Te Wehi me te Kino o DevSecOps

E 2 a matou kaitirotiro waehere, e 4 nga taputapu whakamatautau hihiri, a matou ake mahi toi me te 250 tuhinga. Ehara i te mea ko enei mea katoa e hiahiatia ana i roto i nga mahi o naianei, engari ka timata koe ki te whakatinana DevSecOps, me haere koe ki te mutunga.

Puna. Kaihanga kiripuaki: Justin Roiland me Dan Harmon.

He aha te SecDevOps? Me pehea te DevSecOps? He aha nga rereketanga? Haumarutanga Taupānga - he aha te mea? He aha i kore ai e mahi te huarahi matarohia? E mohio ana ki te whakautu ki enei patai katoa Yuri Shabalin Tuhinga ka whai mai Haumarutanga ika hoari. Ka whakautu a Yuri i nga mea katoa me te tātari i nga raru o te whakawhiti mai i te tauira Haumaru Taupānga puāwaitanga ki te tukanga DevSecOps: me pehea te whakatata tika ki te whakauru o te tukanga whanaketanga haumaru ki te tukanga DevOps me te kore e pakaru i tetahi mea, me pehea te haere i nga waahanga matua. o nga whakamatautau haumarutanga, he aha nga taputapu ka taea te whakamahi, he aha nga rereke me pehea te whirihora tika hei karo i nga raru.

Mō te kaikōrero: Yuri Shabalin - Tumuaki Kaihanga Haumaru i roto i te kamupene Haumarutanga ika hoari. Ko te kawenga mo te whakatinanatanga o te SSDL, mo te whakakotahitanga katoa o nga taputapu tātari tono ki roto i te whanaketanga kotahi me te punaha whakamatautau. 7 tau o te wheako ki te haumaru korero. I mahi i Alfa-Bank, Sberbank me Positive Technologies, e whakawhanake ana i te rorohiko me te whakarato ratonga. Kaikorero i nga huihuinga o te ao ZerONights, PHDays, RISSPA, OWASP.

Haumarutanga Taupānga: he aha te mea?

Haumaru Tono - Koinei te waahanga haumarutanga he kawenga mo te haumarutanga tono. Kaore tenei e pa ana ki nga hanganga me te haumarutanga whatunga, engari ki nga mea ka tuhia e matou me nga mahi a nga kaihanga - koinei nga ngoikoretanga me nga whakaraeraetanga o te tono ake.

Tae SDL SDLC ranei - Huringa oranga whanaketanga haumaru - i whakawhanakehia e Microsoft. Ko te hoahoa e whakaatu ana i te tauira canonical SDLC, ko te mahi matua ko te whai waahi o te haumarutanga i nga wahanga katoa o te whanaketanga, mai i nga whakaritenga ki te tuku me te whakaputa. I mohio a Microsoft he nui rawa atu nga pepeke i roto i te umanga, he maha ake o raatau me tetahi mea hei mahi mo taua mea, a na ratou i whakatakoto tenei huarahi, kua huri hei kano.

Ko te Haumarutanga Taupānga me te SSDL kaore i te whai ki te kimi whakaraeraetanga, pera i te nuinga o te whakapono, engari hei aukati i te puta mai. I te roanga o te wa, kua pai ake, kua whakawhanakehia, kua whakaurua atu ki roto i te ruku hohonu atu, te ruku taipitopito.

Ko te SDLC canonical he tino taipitopito i roto i nga momo tikanga - OpenSAMM, BSIMM, OWASP. He rereke nga tikanga, engari he rite tonu te tikanga.

Te Whare Haumarutanga I roto i te Tauira Pakeke

He pai ki ahau BSIMM - Te Whare Haumarutanga I roto i te Tauira Pakeke. Ko te putake o te tikanga ko te wehewehenga o te tukanga Haumarutanga Taupānga ki nga rohe e 4: Whakahaerenga, Maramatanga, SSDL Touchpoints and Deployment. He 12 nga mahinga o ia rohe, e tohuhia ana hei ngohe 112.

Kei ia o nga mahi 112 3 taumata o te pakeketanga: timata, takawaenga me te matatau. Ka taea e koe te ako i nga waahanga mahi 12 katoa ma ia waahanga, tohua nga mea nui ki a koe, whakaarohia me pehea te whakatinana me te taapiri i nga huānga, hei tauira, te tātari waehere pateko me te hihiri, te arotake waehere ranei. Ka tuhi koe i tetahi mahere me te mahi marie i runga i taua mea hei waahanga o te whakatinanatanga o nga mahi kua tohua.

He aha DevSecOps

Ko te DevOps he mahinga whanui, nui e tika ana kia whai whakaaro ki te haumarutanga.

te tīmatanga DevOps whai wāhi arowhai haumarutanga. I roto i te mahi, he iti ake te maha o nga roopu haumaru i tenei wa, a, ehara i te mea he kaiuru i roto i te tukanga, engari he mana whakahaere me te mana whakahaere e kii ana i nga whakaritenga ki runga, me te tirotiro i te kounga o te hua i te mutunga o te tukunga. He huarahi matarohia tenei i noho ai nga roopu haumaru i muri i te pakitara mai i te whanaketanga me te kore i uru ki te mahi.

