Fefe ma le Ita i DevSecOps

E 2 a matou su'esu'ega fa'ailoga, 4 mea faigaluega fa'ata'ita'i, a matou lava tufuga ma 250 tusitusiga. E le o mea uma e manaʻomia i le faagasologa o loʻo iai nei, ae o le taimi lava e te amata faʻatinoina ai DevSecOps, e tatau ona e alu i le iuga.

Punaoa. Tagata na faia uiga: Justin Roiland ma Dan Harmon.

O le a le SecDevOps? Ae faapefea DevSecOps? O a ni eseesega? Saogalemu Talosaga - o le a le mea e uiga i ai? Aisea ua le toe aoga ai le faiga masani? Na te iloa le tali i nei fesili uma Yuri Shabalin mai Puipuiga ole Swordfish. O le a taliina e Yuri mea uma i auiliiliga ma auʻiliʻili faʻafitauli o le suiga mai le faʻataʻitaʻiga masani o le Application Security i le DevSecOps process: faʻafefea ona faʻafeiloaʻi lelei le tuʻufaʻatasia o le faʻaogaina o le atinaʻe saogalemu i totonu o le DevOps process ma aua le motusia se mea, pe faʻafefea ona alu i laʻasaga autu. o su'ega saogalemu, o a mea faigaluega e mafai ona fa'aoga, ma mea e 'ese'ese ai ma pe fa'afefea ona fa'atulaga sa'o ina ia aloese mai fa'alavelave.

E uiga i le failauga: Yuri Shabalin - Fa'ata'ita'i Saogalemu Sili i le kamupani Puipuiga ole Swordfish. E nafa ma le faʻatinoina o le SSDL, mo le tuʻufaʻatasia atoa o mea faigaluega suʻesuʻe i totonu o se atinaʻe faʻatasi ma suʻega faʻanatura. 7 tausaga o le poto masani i faʻamatalaga saogalemu. Sa galue i le Alfa-Bank, Sberbank ma Positive Technologies, lea e atiaʻe polokalame ma tuʻuina atu auaunaga. Fofoga Fetalai i fonotaga faavaomalo ZerONights, PHDays, RISSPA, OWASP.

Saogalemu Talosaga: o le a le mea e uiga i ai?

Talosaga Security - Ole vaega lea ole puipuiga e nafa ma le puipuiga ole talosaga. E le faʻatatau i atinaʻe tetele poʻo le saogalemu o fesoʻotaʻiga, ae i mea tatou te tusia ma mea o loʻo galue ai le au atinaʻe - o vaivaiga ia ma faʻafitauli o le talosaga lava ia.

Faatonuga SDL poʻo SDLC - Saogalemu le atina'eina o le olaola - atiina ae e Microsoft. O le ata o loʻo faʻaalia ai le faʻataʻitaʻiga SDLC canonical, o le galuega autu o le auai o le saogalemu i laʻasaga uma o le atinaʻe, mai manaʻoga i le faʻamalolo ma le gaosiga. Na iloa e Microsoft e tele naua mea leaga i totonu o le alamanuia, e tele naua ma e tatau ona fai se mea e uiga i ai, ma na latou faʻatulagaina lenei auala, lea ua avea ma canonical.

O le Puipuiga o Talosaga ma le SSDL e le o faʻatatau i le suʻeina o faʻafitauli, e pei ona masani ona talitonuina, ae i le puipuia o latou faʻalavelave. I le aluga o taimi, ua faʻaleleia atili, atinaʻe, ma faʻafeiloaʻi le auala faʻapitoa a Microsoft i se loloto loloto, sili atu ona auiliili.

O le canonical SDLC e matua'i auiliiliina i auala eseese - OpenSAMM, BSIMM, OWASP. O metotia e eseese, ae masani ona tutusa.

Fausia le Saogalemu I le Fa'ata'ita'iga Matutua

E sili ona ou fiafia i ai BSIMM - Fausia le Saogalemu I le Fa'ata'ita'iga Matutua. O le faʻavae o le metotia o le vaevaega o le Faʻatonuga o le Puipuiga o Talosaga i totonu ole 4 vaega: Pulea, Atamai, SSDL Touchpoints ma Faʻasalalauga. O vaega ta'itasi e 12 fa'atinoga, o lo'o fa'atusalia e 112 gaioiga.

O gaoioiga taitasi e 112 e iai 3 tulaga o le matua: amata, tulagalua ma maualuga. E mafai ona e suʻesuʻeina uma 12 faʻataʻitaʻiga vaega i lea vaega, filifili mea e taua ia te oe, fuafua pe faʻafefea ona faʻatinoina ma faʻasolosolo faʻaopoopo elemene, mo se faʻataʻitaʻiga, suʻesuʻega faʻamaonia ma le malosi poʻo le iloiloga code. E te tusia i lalo se fuafuaga ma galue filemu e tusa ai ma se vaega o le faʻatinoga o gaioiga filifilia.

Aisea e fai ai DevSecOps

DevOps o se faiga lautele, tele e tatau ona amanaia ai le saogalemu.

Muamua DevOps e aofia ai siaki saogalemu. I le faʻataʻitaʻiga, o le numera o 'au saogalemu na sili atu ona laʻititi nai lo le taimi nei, ma latou te le o ni tagata auai i le faagasologa, ae o se faʻatonuga ma le vaʻavaʻai tino e tuʻuina atu manaʻoga i luga ma siaki le lelei o le oloa i le faaiuga o le faʻamalolo. O se faiga masani lea na i ai 'au saogalemu i tua o le puipui mai le atinaʻe ma e leʻi auai i le faagasologa.

