek v\u00e9g\u00fcl csak pr\u00f3b\u00e1lkoz\u00e1sok maradnak. Ez szomor\u00fa k\u00f6vetkezm\u00e9nyekhez vezet, mivel minden eszk\u00f6z saj\u00e1t saj\u00e1toss\u00e1gokkal \u00e9s korl\u00e1tokkal rendelkezik.<\/p>\n

\u00c1ltal\u00e1nos eset, amikor a biztons\u00e1gi oszt\u00e1ly egy j\u00f3, dr\u00e1ga eszk\u00f6zt v\u00e1lasztott sz\u00e9les lehet\u0151s\u00e9gekkel, \u00e9s megkeresi a fejleszt\u0151ket - beilleszteni a folyamatba. De nem siker\u00fcl - a folyamat \u00fagy van fel\u00e9p\u00edtve, hogy a m\u00e1r megv\u00e1s\u00e1rolt eszk\u00f6z korl\u00e1tai nem illeszkednek a jelenlegi paradigm\u00e1ba.<\/p>\n

Els\u0151sorban \u00edrja le, hogy milyen eredm\u00e9nyt szeretne, \u00e9s milyen lesz a folyamat. Ez seg\u00edt meg\u00e9rteni az eszk\u00f6z \u00e9s a biztons\u00e1g szerep\u00e9t a folyamatban.<\/p><\/blockquote>\n

<\/p>\n

Kezdje azzal, ami m\u00e1r haszn\u00e1latban van.<\/h3>\n

\nMiel\u0151tt dr\u00e1ga eszk\u00f6z\u00f6ket venn\u00e9l, n\u00e9zd meg, mi van m\u00e1r a birtokodban. Minden v\u00e1llalatnak vannak biztons\u00e1gi k\u00f6vetelm\u00e9nyei, amelyek a fejleszt\u00e9sre vonatkoznak, vannak ellen\u0151rz\u00e9sek, pentestek - mi\u00e9rt ne alak\u00edtan\u00e1nk mindezt \u00e1t egy \u00e9rthet\u0151 \u00e9s mindenki sz\u00e1m\u00e1ra k\u00e9nyelmes form\u00e1ba?<\/p>\n

\u00c1ltal\u00e1ban a k\u00f6vetelm\u00e9nyek egy pap\u00edralap\u00fa k\u00f6nyv, ami a polcon hever. Volt m\u00e1r p\u00e9lda arra, hogy bel\u00e9p\u00fcnk egy v\u00e1llalatba, hogy megn\u00e9zz\u00fck a folyamatokat, \u00e9s megk\u00e9rdezz\u00fck, hogy mutass\u00e1k meg a szoftverre vonatkoz\u00f3 biztons\u00e1gi k\u00f6vetelm\u00e9nyeket. A szakember, aki ezzel foglalkozott, sok\u00e1ig keresett:<\/p>\n

\u2014 Most, valahol a jegyzetek k\u00f6z\u00f6tt volt egy nyom, hol tal\u00e1lhat\u00f3 ez a dokumentum.<\/i><\/p>\n

V\u00e9g\u00fcl egy h\u00e9t m\u00falva megkaptuk a dokumentumot.<\/p>\n

A k\u00f6vetelm\u00e9nyek, ellen\u0151rz\u00e9sek \u00e9s egyebek sz\u00e1m\u00e1ra hozzon l\u00e9tre egy oldalt, p\u00e9ld\u00e1ul a\u00a0Confluence-on.<\/b>\u00a0Ez mindenkinek k\u00e9nyelmes.<\/p>\n

K\u00f6nnyebb \u00e1talak\u00edtani azt, ami m\u00e1r l\u00e9tezik, \u00e9s haszn\u00e1lni az indul\u00e1shoz.<\/p><\/blockquote>\n