Ko te raru nui ko te haumaru korero he wehe ke atu i te whanaketanga. I te nuinga o te waa he momo ara iahiko whakamaarama korero kei roto e 2-3 nga taputapu nui me te utu nui. Kia kotahi ia ono marama, ka tae mai te waehere puna, te tono ranei e tika ana kia tirohia, katahi ka mahia i te tau nga penetita. Ko enei katoa ka arahi ki te meka kua roa te ra tuku mo te umanga, a ka kitea te kaiwhakawhanake ki te maha o nga whakaraeraetanga mai i nga taputapu aunoa. Kaore e taea te wetewete me te whakatika i enei mea katoa, na te mea ko nga hua mo nga marama e ono o mua kaore i whakatauhia, engari he roopu hou tenei.

I roto i nga mahi a ta maatau kamupene, ka kite matou ko te haumarutanga i nga waahi katoa me nga umanga e mohio ana kua tae ki te wa ki te hopu me te huri i te whanaketanga i runga i te wira kotahi - i roto Agile. He pai te ahua o te DevSecOps ki nga tikanga whanaketanga agile, te whakatinanatanga, te tautoko me te whai waahi ki ia tukunga me nga huringa.

Te whakawhiti ki DevSecOps

Ko te kupu tino nui i roto i te Huringa Ora Whanaketanga Haumarutanga ko "tukanga". Me mohio koe ki tenei i mua i to whakaaro mo te hoko taputapu.

Ko te whakauru noa i nga taputapu ki roto i te tukanga DevOps kaore e ranea-he mea nui te korero me te maarama i waenga i nga kaiuru.

He mea nui ake nga tangata, ehara i nga taputapu.

I te nuinga o nga wa, ka timata te whakamahere mo te tukanga whakawhanaketanga haumaru ki te whiriwhiri me te hoko taputapu, ka mutu ki te ngana ki te whakauru i te taputapu ki roto i te tukanga o naianei, ka noho tonu nga ngana. Ko tenei ka arahi ki nga hua kino, na te mea kei a raatau ake nga ahuatanga me nga here o nga taputapu katoa.

Ko te keehi noa ko te wa i whiriwhiria e te tari haumaru tetahi taputapu pai, utu nui me nga kaha whanui, ka tae mai ki nga kaihanga ki te whakauru ki roto i te tukanga. Engari kaore e mahi - he mea hanga te tukanga kia kore ai e uru nga here o te taputapu kua hokona ki roto i te tauira o naianei.

Tuatahi, whakaahuahia he aha te putanga e hiahia ana koe me te ahua o te tukanga. Ka awhina tenei ki te mohio ki nga mahi o te taputapu me te haumaru i roto i te tukanga.

Me timata ki nga mea kei te whakamahia

I mua i te hoko taputapu utu nui, tirohia nga mea kei a koe. Kei ia kamupene nga whakaritenga haumarutanga mo te whakawhanaketanga, kei reira nga arowhai, nga pene - he aha e kore ai e huri i enei mea katoa ki te ahua maamaa me te waatea mo te katoa?

Ko te tikanga he pepa Talmud e takoto ana i runga i te whata. He take i tae mai matou ki tetahi kamupene ki te titiro ki nga tukanga me te tono kia kite i nga whakaritenga haumarutanga mo te rorohiko. Ko te tohunga i mahi i tenei mahi he wa roa ki te rapu:

- Na, i tetahi wahi i roto i nga tuhipoka he huarahi kei reira tenei tuhinga.

Ko te mutunga mai, ka tae mai te tuhinga i te wiki i muri mai.

Mo nga whakaritenga, nga arowhai me etahi atu mea, hanga he wharangi ki runga e.g. Te Whakakoetanga - he watea mo te katoa.

He maamaa ake te whakahōputu i nga mea kei a koe me te whakamahi hei timata.

Whakamahia nga Toa Haumarutanga

I te nuinga o te waa, i roto i te kamupene toharite me te 100-200 nga kaiwhakawhanake, kei reira tetahi tohunga mo te haumarutanga e mahi ana i nga mahi maha, kaore hoki he wa mo te tirotiro i nga mea katoa. Ahakoa ka whakapau kaha ia, ko ia anake e kore e tirotiro i nga waehere katoa ka mahia e te whanaketanga. Mo enei keehi, kua whakawhanakehia he ariā - Toa Haumarutanga.

Ko nga Toa Haumarutanga he tangata kei roto i te roopu whanaketanga e aro ana ki te haumarutanga o to hua.

Ko te Toa Haumarutanga he urunga ki roto i te roopu whanaketanga me tetahi kaikauwhau haumaru i hurihia ki tetahi.

I te nuinga o te wa, ka tae mai tetahi tohunga mo te haumarutanga ki tetahi roopu whanaketanga me te tohu he hapa i roto i te waehere, ka whiwhi ia i tetahi whakautu ohorere:

- A ko wai koe? Ka kite ahau i a koe mo te wa tuatahi. Kei te pai nga mea katoa ki ahau - na taku hoa matua i homai "tono" ki te arotake waehere, ka haere tonu tatou!

He ahuatanga angamaheni tenei, na te mea he nui ake te whakawhirinaki ki nga kaumatua, ki nga hoa mahi noa ranei e mahi tahi ana te kaiwhakawhanake i te mahi me te arotake waehere. Mena, hei utu mo te apiha haumaru, ka tohu te Toa Haumarutanga i te he me nga hua ka puta, ka nui ake te taumaha o tana kupu.