O le fa'afitauli autu o le saogalemu o fa'amatalaga e ese mai le atina'e. E masani lava o se ituaiga o faʻamatalaga saogalemu faʻamatalaga ma o loʻo i ai 2-3 mea tetele ma taugata. E tasi i le ono masina, o le source code poʻo le talosaga e manaʻomia ona siaki e oʻo mai, ma faʻatasi i le tausaga e gaosia pentests. O nei mea uma e oʻo atu ai i le mea moni e faʻatuai le aso faʻamalolo mo le alamanuia, ma o loʻo faʻaalia e le atinaʻe le tele o faʻafitauli mai meafaigaluega faʻapitoa. E le mafai ona faʻamavaeina ma toe faʻaleleia nei mea uma, ona o taunuuga mo le ono masina talu ai e leʻi faʻavasegaina, ae o se vaega fou lea.

I le gasologa o galuega a le matou kamupani, matou te vaʻai i le saogalemu i vaega uma ma alamanuia ua malamalama ua oʻo i le taimi e puʻe ai ma vili ma atinaʻe i luga o le uili e tasi - i Agile. O le DevSecOps paradigm e fetaui lelei ma le agile development methodology, faʻatinoga, lagolago ma le auai i faʻasalalauga uma ma faʻamatalaga.

Suiga i DevSecOps

O le upu pito sili ona taua i le Saogalemu Atinaʻe Lifecycle o le "fa'agasolo". E tatau ona e malamalama i lenei mea ae e te leʻi mafaufau i le faʻatauina o meafaigaluega.

Na o le tuʻufaʻatasia o meafaigaluega i le DevOps process e le lava-o fesoʻotaʻiga ma le malamalama i le va o tagata auai e taua tele.

E sili atu ona taua tagata, ae le o meafaigaluega.

E masani lava, o fuafuaga mo se faʻagasologa o le atinaʻe saogalemu e amata i le filifilia ma le faʻatauina o se meafaigaluega, ma faʻaiʻu i taumafaiga e tuʻufaʻatasia le meafaigaluega i le faagasologa o loʻo i ai nei, lea e tumau pea taumafaiga. O lenei mea e oʻo atu ai i taunuuga le lelei, aua o meafaigaluega uma e iai a latou lava uiga ma tapulaʻa.

O se tulaga masani o le taimi na filifilia ai e le matagaluega o le puipuiga se meafaigaluega lelei, taugata ma le lautele gafatia, ma sau i le au atinaʻe e tuʻufaʻatasia i le faagasologa. Ae e le aoga - o le faagasologa o loʻo faʻatulagaina i se auala e le fetaui ai tapulaʻa o le meafaigaluega ua uma ona faʻatauina i le faʻataʻitaʻiga o loʻo iai nei.

Muamua, fa'amatala pe o le a le taunu'uga e te mana'o ai ma pe fa'apei le faagasologa. O le a fesoasoani lea e malamalama ai i matafaioi o meafaigaluega ma le saogalemu i le faagasologa.

Amata i mea ua uma ona faʻaaogaina

A'o le'i fa'atau mea faigaluega taugata, va'ai i mea ua uma ona e maua. Soʻo se kamupani e iai manaʻoga mo le atinaʻeina, o loʻo i ai siaki, pentests - aisea e le suia ai nei mea uma i se faiga e malamalama ma faigofie mo tagata uma?

E masani lava o mea e manaʻomia o se pepa Talmud o loʻo taoto i luga o se fata. Sa i ai se mataupu ina ua matou o mai i se kamupani e vaʻavaʻai i faʻagasologa ma fesili e vaʻai i tulaga saogalemu mo le polokalama. O le tagata tomai faapitoa na feagai ma lenei mea na faʻaalu se taimi umi e suʻe ai:

- Ia, i se mea i totonu o faʻamatalaga sa i ai se auala o loʻo taoto ai lenei pepa.

O se taunuuga, na matou mauaina le pepa i le vaiaso mulimuli ane.

Mo mana'oga, siaki ma isi mea, fai se itulau ile eg. Faamaoniga - e faigofie mo tagata uma.

E sili atu ona faigofie le toe faʻaleleia o mea ua uma ona e maua ma faʻaaoga e amata ai.

Fa'aoga siamupini Puipuiga

E masani lava, i totonu o se kamupani averesi ma 100-200 atinaʻe, o loʻo i ai le tasi tagata tomai faʻapitoa e faia ni galuega ma e leai se taimi faʻaletino e siaki ai mea uma. E tusa lava pe na te taumafai i le mea sili, e na o ia lava na te le siakiina uma tulafono e gaosia e le atinaʻe. Mo ia tulaga, ua fausia se manatu - Siamupini Puipuiga.

Siamupini Puipuiga o tagata i totonu o le au atinaʻe e fiafia i le saogalemu o lau oloa.

O le Siamupini Puipuiga o se nofoaga e ulufale ai i totonu o le au atinaʻe ma se faievagelia saogalemu e taʻavale i le tasi.

E masani lava, pe a sau se tagata tomai faapitoa i le saogalemu i se vaega o atinaʻe ma faʻaalia se mea sese i le code, na te mauaina se tali faʻateʻia:

- Ma o ai oe? Ua ou vaai ia te oe mo le taimi muamua. O loʻo lelei mea uma ia te aʻu - na tuʻuina mai e laʻu uo sinia ia te aʻu le "faʻaoga" i luga o le iloiloga code, matou te agai i luma!

O se tulaga masani lea, aua e sili atu le faʻatuatuaina o tagata matutua poʻo na o le au uo e masani ona fegalegaleai le tagata atiaʻe i le galuega ma le iloiloga o tulafono. Afai, nai lo le leoleo, o le Siamupini Puipuiga e faʻailoa le sese ma taunuuga, o lana upu o le a sili atu le mamafa.

E le gata i lea, e sili atu le iloa e le au atinaʻe a latou code nai lo soʻo se tagata tomai faapitoa i le puipuiga. Mo se tagata o loʻo i ai le itiiti ifo ma le 5 galuega faatino i totonu o se meafaigaluega suʻesuʻe faʻapitoa, e masani lava ona faigata ona manatua uma nuances. E iloa e siamupini saogalemu a latou oloa: o le a le mea e fegalegaleai ma le mea ma le mea e tatau ona vaʻai muamua - e sili atu ona aoga.