<\/p>\n

Haszn\u00e1lj Security Championst. <\/h3>\n

\n\u00c1ltal\u00e1ban egy \u00e1tlagos v\u00e1llalatn\u00e1l 100-200 fejleszt\u0151re jut egy biztons\u00e1gi szakember, aki t\u00f6bb feladatot l\u00e1t el, \u00e9s fizikailag nem k\u00e9pes mindent ellen\u0151rizni. M\u00e9g ha mindent meg is tesz - egyed\u00fcl nem tudja ellen\u0151rizni az eg\u00e9sz k\u00f3dot, amelyet a fejleszt\u0151k gener\u00e1lnak. Az ilyen esetekre dolgozt\u00e1k ki a koncepci\u00f3t - Security Champions.<\/b><\/a><\/noindex>.<\/p>\n

A Security Champion egy olyan szem\u00e9ly a fejleszt\u0151csapatban, aki \u00e9rdekl\u0151dik a term\u00e9ke biztons\u00e1ga ir\u00e1nt.<\/p><\/blockquote>\n

\"A
\n
\nA Security Champion a fejleszt\u0151csapat bel\u00e9p\u00e9si pontja \u00e9s a biztons\u00e1g evangelist\u00e1ja egy szem\u00e9lyben.<\/p>\n

\u00c1ltal\u00e1ban, amikor egy biztons\u00e1gi szakember \u00e9rkezik a fejleszt\u0151csapatba, \u00e9s r\u00e1mutat egy hib\u00e1ra a k\u00f3dban, meglep\u0151 v\u00e1laszt kap:<\/p>\n

\u2014 Ki is vagy te? El\u0151sz\u00f6r l\u00e1tlak. Minden rendben van \u2013 a f\u0151n\u00f6k\u00f6m a code review sor\u00e1n azt mondta, hogy \u00abapply\u00bb, haladunk tov\u00e1bb!<\/i><\/p>\n

Ez egy tipikus helyzet, mert a fejleszt\u0151k sokkal jobban b\u00edznak a tapasztalt koll\u00e9g\u00e1kban, akikkel folyamatosan egy\u00fctt dolgoznak \u00e9s akik r\u00e9szt vesznek a code review-ban. Ha a biztons\u00e1gi szakember helyett a Security Champion mutat r\u00e1 a hib\u00e1ra \u00e9s annak k\u00f6vetkezm\u00e9nyeire, akkor a szava nagyobb s\u00falyt kap.<\/p>\n

Emellett a fejleszt\u0151k jobban ismerik a saj\u00e1t k\u00f3djukat, mint b\u00e1rmely biztons\u00e1gi szakember. Az \u00e1ltal\u00e1ban 5 projekttel rendelkez\u0151 statikus anal\u00edzis eszk\u00f6z felhaszn\u00e1l\u00f3ja sz\u00e1m\u00e1ra neh\u00e9z \u00e9szben tartani az \u00f6sszes r\u00e9szletet. A Security Championok ismerik a term\u00e9k\u00fcket: tudj\u00e1k, hogy mi mivel l\u00e9p interakci\u00f3ba \u00e9s mire kell el\u0151sz\u00f6r figyelni \u2013 \u0151k hat\u00e9konyabbak.<\/p>\n

Teh\u00e1t \u00e9rdemes elgondolkodni a Security Championok bevezet\u00e9s\u00e9n \u00e9s a biztons\u00e1gi csapat befoly\u00e1s\u00e1nak b\u0151v\u00edt\u00e9s\u00e9n. A Champion sz\u00e1m\u00e1ra is hasznos: szakmai fejl\u0151d\u00e9s egy \u00faj ter\u00fcleten, technikai l\u00e1t\u00f3k\u00f6r b\u0151v\u00edt\u00e9se, vezet\u0151i \u00e9s vezet\u0151i k\u00e9szs\u00e9gek fejleszt\u00e9se, piaci \u00e9rt\u00e9k n\u00f6vel\u00e9se. Ez egyfajta t\u00e1rsadalmi m\u00e9rn\u00f6ks\u00e9g, a \u00abszemed\u00bb a fejleszt\u0151csapatban.<\/p>\n