Ano hoki, he pai ake te mohio o nga kaiwhakawhanake ki o raatau waehere i tetahi tohunga mo te haumarutanga. Mo te tangata e 5 nga kaupapa i roto i te taputapu tātari pateko, he uaua ki te mahara ki nga ahuatanga katoa. Kei te mohio nga Toa Haumarutanga ki a raatau hua: he aha te taunekeneke me te aha me te aha hei titiro tuatahi - he pai ake.

Na whakaaro ki te whakatinana Toa Haumarutanga me te whakawhänui i te awe o to roopu haumaru. He pai hoki tenei mo te toa ake: te whakawhanaketanga ngaio i roto i te mara hou, te whakawhanui i ona ahuatanga hangarau, te whakahou i nga pukenga hangarau, te whakahaere me te kaiarahi, te whakanui ake i te uara o te maakete. Koinei etahi waahanga o te hangarau hapori, o "kanohi" i roto i te roopu whanaketanga.

Nga waahanga whakamatautau

Paradigm 20 ki te 80 e kii ana ko te 20% o te kaha ka puta te 80% o nga hua. Ko tenei 20% he mahinga tātari tono ka taea me te mahi aunoa. Ko nga tauira o aua mahi he tātaritanga pateko - Tuhinga o mua, tātaritanga hihiri - DAST и Mana Open Source. Ka korero atu ahau ki a koe mo nga mahi, me nga taputapu, he aha nga ahuatanga ka kitea e matou i te wa e whakauru ana ki roto i te tukanga, me pehea te mahi tika.

Nga raruraru matua o nga taputapu

Ka tohu ahau i nga raruraru e tika ana mo nga taputapu katoa me te aro nui. Ka tātarihia e au nga korero kia kore ai e tuaruatia ano.

Te wa tātaritanga roa. Mena mai i te whakaae ki te tuku he 30 meneti te roa mo nga whakamatautau me te huihuinga katoa, katahi ka pau te ra mo te tirotiro haumarutanga korero. Na e kore tetahi e whakaroa i te mahi. Me whai whakaaro ki tenei ahuatanga ka whakatau whakatau.

Te taumata teitei Te Whakakorea Te Whakakore, Te Whakaaetanga Heke ranei. He rereke nga hua katoa, he rereke nga anga mahi me o raatau ake momo tohu. I runga i nga turanga waehere me nga hangarau rereke, ka whakaatu pea nga taputapu i nga taumata rereke o te False Negative and False Positive. Na, tirohia he aha kei roto Tuhinga o mua kamupene me mo to ka whakaatu nga tono i nga hua pai me te pono.

Kaore he whakaurunga me nga taputapu o naianei. Tirohia nga taputapu mo te whakauru ki nga mea kua whakamahia e koe. Hei tauira, mena kei a koe a Jenkins, TeamCity ranei, tirohia te whakauru o nga taputapu ki tenei rorohiko, kaua ki te GitLab CI, kaore koe e whakamahi.

Te kore, te uaua nui ranei o te whakaritenga. Mena karekau he API o tetahi taputapu, he aha i hiahiatia ai? Ko nga mea katoa ka taea te mahi i roto i te atanga me waatea ma te API. Ko te tikanga, me whai mana te taputapu ki te whakarite i nga arowhai.

Kaore he Mahere Whakawhanake Hua. Kaore e tu tonu te whanaketanga, kei te whakamahi tonu matou i nga anga me nga mahi hou, ka tuhi ano i nga waehere tawhito ki nga reo hou. E hiahia ana matou ki te mohio ko te taputapu ka hokona e matou ka tautoko i nga anga me nga hangarau hou. Na reira, he mea nui kia mohio he pono, he tika te hua mape whanaketanga.

Ngā āhuatanga tukanga

I tua atu i nga ahuatanga o nga taputapu, whakaarohia nga ahuatanga o te tukanga whanaketanga. Hei tauira, he hapa noa te aukati i te whanaketanga. Me titiro tatou he aha etahi atu waahanga me whai whakaaro me te aha te roopu haumarutanga e aro.

Kia kore ai e ngaro te whanaketanga me te tuku i nga wa kati, hanga ture rereke me te rereke whakaatu tutaki — paearu mo te aukati i te mahi hanga i te aroaro o nga whakaraeraetanga — mo nga taiao rereke. Hei tauira, kei te mohio matou kei te haere te peka o naianei ki te turanga whanaketanga, UAT ranei, ko te tikanga kaore matou e mutu ka kii:

"Kei a koe nga whakaraeraetanga i konei, kaore koe e haere ki hea atu!"

I tenei wa, he mea nui ki te korero ki nga kaiwhakawhanake he take haumaru e tika ana kia aro.

Ko te noho mai o nga whakaraeraetanga ehara i te aukati ki te whakamatautau ano: ā-ringa, whakauru, ā-ringa rānei. I tetahi atu taha, me whakanui ake te haumarutanga o te hua, kia kore ai e warewarehia e nga kaihanga nga mea i kitea e ratou he haumaru. No reira, i etahi wa ka mahia e matou: i te tuunga, ka tukuna atu ki te taiao whanaketanga, ka whakamohio noa matou ki te whanaketanga:

- E tama, he raruraru kei a koe, me aro mai.

I te wahanga UAT ka whakaatu ano matou i nga whakatupato mo nga whakaraeraetanga, a i te wa tuku ka kii matou:

- E tama, he maha nga wa i whakatupato ai matou ki a koe, kaore koe i mahi - kaore matou e tuku i a koe ki waho.