Mafaufau la e fa'atino Siamupini Saogalemu ma fa'alauteleina le fa'aa'afiaga a lau 'au saogalemu. E aoga foi lenei mea mo le siamupini lava ia: atinaʻe faʻapolofesa i se matata fou, faʻalauteleina ona vaʻaia faʻapitoa, faʻaleleia tomai faʻapitoa, pulega ma taʻitaʻi, faʻateleina le tau o maketi. O nisi nei o elemene o le inisinia faʻaagafesootai, o ou "mata" i le vaega o atinaʻe.

Laasaga o su'ega

Paradigm 20 i le 80 fai mai o le 20% o taumafaiga e maua ai le 80% o taunuuga. O lenei 20% o faʻataʻitaʻiga faʻataʻitaʻiga e mafai ma e tatau ona otometi. O faʻataʻitaʻiga o ia gaioiga o suʻesuʻega tumau - SAST, su'esu'ega malosi - ASO и Pulea Open Source. O le a ou taʻuina atu ia te oe faʻamatalaga auiliili e uiga i gaioiga, faʻapea foʻi ma meafaigaluega, o a foliga tatou te masani ona faʻafeiloaʻi pe a faʻafeiloaʻi i latou i le faagasologa, ma pe faʻafefea ona fai saʻo.

Fa'afitauli autu o meafaigaluega

O le a ou faʻamalamalamaina faʻafitauli e talafeagai mo mea faigaluega uma ma manaʻomia le gauai. O le a ou auiliiliina atili i latou ina ia le toe faia atili.

Taimi su'esu'ega umi. Afai mai le tautinoga e faʻamalolo e manaʻomia le 30 minute mo suʻega uma ma faʻapotopotoga, o le siakiina o faʻamatalaga o le a faia se aso. O lea e leai se tasi na te faʻagesegese le faagasologa. Ia amanaia lenei vaega ma faia ni faaiuga.

Tulaga maualuga False Negative po'o False Positive. E eseese uma oloa, e fa'aaoga uma fa'ava'a ma a latou lava faiga fa'ailoga. I luga o codebases eseese ma tekinolosi, meafaigaluega e mafai ona faʻaalia tulaga eseese o False Negative ma False Positive. Va'ai la i le mea tonu o lo'o i totonu lau kamupani ma mo lau talosaga o le a fa'aalia i'uga lelei ma fa'atuatuaina.

Leai se tu'ufa'atasiga ma meafaigaluega o iai. Va'ai i meafaigaluega i tulaga o tu'ufa'atasiga ma mea ua uma ona e fa'aogaina. Mo se faʻataʻitaʻiga, afai e iai sau Jenkins poʻo TeamCity, siaki le tuʻufaʻatasia o meafaigaluega ma lenei polokalama, ae le o le GitLab CI, e te le faʻaaogaina.

Leai po'o le lavelave tele o le fa'avasegaina. Afai o se meafaigaluega e leai se API, aisea la e manaʻomia ai? O mea uma e mafai ona faia i totonu o le atinaʻe e tatau ona avanoa ile API. O le mea lelei, o le meafaigaluega e tatau ona i ai le tomai e faʻavasega siaki.

Leai se fa'afanua o le Atina'eina o Oloa. E le tumau le atinaʻe, matou te faʻaogaina i taimi uma ni faʻavae fou ma galuega, toe tusia tulafono tuai i gagana fou. Matou te mananaʻo ia mautinoa o le meafaigaluega matou te faʻatauina o le a lagolagoina faʻavae fou ma tekinolosi. O le mea lea, e taua le iloa o le oloa e moni ma saʻo Roadmap atinae.

Faʻasologa o mea

I le faʻaopoopoga i foliga o mea faigaluega, ia amanaʻia foliga o le atinaʻe. Mo se faʻataʻitaʻiga, o le faʻalavelaveina o le atinaʻe o se mea sese masani. Seʻi o tatou vaʻavaʻai poʻo a isi vaega e tatau ona amanaia ma mea e tatau ona faʻalogo i ai le vaega saogalemu.

Ina ia le misia le atinaʻe ma faʻasaʻo taimi faʻatapulaʻa, fatuina tulafono eseese ma eseese faaali taofi - ta'iala mo le taofia o le faiga o le fausiaina pe a iai ni fa'aletonu - mo siosiomaga eseese. Mo se faʻataʻitaʻiga, matou te malamalama o le lala o loʻo i ai nei e alu i le atinaʻe poʻo le UAT, o lona uiga matou te le taofi ma fai atu:

"E iai ou faʻafitauli iinei, e te le alu i se isi mea!"

I le taimi nei, e taua le taʻu atu i tagata atiaʻe o loʻo i ai faʻafitauli saogalemu e manaʻomia le gauai.

O le iai o faʻafitauli e le o se faʻalavelave mo suʻega atili: tusi lesona, tu'ufa'atasiga po'o le tusi lesona. I le isi itu, tatou te manaʻomia le faʻateleina o le saogalemu o le oloa, ma ina ia aua neʻi faʻatamala e le au atinaʻe mea latou te maua saogalemu. O le mea lea, o nisi taimi matou te faia lenei mea: i luga o le tulaga, pe a faʻasalalau atu i le atinaʻe siosiomaga, matou te logoina le atinaʻe:

- Tama, e iai ou faʻafitauli, faʻamolemole faʻalogo i ai.

I le tulaga o le UAT matou te toe faʻaalia lapataiga e uiga i faʻafitauli, ma i le tulaga faʻamalolo matou te fai atu:

- Tama, matou te lapataia oe i le tele o taimi, e te leʻi faia se mea - matou te le faʻatagaina oe i fafo i lenei mea.

