Re ne re e-na le li-code analyzers tse 2, lisebelisoa tse 4 tsa tlhahlobo tse matla, mesebetsi ea rona ea matsoho le lingoloa tse 250. Ha se hore sena sohle sea hlokahala ts'ebetsong ea hajoale, empa hang ha o qala ho kenya ts'ebetsong DevSecOps, o tlameha ho ea qetellong.
. Baqapi ba libapali: Justin Roiland le Dan Harmon.
SecDevOps ke eng? Ho thoe'ng ka DevSecOps? Liphapang ke life? Tšireletso ea Tšebeliso - e bua ka eng? Hobaneng ha mokhoa oa khale o sa sebetse? O tseba likarabo tsa lipotso tsena kaofela Yuri Shabalin ho tswa Tšireletso ea Swordfish. Yuri o tla araba ntho e 'ngoe le e' ngoe ka botlalo 'me a hlahlobe mathata a phetoho ho tloha ho mokhoa oa khale oa Tšireletso ea Kopo ho ea ho DevSecOps tshebetso: mokhoa oa ho atamela ka nepo ho kopanngoa ha ts'ebetso e sireletsehileng ea nts'etsopele ts'ebetsong ea DevOps le ho se robe letho, mokhoa oa ho feta mekhahlelo e meholo. ea tlhahlobo ea ts'ireletso, ke lisebelisoa life tse ka sebelisoang, le hore na li fapana joang le hore na li ka etsoa joang ka nepo ho qoba maraba.
Mabapi le sebui: Yuri Shabalin - Chief Security Architect in the company Tšireletso ea Swordfish. E ikarabella bakeng sa ts'ebetsong ea SSDL, bakeng sa kopanyo e akaretsang ea lisebelisoa tsa tlhahlobo ea ts'ebeliso ho nts'etsopele e kopaneng le tlhahlobo ea tikoloho. Lilemo tse 7 tsa boiphihlelo ts'ireletso ea tlhahisoleseling. O sebelitse ho Alfa-Bank, Sberbank le Positive Technologies, e hlahisang software le ho fana ka litšebeletso. Sebui likopanong tsa machaba ZerONights, PHDays, RISSPA, OWASP.
Tšireletso ea Kopo: e bua ka eng?
Ts'ireletso ea Ts'ebetso - Ena ke karolo ea ts'ireletso e ikarabellang bakeng sa ts'ireletso ea kopo. Sena ha se sebetse ho meralo ea motheo kapa ts'ireletso ea marang-rang, empa ho seo re se ngolang le seo baetsi ba sebetsang ho sona - tsena ke mefokolo le bofokoli ba kopo ka boeona.
Tataiso - Ts'ireletso ea bophelo ba ntlafatso - e ntlafalitsoeng ke Microsoft. Setšoantšo se bonts'a mohlala oa canonical SDLC, mosebetsi o ka sehloohong oa ho kenya letsoho ts'ireletso boemong bo bong le bo bong ba nts'etsopele, ho tloha litlhoko ho ea ho lokolloa le tlhahiso. Microsoft e ile ea hlokomela hore ho ne ho e-na le likokoana-hloko tse ngata indastering, ho ne ho e-na le tse ngata tsa tsona 'me ho na le ho hong ho lokelang ho etsoa ka eona,' me ba etsa tlhahiso ea mokhoa ona, o fetohileng oa canonical.
Ts'ireletso ea Ts'ebeliso le SSDL ha lia rereloa ho bona bofokoli, joalo ka ha ho lumeloa hangata, empa ke ho thibela ho hlaha ha bona. Ha nako e ntse e ea, mokhoa oa Microsoft oa canonical o ile oa ntlafatsoa, oa ntlafatsoa, 'me oa kenngoa molemong oa ho qoela ka botlalo.
SDLC ea molao e hlalositsoe haholo ka mekhoa e fapaneng - OpenSAMM, BSIMM, OWASP. Mekhoa ea mekhoa e fapane, empa ka kakaretso e tšoana.
Ho aha Tšireletso ho Mohlala oa Khōlo
Ke e rata haholo BSIMM - . Motheo oa mokhoa ona ke karohano ea ts'ebetso ea Ts'ireletso ea Kopo ka libaka tse 4: Puso, Bohlale, Li-Touchpoints tsa SSDL le Ts'ebetso. Sebaka se seng le se seng se na le litloaelo tse 12, tse emeloang e le liketsahalo tse 112.
E 'ngoe le e 'ngoe ea mesebetsi e 112 e na le Maemo a 3 a kholo: ea qalang, ea mahareng le e tsoetseng pele. U ka ithuta mekhoa eohle ea 12 ka karolo ka karolo, khetha lintho tseo e leng tsa bohlokoa ho uena, fumana mokhoa oa ho li kenya ts'ebetsong 'me butle-butle u kenye likarolo, mohlala, tlhahlobo ea khoutu e tsitsitseng le e matla kapa tlhahlobo ea khoutu. U ngola moralo mme u sebetsa ka khutso ho ea ka eona e le karolo ea ts'ebetsong ea mesebetsi e khethiloeng.