Mena ka korero tatou mo te waehere me te hihiri, he mea tika ki te whakaatu me te whakatupato mo nga whakaraeraetanga anake o aua ahuatanga me te waehere i tuhia ki tenei waahanga. Mena ka nekehia e te kaiwhakawhanake he paatene ma te 3 pika ka kii atu ki a ia he werohanga SQL tana ki reira, na reira me whakatika wawe, he he tenei. Titiro noa ki nga mea kua tuhia inaianei me nga huringa ka puta ki te tono.

Me kii kei a maatau tetahi hapa mahi - ko te huarahi e kore e mahi te tono: kaore te moni e whakawhitia, ka paato koe i te paatene kaore he whakawhitinga ki te wharangi e whai ake nei, kaore ranei te hua e utaina. Nga hapa Haumarutanga - he rite tonu enei hapa, engari ehara i te mea mo te mahi tono, engari mo te haumarutanga.

Ehara i te mea he raruraru haumarutanga katoa nga raruraru kounga rorohiko. Engari ko nga raruraru haumaru katoa e pa ana ki te kounga o te rorohiko. Sherif Mansour, Expedia.

I te mea he rite tonu nga whakaraeraetanga katoa, me noho ki te waahi kotahi me nga hapa whanaketanga katoa. Na wareware ki nga purongo me nga PDF whakamataku kaore he tangata e panui.

I a au e mahi ana i tetahi kamupene whanaketanga, i tae mai he purongo mai i nga taputapu tātari pateko. I whakatuwheratia e ahau, i mataku ahau, i hanga kawhe, i 350 nga wharangi, ka kati, ka mahi tonu. Ko nga purongo nui he purongo mate. I te nuinga o te wa karekau ratou e haere ki hea, ka mukua nga reta, ka warewaretia, ka ngaro, ka kii ranei te pakihi ka whakaaehia nga raru.

Me aha? Ka huri noa matou i nga hapa i kitea e matou ki te ahua pai mo te whakawhanaketanga, hei tauira, ka waiho e matou ki roto i te backlog i Jira. Ka whakatauhia e matou nga hapa ka whakakorehia i runga i te raupapa o te kaupapa matua, me nga hapa mahi me nga hapa whakamatautau.

Tātari Pateko - SAST

He tātari waehere tenei mo nga whakaraeraetanga., engari kaore i te rite ki a SonarQube. E kore matou e tirotiro noa mo nga tauira me te ahua. He maha nga huarahi e whakamahia ana i roto i te tātari: e ai ki te rakau whakaraerae, e ai ki Rere Raraunga, ma te tātari i nga konae whirihoranga. Ko tenei katoa e pa ana ki te waehere ake.

Nga pai o te huarahi: te tautuhi i nga whakaraeraetanga o te waehere i te timatanga o te whanaketangai te mea kare ano he turanga, he taputapu kua rite, a te kaha ki te matawai: te matawai i tetahi waahanga o te waehere kua rereke, me te waahanga anake e mahia ana e matou i tenei wa, e whakaiti ana i te wa karapa.

Минусы - koinei te kore tautoko mo nga reo e tika ana.

Ko nga whakaurunga e tika ana, e tika ana i roto i nga taputapu, ki taku whakaaro kaupapa:

• Utauta whakauru: Jenkins, TeamCity me Gitlab CI.
• Te taiao whanaketanga: Intellij IDEA, Visual Studio. He pai ake mo te kaiwhakawhanake kia kaua e whakatere i tetahi atanga e kore e taea te mohio me maumahara tonu, engari kia kite i nga whakaurunga me nga whakaraeraetanga katoa i kitea e ia i te waahi mahi i roto i tana ake taiao whanaketanga.
• Arotake Waehere: SonarQube me te arotake a-ringa.
• Ko nga kaiwhaiwhai koha: Jira me Bugzilla.

Ko te pikitia e whakaatu ana i etahi o nga tino rangatira o te tātaritanga pateko.

Ehara i te mea ko nga taputapu te mea nui, engari ko te mahi, na reira he otinga Open Source e pai ana mo te whakamatautau i te tukanga.

E kore e kitea e te SAST Open Source te maha o nga whakaraeraetanga, nga Raraunga Raraunga uaua ranei, engari ka taea me te whakamahi ina hanga he tukanga. Ka awhina ratou ki te mohio me pehea te hanganga o te tukanga, ko wai ka whakautu ki nga pepeke, ko wai ka tuku korero, ko wai ka tuku korero. Mena kei te hiahia koe ki te whakahaere i te waahanga tuatahi o te hanga i te haumarutanga o to waehere, whakamahia nga otinga Open Source.

Me pehea te whakauru mai mena kei te timatanga o to haerenga kaore he mea: kaore he CI, kaore he Jenkins, kaore he TeamCity? Kia whai whakaaro tatou ki te whakauru ki roto i te tukanga.

Te whakauru taumata CVS

Mena kei a koe te Bitbucket, GitLab ranei, ka taea e koe te whakauru ki te taumata Pūnaha Putanga Tukutahi.

Na te huihuinga - tono toia, mahia. Ka matawai koe i te waehere me te mana hanga e whakaatu ana kua paahitia te haki haumarutanga, i rahua ranei.

Urupare. Ko te tikanga, ka hiahiatia nga urupare i nga wa katoa. Mena ka mahi koe i te haumarutanga i te taha, whakauruhia ki roto i te pouaka kaore koe i korero ki tetahi mo taua mea, katahi i te mutunga o te marama ka tukuna he paihere o nga pepeke - kaore tenei i te tika, kaore i te pai.