Afai tatou te talanoa e uiga i code ma dynamics, ona tatau lea ona faʻaalia ma lapatai e uiga i faʻafitauli naʻo na foliga ma code na faatoa tusia i lenei vaega. Afai e faʻanofoina e le atinaʻe se ki i le 3 pixels ma matou taʻu atu ia te ia o loʻo i ai sana tui SQL iina ma o lea e manaʻomia ai ona faʻavave vave, e sese lenei. Va'ai na'o mea o lo'o tusia nei ma le suiga e o'o mai i le talosaga.

Seʻi tatou fai atu o loʻo i ai se faʻafitauli faʻapitoa - o le auala e le tatau ona galue ai le talosaga: e le faʻafeiloaʻi tupe, pe a e kiliki i luga o se ki e leai se suiga i le isi itulau, pe le utaina le oloa. Fa'aletonu Saogalemu - o faʻaletonu tutusa ia, ae le o le faʻaogaina o le faʻaogaina, ae i le saogalemu.

E le o fa'afitauli uma o le lelei o polokalama fa'aletonu o fa'afitauli saogalemu. Ae o faafitauli uma o le saogalemu e fesoʻotaʻi ma le tulaga lelei o le polokalama. Sherif Mansour, Expedia.

Talu ai ona o fa'aletonu uma e tutusa lelei, e tatau ona tu'u i le nofoaga e tasi ma fa'aletonu uma tau atina'e. O lea ia galo ai lipoti ma PDF mataʻutia e leai se tasi e faitau.

A o ou galue i se kamupani atinaʻe, na ou mauaina se lipoti mai meafaigaluega suʻesuʻe static. Na ou tatalaina, sa ou fefe, faia le kofe, lau i le 350 itulau, tapuni ma faaauau pea ona galue. O lipoti tetele o lipoti oti. E masani lava e leai se mea e alu i ai, ua tapeina tusi, galo, leiloa, pe fai mai le pisinisi e talia tulaga lamatia.

O le a le mea e fai? Na'o le fa'aliliuina o fa'aletonu fa'amaonia na matou maua i se fomu e faigofie mo le atina'e, mo se fa'ata'ita'iga, matou te tu'u i totonu o se backlog i Jira. Matou te faʻamuamua faʻaletonu ma faʻaumatia i latou i le faasologa o le faʻamuamua, faʻatasi ai ma faʻafitauli faʻaletonu ma faʻaletonu suʻega.

Su'esu'ega Fa'amau - SAST

Ole su'esu'ega lea ole code mo fa'aletonu., ae e le tutusa ma SonarQube. Matou te le na o le siakiina o mamanu poʻo sitaili. Ole tele o auala o loʻo faʻaaogaina ile auʻiliʻiliga: e tusa ai ma le laʻau vaivai, e tusa ai ma DataFlow, e ala i le iloiloina o faila faatulagaina. Pau lava le mea e fa'atatau i le code lava ia.

Tulaga lelei o le auala: fa'ailoaina fa'aletonu i tulafono laiti i le amataga o le atina'epe a leai ni tulaga po o ni mea faigaluega ua uma ona fai, ma fa'aopoopo le mafai ona su'esu'e: su'esu'eina se vaega o le code ua suia, ma na'o le vaega o lo'o matou faia nei, lea e fa'aitiitia ai le taimi e su'e ai.

Igoa - o le leai lea o se lagolago mo gagana talafeagai.

Fa'atasiga mana'omia, lea e tatau ona i ai i meafaigaluega, i loʻu manatu autu:

• Meafaigaluega tuʻufaʻatasia: Jenkins, TeamCity ma Gitlab CI.
• Atinaʻe siosiomaga: Intellij IDEA, Visual Studio. E sili atu ona faigofie mo le atinaʻe le le faʻaogaina o se atinaʻe e le mafai ona malamalama i ai e manaʻomia pea ona taulotoina, ae ia vaʻai i tuʻufaʻatasiga talafeagai uma ma faʻafitauli na ia mauaina saʻo i le fale faigaluega i lona lava atinaʻe siosiomaga.
• Iloiloga tulafono: SonarQube ma le tusi lesona.
• Su'e fa'aletonu: Jira ma Bugzilla.

O le ata o loʻo faʻaalia ai nisi o sui sili ona lelei o suʻesuʻega static.

E le o mea faigaluega e taua, ae o le faʻagasologa, o lea o loʻo i ai fofo Open Source e lelei foi mo le suʻeina o le faagasologa.

SAST Open Source o le a le maua se numera tele o faʻafitauli poʻo DataFlows lavelave, ae e mafai ma e tatau ona faʻaoga pe a fausia se gaioiga. Latou te fesoasoani e malamalama pe faʻapefea ona fausia le faagasologa, o ai o le a tali atu i bugs, o ai o le a lipotia, ma o ai o le a lipotia. Afai e te manaʻo e faʻatino le laasaga muamua o le fausiaina o le saogalemu o lau code, faʻaaoga fofo Open Source.

E faʻafefea ona tuʻufaʻatasia lenei mea pe afai o oe i le amataga o lau malaga ma e leai se mea: leai CI, leai Jenkins, leai TeamCity? Sei o tatou mafaufau i le tuufaatasia i le faagasologa.

CVS tulaga tu'ufa'atasiga

Afai e iai sau Bitbucket poʻo GitLab, e mafai ona e tuʻufaʻatasia i le tulaga Faiga Fa'atasi Faiga.

E ala i le mea na tupu - toso talosaga, fai. E te suʻesuʻeina le code ma faʻaalia le tulaga o le fausiaina pe na pasi le siaki saogalemu pe le manuia.

Manatu faaalia. Ioe, e manaʻomia i taimi uma manatu faaalia. Afai na e faia le puipuiga i le itu, tuʻu i totonu o se atigipusa ma e te le taʻuina atu i se tasi se mea e uiga i ai, ma i le faaiuga o le masina na lafoaʻi ai le tele o pusi - e le saʻo ma e le lelei.