Tesztel\u00e9si l\u00e9p\u00e9sek<\/h2>\n

\nA 20 a 80 paradigm\u00e1ja<\/a><\/noindex>\u00a0azt mondja, hogy a befektetett 20% az eredm\u00e9ny 80%-\u00e1t hozza. Ezek a 20% a t\u00e1mogathat\u00f3 alkalmaz\u00e1selemz\u00e9si gyakorlatok. Ilyen aktivit\u00e1sok p\u00e9ld\u00e1ul a statikus elemz\u00e9s \u2013 SAST<\/b>, dinamikus elemz\u00e9s \u2013 DAST,<\/b> \u00e9s\u00a0Open Source ellen\u0151rz\u00e9s<\/b>. R\u00e9szletesebben bemutatom az aktivit\u00e1sokat, valamint az eszk\u00f6z\u00f6ket, amikkel \u00e1ltal\u00e1ban szembes\u00fcl\u00fcnk a bevezet\u00e9s\u00fck sor\u00e1n, \u00e9s hogy hogyan lehet ezt helyesen csin\u00e1lni.<\/p>\n

\"A
\n<\/p>\n

Az eszk\u00f6z\u00f6k f\u0151 probl\u00e9m\u00e1i<\/h3>\n

\nFelsorakoztatom az \u00f6sszes eszk\u00f6z eset\u00e9ben relev\u00e1ns probl\u00e9m\u00e1kat, amelyek figyelmet ig\u00e9nyelnek. R\u00e9szletesebben is megvizsg\u00e1lom \u0151ket, hogy ne ism\u00e9teljem magam k\u00e9s\u0151bb.<\/p>\n

Hossz\u00fa ideig tart\u00f3 elemz\u00e9s. <\/b>Ha a k\u00f6telez\u0151 tesztel\u00e9s \u00e9s az \u00e9p\u00edt\u00e9s 30 percet vesz ig\u00e9nybe a kiad\u00e1s el\u0151tt, akkor az inform\u00e1ci\u00f3biztons\u00e1gi ellen\u0151rz\u00e9sek egy napot fognak ig\u00e9nybe venni. Senki sem akarja lass\u00edtani a folyamatot. Vegye figyelembe ezt a saj\u00e1toss\u00e1got, \u00e9s vonja le a k\u00f6vetkeztet\u00e9seket.<\/p>\n

Magas False Negative vagy False Positive szint. <\/b>Minden term\u00e9k k\u00fcl\u00f6nb\u00f6z\u0151, mindannyian k\u00fcl\u00f6nb\u00f6z\u0151 keretrendszereket \u00e9s saj\u00e1t k\u00f3d\u00edr\u00e1si st\u00edlust haszn\u00e1lnak. K\u00fcl\u00f6nb\u00f6z\u0151 k\u00f3dalapok \u00e9s technol\u00f3gi\u00e1k eset\u00e9n az eszk\u00f6z\u00f6k k\u00fcl\u00f6nb\u00f6z\u0151 False Negative \u00e9s False Positive szintet mutathatnak. Ez\u00e9rt n\u00e9zze meg, hogy pontosan mit tesz\u00a0az \u00f6n<\/b> c\u00e9g\u00e9ben \u00e9s az \u00f6n<\/b> alkalmaz\u00e1saiban mutat j\u00f3 \u00e9s megb\u00edzhat\u00f3 eredm\u00e9nyt.<\/p>\n