Te whakauru ki te punaha arotake waehere

I tetahi wa, i mahi matou hei kaiarotake taunoa mo tetahi kaiwhakamahi AppSec hangarau i roto i te maha o nga kaupapa whakahirahira. I runga i te ahua o nga hapa kei roto i te waehere hou, karekau he hapa ranei, ka whakatauhia e te kaiarotake te mana ki runga i te tono kume kia "whakaae" "me mahi" ranei - he pai nga mea katoa, he hononga ranei ki nga mea e tika ana kia whakapai ake. me whakapai ake. Mo te whakaurunga ki te putanga e haere ana ki te whakaputanga, kua whakahohea e matou te aukati hanumi ki te kore e paahitia te whakamatautau haumarutanga korero. I whakauruhia e matou tenei ki roto i te arotake waehere a-ringa, a ko etahi atu o nga kaiuru i roto i te tukanga i kite i nga ahuatanga haumarutanga mo tenei waahanga.

Whakauru ki te SonarQube

He tokomaha kua kuwaha kounga i runga i te kounga o te waehere. He rite ano ki konei - ka taea e koe te hanga i nga keti ano mo nga taputapu SAST anake. He kotahi ano te atanga, he rite tonu te kuaha o te kounga, ko te ingoa anake kuwaha haumaru. A, ki te whai koe i tetahi tukanga ma te whakamahi i te SonarQube, ka taea e koe te whakauru i nga mea katoa ki reira.

Te whakauru i te taumata CI

He tino ngawari nga mea katoa i konei:

• He rite ki nga whakamatautau aunoa, whakamātautau waeine.
• Te wehewehe i nga waahanga whanaketanga: dev, whakamatautau, prod. Ka taea te whakauru i nga huinga ture rereke, i nga tikanga kore ranei: whakamutua te huihuinga, kaua e mutu te huihuinga.
• Whakarewa tukutahi/ tukutahi. Kei te tatari matou mo te mutunga o nga whakamatautau haumaru, kaore ranei. Arā, kātahi ka whakarewahia e mātou, ka neke whakamua, kātahi ka whiwhi te mana he pai, he kino ranei nga mea katoa.

Kei roto i te ao mawhero tino pai. Kare he mea pera i roto i te ao, engari ka whakapau kaha matou. Ko nga hua o te whakahaere i nga arowhai haumaru kia rite ki nga hua o nga whakamatautau wae.

Hei tauira, i tangohia e matou he kaupapa nui ka whakatau inaianei ka karapahia e matou me SAST - OK. I turakina e matou tenei kaupapa ki roto i te SAST, 20 nga whakaraeraetanga i homai ki a matou, a, na te kaha o te whakaaro ka whakatau matou he pai nga mea katoa. 000 nga whakaraeraetanga ko ta matou nama hangarau. Ka makahia e matou te nama ki roto i te pouaka, ka ata whakamaaramahia e matou ka taapirihia nga pepeke ki nga kaiwhaiwhai koha. Me utu he kamupene, mahia nga mea katoa ma tatou ake, me awhina mai ranei nga Toa Haumarutanga - ka heke te nama hangarau.

A ko nga whakaraeraetanga hou ka puta mai i roto i te waehere hou me whakakore i te huarahi ano ki nga hapa i roto i tetahi waahanga, i nga whakamatautau aunoa ranei. Ko te korero, i timata te huihuinga, i whakahaerehia e matou, e rua nga whakamatautau me nga whakamatautau haumaru e rua i rahua. OK - ka haere matou, ka titiro ki nga mea i tupu, ka whakatika tetahi mea, ka whakatika i tetahi atu, ka whakahaere i te wa e whai ake nei - he pai nga mea katoa, kaore he whakaraeraetanga hou i puta, kaore he whakamatautau i rahua. Mena he hohonu ake tenei mahi, a me tino mohio koe, ko te whakatika i nga whakaraeraetanga ka pa ki nga paparanga nui o nga mea kei raro i te awhi: i taapirihia he pepeke ki te kaiwhai koha, ka whakatauhia, ka whakatikahia. Heoi ano, kaore te ao i te tino pai, ka taka nga whakamatautau i etahi wa.

Ko tetahi tauira o te keeti haumarutanga he riterite o te kuaha kounga, i runga i te ahua me te maha o nga whakaraeraetanga o te waehere.

Ka whakauru matou ki a SonarQube - kua whakauruhia te mono, he tino watea me te hauhautanga nga mea katoa.

Te whakauru ki te taiao whanaketanga

Kōwhiringa whakauru:

• Te whakahaere karapa mai i te taiao whanaketanga i mua i te mahi.
• Tirohia nga hua.
• Te tātari i nga hua.
• Tukutahi me te tūmau.

Koinei te ahua o te whiwhi hua mai i te tūmau.

I to tatou taiao whanaketanga IDEA Intellijie ka puta mai he taonga taapiri e whakaatu ana i kitea nga whakaraeraetanga i te wa o te karapa. Ka taea e koe te whakatika tonu i te waehere, tirohia nga taunakitanga me te Kauwhata Rere. Ko tenei katoa kei te waahi mahi a te kaiwhakawhanake, he tino watea - kaore he take ki te whai i etahi atu hononga me te titiro ki tetahi atu mea.

Open Source

Ko taku tino kaupapa tenei. Ka whakamahi nga tangata katoa i nga whare pukapuka Open Source - he aha te take ka tuhi i te tini o nga tootoo me nga paihikara ka taea e koe te tango i tetahi whare pukapuka kua rite kua oti katoa te whakatinana?