Tu'ufa'atasi ma le faiga o le toe iloiloga o tulafono

I se tasi taimi, na matou galue ai o se tagata suʻesuʻe faʻaletonu mo se faʻaoga faʻapitoa AppSec i le tele o galuega taua. Faʻalagolago pe faʻaalia mea sese i le code fou pe leai foi ni mea sese, e setiina e le tagata suʻesuʻe le tulaga i luga o le talosaga toso e "talia" pe "manaʻomia galuega" - pe o mea uma e lelei, poʻo fesoʻotaʻiga i mea tonu e manaʻomia ona faʻaleleia. e tatau ona faaleleia. Mo le tu'ufa'atasia ma le fa'asologa o lo'o alu i le gaosiga, ua matou fa'atagaina le tu'ufa'atasiga fa'asaina pe a le pasia le su'ega o le puipuiga o fa'amatalaga. Na matou faʻaofiina lenei mea i le iloiloga o tulafono laiti, ma isi tagata na auai i le faʻagasologa na vaʻaia tulaga saogalemu mo lenei faiga faʻapitoa.

Fa'atasi ma SonarQube

E toatele ua faitotoa lelei i le tulaga o le tulaga lelei code. E tutusa lava iinei - e mafai ona e faia na o faitotoa e tasi mo meafaigaluega SAST. O le ai ai le faʻaoga tutusa, le faitotoa tutusa lelei, naʻo le taʻua puipui puipui. E le gata i lea, afai e iai sau faʻagasologa e faʻaaoga ai le SonarQube, e faigofie ona e tuʻufaʻatasia mea uma iina.

Tu'ufa'atasi ile tulaga CI

O mea uma iinei e faigofie foi:

• E tutusa ma autotests, su'ega iunite.
• Vaevaega i laasaga o atinaʻe: dev, suega, prod. E mafai ona aofia ai seti eseese o tulafono poʻo tulaga faʻaletonu eseese: taofi le faʻapotopotoga, aua le taofia le faʻapotopotoga.
• Fa'agasolo/asynchronous fa'alauiloa. O loʻo matou faʻatali mo le faʻaiʻuga o suʻega saogalemu pe leai. O lona uiga, na o le faʻalauiloaina o latou ma agai i luma, ona maua lea o le tulaga o mea uma e lelei pe leaga.

E i ai uma i se lalolagi piniki atoatoa. E leai se mea faapena i le olaga moni, ae tatou te taumafai. Ole fa'ai'uga ole fa'agaioiga o siakiga e tatau ona tutusa ma fa'ai'uga o su'ega iunite.

Mo se faʻataʻitaʻiga, na matou faia se galuega tele ma filifili o le a matou suʻesuʻeina i le SAST - OK. Na matou tuleia lenei poloketi i le SAST, na matou maua ai le 20 faʻafitauli ma e ala i se faʻaiʻuga malosi na matou filifili ai o loʻo lelei mea uma. 000 faʻafitauli o la matou aitalafu faʻapitoa. O le a matou tuʻuina le aitalafu i totonu o se atigipusa, matou te faʻamama lemu ma faʻapipiʻi faʻamaʻi i tagata siaki faaletonu. Tatou fa'afaigaluegaina se kamupani, fai mea uma i tatou lava, po'o le fesoasoani mai o Siamupini Puipuiga - ma o le a fa'aitiitia aitalafu fa'apitoa.

Ma o faʻafitauli faʻafuaseʻi fou uma i le tulafono fou e tatau ona faʻaumatia i le auala lava e tasi e pei o mea sese i totonu o se iunite poʻo i autotests. E tusa ai ma le tautalaga, na amata le faʻapotopotoga, matou faʻatautaia, lua suʻega ma lua suʻega saogalemu na le manuia. Ua lelei - na matou o, tilotilo i le mea na tupu, faʻapipiʻi se mea se tasi, faʻapipiʻi le isi, faʻatautaia i le isi taimi - na lelei mea uma, leai ni faʻafitauli fou na aliali mai, leai ni suʻega na toilalo. Afai e loloto atu lenei galuega ma e tatau ona e malamalama lelei i ai, poʻo le faʻaleleia o faʻafitauli e aʻafia ai laupepa tetele o mea o loʻo taoto i lalo o le pulou: na faʻaopoopoina se pusa i le tracker faaletonu, e faʻamuamua ma faʻasaʻo. Ae paga lea, e le atoatoa le lalolagi ma o nisi taimi e toilalo ai suega.

O se faʻataʻitaʻiga o se faitotoʻa saogalemu o se faʻataʻitaʻiga o se faitotoʻa lelei, i le tulaga o le i ai ma le numera o faʻafitauli i le code.

Matou te tuʻufaʻatasia ma SonarQube - faʻapipiʻi le plugin, o mea uma e matua faigofie ma malulu.

Tu'ufa'atasi ma le si'osi'omaga tau atina'e

Filifiliga tu'ufa'atasi:

• Fa'atino se su'esu'ega mai le si'osi'omaga atina'e a'o le'i faia.
• Va'ai i'uga.
• Iloiloga o taunuuga.
• Fa'atasi ma le 'au'aunaga.

O le mea lea e foliga mai e maua mai i'uga mai le server.

I lo tatou siosiomaga atinae Manatu IDEA e aliali mai lava se mea fa'aopoopo e fa'ailoa atu ia te oe o ia fa'aletonu na maua i le su'ega. E mafai ona e vave faʻasaʻo le code, vaʻai i fautuaga ma Fa'asologa o ata. O loʻo tuʻuina uma i le fale faigaluega a le tagata atiaʻe, lea e faigofie tele - e le manaʻomia le mulimuli i isi fesoʻotaʻiga ma vaʻai i se mea faaopoopo.

Open Source

Ole autu lea e sili ona ou fiafia iai. E fa'aaoga e tagata uma faletusi Open Source - aisea e tusi ai le tele o tootoo ma uila pe a mafai ona e ave se faletusi ua uma ona fa'atino uma?