Nincsenek integr\u00e1ci\u00f3k a megl\u00e9v\u0151 eszk\u00f6z\u00f6kkel<\/b>. N\u00e9zze az eszk\u00f6z\u00f6ket az integr\u00e1ci\u00f3k szempontj\u00e1b\u00f3l, amit m\u00e1r haszn\u00e1l. P\u00e9ld\u00e1ul, ha van Jenkins vagy TeamCity - ellen\u0151rizze az eszk\u00f6z\u00f6k integr\u00e1ci\u00f3j\u00e1t \u00e9ppen e szoftverrel, ne a GitLab CI-vel, amelyet nem haszn\u00e1l.<\/p>\n

A testreszab\u00e1s hi\u00e1nya vagy t\u00falzott \u00f6sszetetts\u00e9ge. <\/b>Ha az eszk\u00f6znek nincs API-j\u00e1, akkor minek sz\u00fcks\u00e9ges? Minden, amit a fel\u00fcleten v\u00e9grehajthat, el\u00e9rhet\u0151nek kell lennie az API-n kereszt\u00fcl. Ide\u00e1lis esetben az eszk\u00f6znek testreszab\u00e1si lehet\u0151s\u00e9gekkel kell rendelkeznie az ellen\u0151rz\u00e9sekhez.<\/p>\n

Nincs a term\u00e9k fejleszt\u00e9s\u00e9nek Roadmap-ja. <\/b>A fejleszt\u00e9s nem \u00e1ll meg, mindig \u00faj keretrendszereket \u00e9s funkci\u00f3kat haszn\u00e1lunk, a r\u00e9gi k\u00f3dot \u00faj nyelvekre \u00edrjuk \u00e1t. Biztosak akarunk lenni abban, hogy az eszk\u00f6z, amit megv\u00e1s\u00e1rolunk, t\u00e1mogatni fogja az \u00faj keretrendszereket \u00e9s technol\u00f3gi\u00e1kat. Ez\u00e9rt fontos tudni, hogy a term\u00e9knek van val\u00f3s \u00e9s helyes Roadmap<\/a><\/noindex> fejleszt\u00e9si terve.<\/p>\n

A folyamat jellemz\u0151i<\/h3>\n

\nAz eszk\u00f6z\u00f6k saj\u00e1toss\u00e1gai mellett vegye figyelembe a fejleszt\u00e9si folyamat saj\u00e1toss\u00e1gait is. P\u00e9ld\u00e1ul a fejleszt\u00e9s zavar\u00e1sa tipikus hiba. N\u00e9zz\u00fck meg, milyen tov\u00e1bbi saj\u00e1toss\u00e1gokat kell figyelembe venni, \u00e9s mire kell figyelni a biztons\u00e1gi csapatnak.<\/p>\n

A fejleszt\u00e9si \u00e9s kiad\u00e1si hat\u00e1rid\u0151k be nem tart\u00e1s\u00e1nak elker\u00fcl\u00e9se \u00e9rdek\u00e9ben hozzon l\u00e9tre k\u00fcl\u00f6nb\u00f6z\u0151 szab\u00e1lyokat<\/b> \u00e9s show stoppers\u00a0<\/b>\u2014 a folyamat le\u00e1ll\u00edt\u00e1s\u00e1nak krit\u00e9riumait a sebezhet\u0151s\u00e9gek jelenl\u00e9te eset\u00e9n \u2014 k\u00fcl\u00f6nb\u00f6z\u0151 k\u00f6rnyezetekhez<\/b>. P\u00e9ld\u00e1ul meg\u00e9rtj\u00fck, hogy a jelenlegi \u00e1gon a fejleszt\u0151i tesztk\u00f6rnyezetben vagy UAT-n haladunk, \u00edgy nem \u00e1ll\u00edtjuk le \u00e9s nem mondjuk:<\/p>\n

\u2014 \u00d6n itt sebezhet\u0151s\u00e9gekkel rendelkezik, nem mehet tov\u00e1bb!<\/i><\/p>\n

Ezen a ponton fontos jelezni a fejleszt\u0151knek, hogy biztons\u00e1gi probl\u00e9m\u00e1k vannak, amelyekre \u00e9rdemes figyelni.<\/p>\n