Ko te tikanga, he pono tenei, engari he mea tuhi ano nga whare pukapuka e nga tangata, kei roto ano hoki etahi morearea, he whakaraerae ano kei te panuihia i ia wa, i nga wa katoa ranei. Na reira, kei reira te waahanga o muri mai i te Haumarutanga Taupānga - koinei te tātaritanga o nga waahanga Open Source.

Open Source Analysis - OSA

Kei roto i te taputapu e toru nga waahanga nui.

Te rapu whakaraeraetanga i roto i nga whare pukapuka. Hei tauira, e mohio ana te taputapu kei te whakamahi matou i etahi whare pukapuka, kei roto CVE kei reira etahi whakaraeraetanga kei roto i nga kaiwhaiwhai bug e pa ana ki tenei putanga o te whare pukapuka. Ka ngana koe ki te whakamahi, ka tukuna e te taputapu he whakatupato kei te whakaraerae te whare pukapuka me te tohutohu ki a koe ki te whakamahi i tetahi atu putanga kaore he whakaraeraetanga.

Te tātaritanga o te pure raihana. Kaore ano tenei i te tino rongonui i konei, engari ki te mahi koe ki tawahi, ka taea e koe te tiki taake ki reira mo te whakamahi i tetahi waahanga tuwhera kore e taea te whakamahi, te whakarereke ranei. E ai ki te kaupapa here a te whare pukapuka whai raihana, kaore e taea e matou. Ranei, ki te whakarereketia me te whakamahi, me tuku to taatau waehere. Ko te tikanga, kaore tetahi e hiahia ana ki te whakaputa i te waehere o a raatau hua, engari ka taea ano e koe te tiaki i a koe mai i tenei.

Te tātari i nga waahanga e whakamahia ana i roto i te taiao ahumahi. Whakaarohia he ahuatanga whakapae kua oti i a maatau te whanaketanga me te tuku i te tukunga hou o ta maatau ratonga miihini. He mea whakamiharo tana noho ki reira - he wiki, he marama, he tau. Kaore matou e kohi, kaore matou e whakahaere i nga arowhai haumaru, he pai nga mea katoa. Engari ohorere, e rua wiki i muri i te tukunga, ka puta he whakaraeraetanga nui i roto i te waahanga Open Source, e whakamahia ana e matou i roto i tenei hangahanga motuhake, i roto i te taiao ahumahi. Ki te kore matou e tuhi he aha me te waahi ka whakamahia e matou, kare noa matou e kite i tenei whakaraeraetanga. Ko etahi taputapu he kaha ki te aroturuki i nga whakaraerae i roto i nga whare pukapuka e whakamahia ana i tenei wa i roto i te ahumahi. He tino whai hua.

Ngā Āhuatanga:

• Nga kaupapa here rereke mo nga waahanga whanaketanga rereke.
• Te aroturuki i nga waahanga i roto i te taiao ahumahi.
• Te whakahaere i nga whare pukapuka i roto i te whakahaere.
• Tautoko mo nga momo punaha hanga me nga reo.
• Te tātari o nga whakaahua Docker.

He tauira iti o nga rangatira o te ahumahi e mahi ana ki te tātari Open Source.

Ko te mea noa ko tenei Tirohanga-Tirohanga mai i OWASP. Ka taea e koe te huri i nga waahanga tuatahi, tirohia te mahi me te aha e tautoko ana. Ko te tikanga, he hua kapua katoa enei, kei runga ranei, engari kei muri i to raatau turanga ka tukuna tonu ki te Ipurangi. Karekau ratou e tuku i o whare pukapuka, engari i a ratou ake uara ranei, ka tatauhia e ratou, me nga tapumati ki ta ratou kaimau kia whiwhi korero mo te noho whakaraeraetanga.

Tukatuka tuitui

Te whakahaere i nga whare pukapuka, ka tangohia mai i nga puna o waho. Kei a matou nga putunga o waho me o roto. Hei tauira, ka whakahaerehia e Event Central a Nexus, a ka hiahia matou kia kore he whakaraeraetanga kei roto i ta maatau putunga me te mana "arohaehae", "tiketike" ranei. Ka taea e koe te whirihora i te takawaenga ma te whakamahi i te taputapu Nexus Firewall Lifecycle kia motuhia aua whakaraeraetanga kia kore e mutu ki roto i te putunga o roto.

Te whakauru ki te CI. I runga i te taumata kotahi me nga whakamatautau aunoa, nga whakamatautau wae me te wehewehe ki nga waahanga whanaketanga: dev, test, prod. I ia waahanga, ka taea e koe te tango i nga whare pukapuka, te whakamahi i tetahi mea, engari ki te mea he mea uaua me te mana "arohaehae", he pai pea te kukume i nga kaiwhakawhanake ki tenei i te wa o te tukunga ki te whakaputa.

Te whakakotahi me nga taonga: Nohonga me JFrog.

Te whakauru ki te taiao whanaketanga. Ko nga taputapu e whiriwhiria e koe me whakauru ki nga taiao whanaketanga. Me whai waahi te kaiwhakawhanake ki nga hua matawai mai i tana waahi mahi, te kaha ranei ki te matawai me te tirotiro i te waehere ake mo nga whakaraeraetanga i mua i te tuku ki te CVS.