O le mea moni, e moni lenei mea, ae o faletusi e tusia foi e tagata, latou te aofia ai foi ni tulaga lamatia ma o loʻo i ai foi faʻafitauli e masani ona lipotia mai i lea taimi ma lea taimi. O le mea lea, o loʻo i ai le isi laasaga i le Puipuiga o Talosaga - o le auiliiliga lea o vaega Open Source.

Su'esu'ega Punaoa Tatala - OSA

O le meafaigaluega e aofia ai vaega tetele e tolu.

Su'e mo fa'aletonu i totonu o faletusi. Mo se faʻataʻitaʻiga, ua iloa e le meafaigaluega o loʻo matou faʻaogaina se faletusi, ma o totonu CVE po'o lo'o iai fo'i fa'aletonu i su'esu'ega pusi e feso'ota'i ma lenei fa'asologa o le faletusi. A e taumafai e faʻaoga, o le meafaigaluega o le a tuʻuina atu se lapataiga e faʻapea o le faletusi e vaivai ma fautuaina oe e faʻaoga se isi faʻaoga e leai ni faʻafitauli.

Iloiloga o le mama laisene. E le o lauiloa tele iinei, ae afai e te galue i fafo, ona mafai lea ona e maua se lafoga mai lea taimi i lea taimi mo le faʻaaogaina o se vaega tatala e le mafai ona faʻaaogaina pe suia. E tusa ai ma tulafono a le faletusi laiseneina, e le mafai ona matou faia lenei mea. Pe, afai tatou te suia ma faʻaaogaina, e tatau ona tatou lafoina a tatou code. Ioe, e leai se tasi e manaʻo e faʻasalalau le code o latou oloa, ae e mafai foi ona e puipuia oe lava mai lenei mea.

Iloiloga o vaega o loʻo faʻaaogaina i se siosiomaga faʻapisinisi. Se'i vaai faalemafaufau i se tulaga fa'apea ua i'u ina mae'a le atina'e ma fa'asalalauina le fa'asalalauga lata mai o la tatou auaunaga fa'apitoa. E matagofie lona nofo ai iina - o le vaiaso, o le masina, o le tausaga. Matou te le aoina, matou te le faia ni siaki saogalemu, e foliga mai o loʻo lelei mea uma. Ae faʻafuaseʻi, i le lua vaiaso talu ona tuʻuina atu, o loʻo faʻaalia se faʻafitauli matuia i le Open Source, lea tatou te faʻaogaina i lenei fale faʻapitoa, i totonu o le siosiomaga tau pisinisi. Afai tatou te le faʻamauina le mea ma le mea tatou te faʻaogaina, ona tatou le vaʻaia lea o lenei faʻafitauli. O nisi meafaigaluega o loʻo i ai le malosi e mataʻituina ai faʻafitauli i totonu o faletusi o loʻo faʻaaogaina nei i le alamanuia. E aoga tele.

Vaega:

• Eseese faiga faavae mo laasaga eseese o atinae.
• Mataituina vaega i totonu o se siosiomaga tau alamanuia.
• Puleaina o faletusi i totonu o le faalapotopotoga.
• Lagolago mo faiga fau ma gagana eseese.
• Iloiloga o ata Docker.

O nai faʻataʻitaʻiga o taʻitaʻi o pisinisi o loʻo galulue i le Open Source suʻesuʻega.

Pau lava le mea e leai se totogi o lenei Fa'alagolago-Siaki mai le OWASP. E mafai ona e kiina i laʻasaga muamua, vaʻai pe faʻafefea ona aoga ma mea e lagolagoina. Ole mea masani, o mea uma nei o ao, poʻo luga ole fale, ae i tua atu o latou faʻavae o loʻo lafoina pea i luga ole Initaneti. Latou te le auina atu au faletusi, ae o faʻailoga poʻo a latou lava tau, latou te faʻatatauina, ma faʻailoga tamatamailima i la latou 'auʻaunaga e maua ai faʻamatalaga e uiga i le i ai o faʻafitauli.

Fa'agasologa fa'atasi

Puleaina o faletusi, lea e sii mai i puna mai fafo. E iai a matou faleoloa i fafo ma totonu. Mo se faʻataʻitaʻiga, Event Central faʻatautaia Nexus, ma matou te manaʻo e faʻamautinoa e leai ni faʻafitauli i totonu o la matou fale teu oloa ma se tulaga "taua" poʻo le "maualuga". E mafai ona e fa'atulagaina sui e fa'aaoga ai le Nexus Firewall Lifecycle meafaigaluega ina ia vavae ese ia fa'afitauli ma aua ne'i o'o i totonu o le fale teu oloa.

Tuufaatasiga ile CI. I luga o le tulaga tutusa ma autotests, suʻega iunite ma vaevaega i laʻasaga atinaʻe: dev, suʻega, prod. I laʻasaga taʻitasi, e mafai ona e siiina soʻo se faletusi, faʻaaoga soʻo se mea, ae afai o loʻo i ai se mea faigata i le tulaga "taua", atonu e aoga le tosina atu o le au atinaʻe i lenei mea i le tulaga o le faʻamalolo i le gaosiga.

Tu'ufa'atasi ma meafaitino: Nexus ma JFrog.

Tu'ufa'atasi i totonu o le si'osi'omaga atina'e. O meafaigaluega e te filifilia e tatau ona faʻatasi ma siosiomaga atinaʻe. E tatau i le tagata atia'e ona maua le avanoa i fa'ai'uga su'esu'e mai lona fale faigaluega, po'o le tomai e su'esu'e ma siaki le code lava ia mo fa'aletonu a'o le'i tu'uina atu i le CVS.

CD tuufaatasia. O se uiga manaia lea ou te fiafia tele i ai ma ua uma ona ou talanoa i ai - mataʻituina le tulaʻi mai o faʻafitauli fou i totonu o se siosiomaga tau pisinisi. E galue e pei o lenei.