A sebezhet\u0151s\u00e9gek l\u00e9tez\u00e9se nem akad\u00e1lyozza meg a tov\u00e1bbi tesztel\u00e9st.<\/b>: manu\u00e1lis, integr\u00e1lt vagy manu\u00e1lis. M\u00e1sr\u00e9szt sz\u00fcks\u00e9g\u00fcnk van arra, hogy valahogyan n\u00f6velj\u00fck a term\u00e9k biztons\u00e1g\u00e1t, \u00e9s hogy a fejleszt\u0151k ne hanyagolj\u00e1k el azt, amit a biztons\u00e1g tal\u00e1l. Ez\u00e9rt n\u00e9ha \u00edgy j\u00e1runk el: a standon, amikor kiadjuk a fejleszt\u0151i k\u00f6rnyezetbe, egyszer\u0171en \u00e9rtes\u00edtj\u00fck a fejleszt\u00e9st:<\/p>\n

\u2014 Fi\u00fak, probl\u00e9m\u00e1itok vannak, k\u00e9rlek, figyeljetek r\u00e1juk.<\/i><\/p>\n

A UAT szakaszban ism\u00e9t figyelmeztetj\u00fck a sebezhet\u0151s\u00e9gekre, a piaci megjelen\u00e9s szakasz\u00e1ban pedig azt mondjuk:<\/p>\n

\u2014 Fi\u00fak, t\u00f6bbsz\u00f6r figyelmeztett\u00fcnk, ti nem csin\u00e1ltatok semmit \u2014 ezzel nem enged\u00fcnk ki titeket.<\/i><\/p>\n

Ha a k\u00f3dra \u00e9s a dinamik\u00e1ra gondolunk, akkor csak az \u00e9ppen most \u00edrt funkci\u00f3k \u00e9s k\u00f3d sebezhet\u0151s\u00e9geit kell megjelen\u00edteni \u00e9s figyelmeztetni r\u00f3luk. Ha a fejleszt\u0151 3 pixellel elmozd\u00edt egy gombot, \u00e9s mi azt mondjuk neki, hogy SQL-injekt\u00e1lt, \u00e9s s\u00fcrg\u0151sen ki kell jav\u00edtania \u2014 ez helytelen. Csak arra a k\u00f3dra figyelj, ami most \u00edr\u00f3dik, \u00e9s az \u00e1ltala hozott v\u00e1ltoztat\u00e1sra az alkalmaz\u00e1sban.<\/p>\n

Tegy\u00fck fel, hogy van egy funkcion\u00e1lis hiba \u2014 hogy az alkalmaz\u00e1snak hogyan nem szabad m\u0171k\u00f6dnie: a p\u00e9nz nem ker\u00fcl \u00e1tutal\u00e1sra, gombnyom\u00e1sra nem l\u00e9p tov\u00e1bb a k\u00f6vetkez\u0151 oldalra, vagy nem t\u00f6lt\u0151dik be a term\u00e9k. Biztons\u00e1gi hib\u00e1k<\/b>\u00a0\u2014 ezek ugyanazok a hib\u00e1k, de nem az alkalmaz\u00e1s m\u0171k\u00f6d\u00e9s\u00e9nek, hanem a biztons\u00e1gnak a szempontj\u00e1b\u00f3l. <\/p>\n

Nem minden szoftvermin\u0151s\u00e9gi probl\u00e9ma biztons\u00e1gi probl\u00e9ma. De minden biztons\u00e1gi probl\u00e9ma a szoftvermin\u0151s\u00e9ggel f\u00fcgg \u00f6ssze. Sherif Mansour, Expedia.<\/p><\/blockquote>\n