Ko te whakauru CD. He ahua hauhautanga tenei e tino paingia ana e au, kua korero ano ahau - te aro turuki i te putanga mai o nga whakaraeraetanga hou i roto i te taiao ahumahi. He penei te mahi.

Kei a matou Nga Pupuri Waa-a-iwi — etahi taputapu kei waho, me ta matou putunga o roto. Kei te pirangi matou kia mau nga waahanga whakawhirinaki anake. I te takawaenga i tetahi tono, ka tirohia e matou kaore he whakaraeraetanga o te whare pukapuka kua tikiakehia. Mena ka taka ki raro i etahi kaupapa here ka whakatauhia e matou me te whakarite me te whanaketanga, karekau matou e tuku, ka akiakihia ki te whakamahi i tetahi atu putanga. No reira, mena he mea tino kino me te kino kei roto i te whare pukapuka, karekau te kaiwhakawhanake e whiwhi i te whare pukapuka i te wa whakaurunga - me whakamahi e ia he putanga teitei ake, iti iho ranei.

• I te wa e hanga ana, ka tirohia e matou kaore tetahi i paheke i tetahi mea kino, he haumaru nga waahanga katoa, kaore he tangata i kawe mai i tetahi mea kino ki te puku kohiko.
• He waahanga whirinaki noa ta matou i roto i te putunga.
• I te wa e tukuna ana, ka tirohia ano e matou te kete ake: whawhai, ipu, DL, Docker ranei te ahua ki te whakarite kia rite ki te kaupapa here.
• I te wa e uru ana ki te ahumahi, ka aroturuki matou i nga mea e tupu ana i roto i te taiao ahumahi: ka puta mai nga whakaraerae kino, kaore ranei e puta.

Tātari Hihiko - DAST

He rereke nga taputapu tātari hihiko mai i nga mea katoa i korerohia i mua. He momo tauira tenei o te mahi a te kaiwhakamahi me te tono. Mena he tono paetukutuku tenei, ka tukuna he tono, ka whakatauira i nga mahi a te kiritaki, paatohia nga paatene kei mua, ka tukuna he raraunga hangai mai i te puka: korukī, taiapa, pūāhua i roto i nga whakawaehere rereke, kia kite i te mahi o te tono me nga tukanga. raraunga waho.

Ma te punaha ano ka taea e koe te tirotiro i nga whakaraeraetanga tauira i te Puna Tuwhera. I te mea karekau a DAST e mohio ko tehea Open Source e whakamahia ana e matou, ka tukuna noa e ia nga tauira "kino" me te tātari i nga whakautu a te tūmau:

- Ae, he raruraru whakaheke i konei, engari kaore i konei.

He nui nga tupono kei roto i tenei, na te mea ka whakahaere koe i tenei whakamatautau haumaru i runga i te tauera e mahi tahi ana nga kaitoro, ka puta nga mea kino.

• Te kawenga nui i runga i te whatunga tūmau tono.
• Karekau he whakaurunga.
• Te kaha ki te huri i nga tautuhinga o te tono kua tātarihia.
• Karekau he tautoko mo nga hangarau e tika ana.
• Te uaua ki te whakarite.

He ahuatanga ta matou i te wa i whakarewahia ai e matou te AppScan: kua roa matou e ngana ana ki te uru atu ki te tono, ka 3 nga kaute me te harikoa - ka mutu ka tirohia e matou nga mea katoa! I whakarewahia e matou he karapa, ko te mea tuatahi i mahia e AppScan ko te haere ki roto i te roopu whakahaere, ka werohia nga paatene katoa, ka huri i te haurua o nga raraunga, katahi ka patua katoatia te tūmau me ona puka mēra-tono. Ko te whakawhanaketanga me te whakamatautau i kii:

- E tama, kei te whakapohehe koe i ahau?! I hoatu e matou he kaute ki a koe, a ka whakaturia e koe he turanga!

Whakaarohia nga tupono ka taea. Ko te mea pai, me whakarite he tuunga motuhake mo te whakamatautau i te haumarutanga korero, ka wehea mai i te toenga o te taiao, me te tirotiro here i te roopu whakahaere, he pai ki te aratau a-ringa. He whakamatautau tenei - ko nga toenga o te kaha kaore matou e whakaaro inaianei.

He pai ki te whakaaro ka taea e koe te whakamahi i tenei hei tauira mo te whakamatautau kawenga. I te waahi tuatahi, ka taea e koe te huri i te matawai hihiri me nga miro 10-15 ka kite he aha te mea ka tupu, engari i te nuinga o te waa, ka whakaatuhia e nga mahi, kaore he mea pai.

He iti nga rauemi e whakamahia ana e matou.

He pai te whakanui Ruuma Huihuinga he "maripi Swiss" mo tetahi ngaio haumarutanga. Ka whakamahia e te katoa a he tino watea. Kua tukuna he putanga demo hou o te putanga hinonga. Mena i mua he taputapu tuuturu me nga taapiri, inaianei kei te hanga e nga kaiwhakawhanake he tūmau nui e taea ai te whakahaere i etahi kaihoko. He pai tenei, ka tūtohu ahau kia whakamatau koe.

Tukatuka tuitui

He pai, he ngawari hoki te whakaurunga: tīmata te matawai i muri i te tāutanga angitu tono mo te tu me te matawai i muri i nga whakamatautau whakauru angitu.

Mena karekau nga whakaurunga e mahi, kei reira ranei nga papa me nga mahi tawai, he horihori, he horihori - ahakoa he aha te tauira ka tukuna, ka rite tonu te whakautu a te tūmau.