E iai sau sikaipi Faleteuoloa Vaega a le Malo - o nisi meafaigaluega i fafo, ma le matou fale teu oloa i totonu. Matou te manana'o ia aofia ai na'o vaega fa'atuatuaina. Pe a suitulaga i se talosaga, matou te siaki pe o le faletusi na sii mai e leai ni faʻafitauli. Afai e pa'ū i lalo o nisi faiga faʻavae tatou te setiina ma e tatau ona faʻamaopoopoina ma le atinaʻe, ona tatou le faʻapipiʻiina lea ma faʻamalosia e faʻaoga se isi faʻamatalaga. E tusa ai ma lea, afai ei ai se mea e sili ona leaga ma leaga i totonu o le faletusi, o le a le mauaina e le tagata faʻapipiʻi le faletusi i le tulaga faʻapipiʻi - tuʻu atu ia te ia e faʻaaoga se faʻaoga maualuga pe maualalo.

• Pe a fausia, matou te siaki e leai se tasi na se'e se mea leaga, o vaega uma e saogalemu ma e leai se tasi na aumaia se mea matautia i luga o le flash drive.
• E na'o matou vaega fa'atuatuaina i totonu o le fale teu oloa.
• A faʻapipiʻi, matou toe siaki le afifi lava ia: taua, fagu, DL poʻo Docker ata e faʻamautinoa e ogatasi ma faiga faʻavae.
• Pe a ulufale i totonu o le alamanuia, matou te mataʻituina mea o loʻo tupu i totonu o fale gaosi oloa: faʻafitauli ogaoga e aliali mai pe leai foi.

Su'esu'ega Dynamic - DAST

O meafaigaluega su'esu'e fa'amalosi e matua'i ese lava mai mea uma na ta'ua muamua. O se ituaiga faʻataʻitaʻiga o galuega a le tagata faʻaoga ma le talosaga. Afai o se 'upega tafaʻilagi lenei, matou te tuʻuina atu talosaga, faʻataʻitaʻiina le galuega a le kalani, kiliki i luga o faʻamau i le pito i luma, auina atu faʻamatalaga faʻapitoa mai le fomu: upusii, puipui, mataitusi i faʻasologa eseese, e vaʻai pe faʻafefea ona galue le talosaga ma faiga. fa'amatalaga mai fafo.

O le faiga lava lea e tasi e mafai ai e oe ona siaki faʻafitauli faʻapitoa ile Open Source. Talu ai e le iloa e le DAST po o le fea Open Source o loʻo matou faʻaogaina, naʻo le lafoina o mamanu "leaga" ma suʻesuʻeina tali a le server:

- Ioe, o loʻo i ai se faʻafitauli faʻaleagaina iinei, ae le o iinei.

E i ai le tele o tulaga lamatia i lenei mea, aua afai e te faia lenei suʻega saogalemu i luga o le nofoa tutusa e galulue ai le au suʻega, e mafai ona tupu mea le fiafia.

• O le uta maualuga i luga o le upega o fesoʻotaʻiga server.
• Leai ni tu'ufa'atasiga.
• Malosiaga e sui tulaga o le talosaga suʻesuʻe.
• E leai se lagolago mo tekinolosi talafeagai.
• Faigata fa'atutu.

Sa i ai se matou tulaga ina ua matou tatalaina le AppScan: matou te faʻaaluina se taimi umi e taumafai ai e maua le avanoa i le talosaga, maua 3 tala ma fiafia - matou te siakiina mea uma! Na matou faʻalauiloaina se faʻataʻitaʻiga, ma o le mea muamua na faia e AppScan o le alu lea i totonu o le admin panel, tuʻi uma ki, sui le afa o faʻamaumauga, ona faʻaumatia atoa lea o le server ma lona fa'ailoga meli- talosaga. Atinaʻe ma suʻega fai mai:

- Tama, o e ula mai ia te aʻu?! Na matou tuʻuina atu ia te oe tala, ma na e faʻatutuina se tulaga!

Mafaufau i tulaga lamatia. Le mea lelei, saunia se tulaga ese mo le suʻeina o faʻamatalaga saogalemu, lea o le a vavae ese mai le isi vaega o le siosiomaga a itiiti ifo i se isi itu, ma siaki tulaga le admin panel, sili i le faiga tusi lesona. O se fa'ata'ita'iga lenei - o totoe o pasene o taumafaiga tatou te le o mafaufauina nei.

E taua le mafaufau e mafai ona e faʻaogaina lenei mea e fai ma analogue o suʻega uta. I le laʻasaga muamua, e mafai ona e suʻeina se scanner malosi ma 10-15 filo ma vaʻai pe o le a le mea e tupu, ae masani lava, e pei ona faʻaalia e le faʻataʻitaʻiga, e leai se mea lelei.

O nai punaoa e masani ona matou faʻaaogaina.

Taua fa'amanino Burp Suite o se "nafi Suiselani" mo soʻo se tagata tomai faapitoa i le puipuiga. E faʻaaogaina e tagata uma ma e matua faigofie lava. Ua tatalaina nei se fa'ata'ita'iga fou o le lomiga fa'apitoa. Afai o le taimi muamua sa na o se aoga tutoʻatasi ma plugins, o lea ua iu lava ina faia e le au atinaʻe se server tele e mafai ai ona pulea le tele o sui. E manaia lenei, ou te fautuaina oe e faʻataʻitaʻi.

Fa'agasologa fa'atasi

O le tuʻufaʻatasiga e tupu lelei ma faigofie: amata su'esu'e pe a mae'a fa'apipi'i manuia talosaga mo le tulaga ma su'esu'e pe a mae'a su'ega tu'ufa'atasi manuia.

Afai e le aoga le tuʻufaʻatasiga pe iai ni faʻamau ma faʻatauemu galuega, e leai se aoga ma leai se aoga - e tusa lava po o le a le mamanu tatou te lafoina, o le a tali mai le server i le auala lava e tasi.

• O le mea e sili ona lelei, o se tulaga faʻataʻitaʻi ese.
• A'o le'i faia le su'ega, tusi i lalo le fa'asologa o le saini.
• O le su'ega o le pulega e na'o le tusi lesona.