\nMivel minden sebezhet\u0151s\u00e9g ugyanolyan hiba, ott kell lennie, ahol az \u00f6sszes fejleszt\u00e9si hiba van. Ez\u00e9rt felejts\u00e9tek el a jelent\u00e9seket \u00e9s a r\u00e9miszt\u0151 PDF-eket, amelyeket senki sem olvas.<\/p>\n

\"A
\n
\nAmikor egy olyan c\u00e9gben dolgoztam, amely fejleszt\u00e9ssel foglalkozott, kaptam egy jelent\u00e9st a statikus elemz\u0151 eszk\u00f6z\u00f6kt\u0151l. Kinyitottam, megd\u00f6bbentem, f\u0151ztem egy k\u00e1v\u00e9t, \u00e1tlapoztam 350 oldalt, bez\u00e1rtam, \u00e9s tov\u00e1bb dolgoztam. A nagy jelent\u00e9sek halott jelent\u00e9sek<\/b>. \u00c1ltal\u00e1ban nem jutnak sehova, az e-mailek t\u00f6rl\u0151dnek, elfelejt\u0151dnek, elvesznek, vagy a v\u00e1llalkoz\u00e1s azt mondja, hogy v\u00e1llalja a kock\u00e1zatokat.<\/p>\n

Mit kell tenni? A meger\u0151s\u00edtett hib\u00e1kat, amelyeket tal\u00e1ltunk, egyszer\u0171en \u00e1tkonvert\u00e1ljuk fejleszt\u00e9sre alkalmas form\u00e1ba, p\u00e9ld\u00e1ul a Jira backlogj\u00e1ba helyezz\u00fck. A hib\u00e1kat prioriz\u00e1ljuk \u00e9s a priorit\u00e1soknak megfelel\u0151en jav\u00edtjuk ki \u0151ket, p\u00e1rhuzamosan a funkcion\u00e1lis hib\u00e1kkal \u00e9s a tesztel\u00e9sek hib\u00e1ival.<\/p>\n

Statikus elemz\u00e9s - SAST<\/h2>\n

\nEz a k\u00f3d sebezhet\u0151s\u00e9geinek elemz\u00e9se.<\/b>, de ez nem ugyanaz, mint a SonarQube. Nem csak mint\u00e1k vagy st\u00edlus alapj\u00e1n ellen\u0151rz\u00fcnk. Az elemz\u00e9sben sz\u00e1mos megk\u00f6zel\u00edt\u00e9st alkalmazunk: sebezhet\u0151s\u00e9gi f\u00e1ra,\u00a0DataFlow<\/a><\/noindex>, konfigur\u00e1ci\u00f3s f\u00e1jlok elemz\u00e9s\u00e9re. Ez mind a k\u00f3dra vonatkozik.<\/p>\n

A megk\u00f6zel\u00edt\u00e9s el\u0151nyei<\/b>: sebezhet\u0151s\u00e9gek korai felfedez\u00e9se a fejleszt\u00e9s sor\u00e1n<\/b>, amikor m\u00e9g nincsenek \u00e1llv\u00e1nyok \u00e9s k\u00e9sz eszk\u00f6z\u00f6k, \u00e9s\u00a0a fokozatos szkennel\u00e9s lehet\u0151s\u00e9ge<\/b>: a k\u00f3d azon r\u00e9sz\u00e9nek szkennel\u00e9se, amely megv\u00e1ltozott, \u00e9s csak annak a funkci\u00f3nak, amin most dolgozunk, cs\u00f6kkentve ezzel a szkennel\u00e9si id\u0151t.<\/p>\n

H\u00e1tr\u00e1nyok<\/b>\u00a0\u2014 a sz\u00fcks\u00e9ges nyelvek t\u00e1mogat\u00e1s\u00e1nak hi\u00e1nya.<\/p>\n

A sz\u00fcks\u00e9ges integr\u00e1ci\u00f3k, <\/b>amelyeknek benne kell lenni\u00fck az eszk\u00f6z\u00f6kben, v\u00e9lem\u00e9nyem szerint:<\/p>\n