• Ko te tikanga, he tuunga whakamatautau motuhake.
• I mua i te whakamatautau, tuhia te raupapa takiuru.
• Ko nga whakamatautau o te punaha whakahaere he a-ringa anake.

tukanga

He mea whaanui mo te mahi whanui me nga mahi o ia taputapu. He rereke nga tono katoa - he pai ake te mahi me te tātari hihiri, tetahi atu he tātaritanga pateko, tetahi tuatoru me te tātari OpenSource, pentests, tetahi atu mea ranei, hei tauira, nga huihuinga me Waf.

Me whakahaere nga tukanga katoa.

Kia mohio ai koe me pehea te mahi me te waahi ka taea te whakapai ake, me kohikohi koe i nga inenga mai i nga mea katoa ka taea e koe, tae atu ki nga inenga whakangao, nga inenga mai i nga taputapu, mai i nga kaiwhaiwhai koha.

He awhina nga korero katoa. He mea tika kia tirohia mai i nga kokonga rereke te waahi ka pai ake te whakamahi i tenei taputapu, i te waahi ka tino heke te mahi. He pai pea te titiro ki nga wa whakautu whanaketanga ki te kite i hea hei whakapai ake i te mahi i runga i te waa. Ko te nui ake o nga raraunga, ka nui ake nga waahanga ka taea te hanga mai i te taumata-runga ki nga taipitopito o ia tukanga.

I te mea kei a raatau ake API nga kaitirotiro tuuturu me te hihiri, o raatau ake tikanga whakarewatanga, maataapono, etahi he raarangi, ko etahi kaore - kei te tuhi matou i tetahi taputapu. AppSec Orchestrator, ka taea e koe te hanga i tetahi waahi whakauru ki roto i te tukanga katoa mai i te hua me te whakahaere mai i tetahi waahi.

Ko nga kaiwhakahaere, ko nga kaiwhakawhanake me nga miihini haumarutanga he waahi urunga kotahi e taea ai e ratou te kite i nga mea e rere ana, te whirihora me te whakahaere i te karapa, te whiwhi i nga hua karapa, me te tuku whakaritenga. E ngana ana matou ki te neke atu i nga mahi pepa, ki te whakamaori i nga mea katoa ki te tangata, e whakamahia ana e te whanaketanga - nga wharangi i runga i te Confluence me te mana me nga inenga, nga koha i Jira, i nga momo kaiwhaiwhai kohakore ranei, i te whakauru ranei ki roto i te tukanga tukutahi/atukutuku i CI. /CD.

Nga Takea Matua

Ko nga taputapu ehara i te mea nui. Tuatahi whakaarohia te tukanga - ka whakatinanahia nga taputapu. He pai nga taputapu engari he utu nui, na ka taea e koe te timata me te mahi me te hanga korero me te maarama i waenga i te whanaketanga me te haumarutanga. Mai i te tirohanga haumaru, kaore he take ki te "mutu" i nga mea katoa Mai i te tirohanga whanaketanga, mehemea he mea nui te mega tino nui, me whakakorehia, kaua hoki e titiro ki te raruraru.

Te kounga hua - whainga noa te haumaru me te whanaketanga. Ka mahia e matou tetahi mea, ka ngana matou ki te whakarite kia tika nga mea katoa, kaore he raru o te ingoa, he ngaronga putea ranei. Koinei te take ka whakatairangahia e matou he DevSecOps, SecDevOps huarahi ki te whakapai ake i te whakawhitiwhiti korero me te whakapai ake i te kounga o te hua.

Me timata ki nga mea kei a koe: whakaritenga, hoahoanga, arowhai wahanga, whakangungu, aratohu. Karekau he take me tono tonu nga mahi katoa ki nga kaupapa katoa - nuku haere. Kaore he paerewa kotahi - whakamātau ka whakamatau i nga huarahi rereke me nga otinga.

He tohu rite i waenga i nga hapa haumarutanga korero me nga hapa mahi.

Whakaaunoa i nga mea katoae neke ana. Ko nga mea katoa e kore e neke, nekehia me te whakaaunoa. Mena ka mahia e te ringa tetahi mea, ehara i te mea he waahanga pai o te mahi. Tena pea he pai ki te arotake me te whakaaunoa ano.

Mena he iti te rahi o te roopu IS - whakamahi Toa Haumarutanga.

Tera pea karekau e pai ki a koe nga korero i korerohia e koe, a ka puta mai he mea maau ake - he pai tena. Engari whiriwhiri taputapu i runga i nga whakaritenga mo to tukanga. Kaua e titiro ki nga korero a te hapori, he kino tenei taputapu, he pai tenei. Tena pea ka puta ke te ahua o to hua.

Nga whakaritenga mo nga taputapu.

• Te taumata iti Te Pai Pai.
• Te wa tātari tika.
• Te haratau o te whakamahinga.
• Te waatea o nga whakaurunga.
• Te maarama ki te mahere huarahi whanaketanga hua.
• Ka taea te whakarite taputapu.

Ko te purongo a Yuri i tohua ko tetahi o nga mea pai rawa atu i DevOpsConf 2018. Ki te mohio ki nga whakaaro tino pai ake me nga keehi whaihua, haere mai ki Skolkovo i te Mei 27 me 28 DevOpsConf roto hakari RIT++. He pai ake, mena kua rite koe ki te whakapuaki i to wheako, na tono mo te ripoata tae noa ki te 21 o Aperira.

Source: will.com