Le faagasologa

O sina fa'asalalauga fa'apitoa e uiga i le fa'agasologa lautele ma e uiga i le galuega o meafaigaluega ta'itasi fa'apitoa. O talosaga uma e eseese - tasi e sili atu ona lelei le suʻesuʻeina o suʻesuʻega, o le isi ma suʻesuʻega faʻapitoa, lona tolu ma OpenSource suʻesuʻega, pentests, poʻo se isi mea atoa, mo se faʻataʻitaʻiga, mea na tutupu ma Waf.

O faiga uma e mana'omia le pulea.

Ina ia malamalama pe faʻapefea ona galue se faʻagasologa ma le mea e mafai ona faʻaleleia ai, e manaʻomia lou aoina mai o fua faʻatatau mai mea uma e mafai ona e maua ai ou lima, e aofia ai fua faʻatatau, fua faʻatatau mai meafaigaluega, ma mai tagata faʻaletonu.

So'o se fa'amatalaga e fesoasoani. E tatau ona vaʻavaʻai mai itu eseese i le mea e sili atu ona faʻaogaina ai lenei mea poʻo lena meafaigaluega, lea e faʻapitoa ai le faʻagasologa. Atonu e aoga le va'ai i taimi e tali atu ai i le atina'e e va'ai po'o fea e fa'aleleia ai le fa'agasologa e fa'atatau i le taimi. O le tele o faʻamatalaga, o le tele o vaega e mafai ona fausia mai le pito i luga i faʻamatalaga o faʻagasologa taʻitasi.

Talu ai o tagata suʻesuʻe faʻamalosi ma malosi uma e iai a latou lava API, a latou lava auala faʻalauiloa, mataupu faavae, o nisi e iai faʻasologa, o isi e leai - matou te tusia se meafaigaluega. AppSec Fa'atonu, lea e mafai ai ona e fatuina se mea e tasi e ulufale ai i le faagasologa atoa mai le oloa ma pulea mai le tasi itu.

O pule, atinaʻe ma inisinia saogalemu e tasi le mea e ulufale mai ai e mafai ona latou vaʻavaʻai i mea o loʻo taʻavale, faʻapipiʻi ma faʻataʻitaʻiina se faʻataʻitaʻiga, maua iʻuga faʻataʻitaʻiga, ma tuʻuina atu manaʻoga. O loʻo matou taumafai e alu ese mai pepa, e faʻaliliu mea uma i totonu o le tagata, lea e faʻaaogaina e le atinaʻe - itulau i luga o le Confluence ma le tulaga ma metrics, faʻaletonu i Jira poʻo i le tele o siaki faʻaletonu, poʻo le tuʻufaʻatasia i totonu o se faiga synchronous/asynchronous i CI. /CD.

Key Takeaway

O meafaigaluega e le o le mea autu. Muamua mafaufau i le faagasologa - ona faatino lea o meafaigaluega. O meafaigaluega e lelei ae taugata, o lea e mafai ai ona e amata i le faagasologa ma fausia fesootaiga ma le malamalama i le va o le atinaʻe ma le saogalemu. Mai se vaaiga saogalemu, e leai se mea e manaʻomia e "taofi" ai mea uma. Mai le vaaiga o le atinaʻe, afai o loʻo i ai se mea maualuga mega super critical, ona manaʻomia lea ona faʻaumatia, ma aua le liliu le mata i le faʻafitauli.

Tulaga lelei - sini masani saogalemu ma atinae. Matou te faia se mea e tasi, matou te taumafai e faʻamautinoa o loʻo lelei mea uma ma e leai ni faʻafitauli tau igoa poʻo tupe gau. O le mafuaʻaga lea matou te faʻalauiloaina ai se DevSecOps, SecDevOps auala e faʻaleleia atili ai fesoʻotaʻiga ma faʻaleleia le tulaga lelei o le oloa.

Amata i mea ua uma ona e maua: mana'oga, fausaga, siaki vaega, a'oa'oga, ta'iala. E le manaʻomia le faʻaogaina vave o faiga uma i galuega uma - fa'agasolo solo. E leai se tulaga e tasi- fa'ata'ita'iga ma taumafai auala eseese ma fofo.

E i ai se fa'ailoga tutusa i le va o fa'aletonu o le puipuiga o fa'amatalaga ma fa'aletonu o galuega.

Otometi mea umalea e gaoioi. Po'o le a lava le mea e le minoi, fa'agaoioi ma fa'autometi. Afai e faia se mea i le lima, e le o se vaega lelei o le faagasologa. Masalo e aoga le toe iloiloina ma otometi foi.

Afai e laʻititi le tele o le IS - fa'aaoga siamupini Puipuiga.

Masalo o le mea na ou talanoa ai e le fetaui ma oe ma o le ae maua ai sau lava mea - ma e lelei. Ae filifili meafaigaluega e faʻatatau i manaʻoga mo lau faʻagasologa. Aua le tilotilo i le tala a le nuu, e leaga le mea faigaluega lea ae lelei le mea lea. Masalo o le faafeagai o le a moni mo lau oloa.

Manaoga mo meafaigaluega.

• Tulaga maualalo False Lelei.
• Taimi au'ili'ili talafeagai.
• Le faigofie o le faʻaaogaina.
• Avanoa o tu'ufa'atasiga.
• Malamalama ile fa'afanua ole atina'e o oloa.
• Avanoa o le fa'avasegaina o meafaigaluega.

O le lipoti a Yuri na filifilia e avea o se tasi o mea sili i DevOpsConf 2018. Ina ia faamasani i manatu sili atu ona manaia ma mataupu aoga, sau i Skolkovo i le aso 27 o Me ma le 28. DevOpsConf totonu tausamiga RIT++. Ae sili atu, afai ua e sauni e faʻasoa atu lou poto masani, ia talosaga mo le lipoti seia oo ia Aperila 21.

puna: www.habr.com