Hobaneng ha DevSecOps
DevOps ke ts'ebetso e akaretsang, e kholo eo ts'ireletso e tlamehang ho eloa hloko.
Qalong e amanang le licheke tsa tšireletso. Ha e le hantle, palo ea lihlopha tsa ts'ireletso e ne e le nyenyane haholo ho feta hona joale, 'me ha ea ka ea sebetsa e le barupeluoa ts'ebetsong, empa e le sehlopha sa taolo le taolo e behang litlhoko ho eona le ho hlahloba boleng ba sehlahisoa qetellong ea tokollo. Ena ke mokhoa oa khale oo lihlopha tsa ts'ireletso li neng li le ka morao ho lerako ho tloha nts'etsopele 'me li sa kopanele ts'ebetsong.
Bothata bo boholo ke hore ts'ireletso ea tlhahisoleseling e arohane le nts'etsopele. Hangata ena ke mofuta o mong oa potoloho ea ts'ireletso ea tlhahisoleseling mme e na le lisebelisoa tse 2-3 tse kholo le tse theko e boima. Hang ka mor'a likhoeli tse ling le tse ling tse tšeletseng, khoutu ea mohloli kapa kopo e lokelang ho hlahlojoa e fihla, 'me hang ka selemo e hlahisoa . Sena sohle se lebisa tabeng ea hore letsatsi la ho lokolloa ha indasteri le liehile, 'me moqapi o pepesehetse palo e kholo ea bofokoli ba lisebelisoa tse ikemetseng. Ho ke ke ha khoneha ho qhaqha le ho lokisa tsena tsohle, hobane liphello tsa likhoeli tse tšeletseng tse fetileng ha lia ka tsa hlophisoa, empa mona ke sehlopha se secha.
Ha re ntse re etsa mosebetsi oa k'hamphani ea rona, re bona hore ts'ireletso libakeng tsohle le liindasteri lia utloisisa hore ke nako ea ho ts'oara le ho potoloha ka nts'etsopele ka lebili le le leng - . Paradigm ea DevSecOps e lumellana hantle le mokhoa oa nts'etsopele oa agile, ts'ebetsong, ts'ehetso le ho nka karolo tokollong e ngoe le e ngoe le phetetsong.
Phetolelo ho DevSecOps
Lentsoe la bohlokoa ka ho fetisisa ho Tšireletseho ea Tšireletso ea Bophelo ke "ts'ebetso". U tlameha ho utloisisa sena pele u nahana ka ho reka lisebelisoa.
Ho kenyelletsa lisebelisoa feela ts'ebetsong ea DevOps ha hoa lekana-puisano le kutloisiso pakeng tsa barupeluoa ba ts'ebetso ke tsa bohlokoa.
Batho ke ba bohlokoa ho feta, eseng lisebelisoa.
Hangata, ho rera ts'ebetso ea ts'ebetso e sireletsehileng ho qala ka ho khetha le ho reka sesebelisoa, 'me ho qetella ka boiteko ba ho kopanya sesebelisoa ts'ebetsong ea hona joale, e setseng e le boiteko. Sena se lebisa liphellong tse sa thabiseng, hobane lisebelisoa tsohle li na le litšobotsi le mefokolo ea tsona.
Taba e tloaelehileng ke ha lefapha la ts'ireletso le khetha sesebelisoa se setle, se theko e boima se nang le bokhoni bo pharaletseng, 'me sa tla ho bahlahisi ho se kenyelletsa ts'ebetsong. Empa ha e sebetse - ts'ebetso e hlophisitsoe ka tsela eo mefokolo ea sesebelisoa se seng se rekiloe ha e lumellane le paradigm ea hajoale.
Ntlha ea pele, hlalosa hore na u batla sephetho sefe le hore na mokhoa ona o tla shebahala joang. Sena se tla thusa ho utloisisa likarolo tsa sesebelisoa le polokeho ts'ebetsong.
Qala ka se seng se ntse se sebelisoa
Pele u reka lisebelisoa tse theko e boima, sheba seo u seng u ntse u e-na le sona. Khamphani e 'ngoe le e' ngoe e na le litlhoko tsa ts'ireletso bakeng sa nts'etsopele, ho na le licheke, lipente - ke hobane'ng ha u sa fetole see sohle hore e be sebopeho se utloisisoang le se loketseng motho e mong le e mong?
Hangata litlhoko ke Talmud ea pampiri e lutseng holim'a sethalafo. Ho na le nyeoe ha re fihla k'hamphaning ho tla sheba lits'ebetso mme re kopa ho bona litlhoko tsa ts'ireletso bakeng sa software. Setsebi se sebetsanang le sena se qetile nako e telele se batla:
- Joale, kae-kae lintlheng ho ne ho e-na le tsela eo tokomane ena e leng teng.
Ka lebaka leo, re ile ra fumana tokomane eo beke hamorao.
Bakeng sa litlhoko, licheke le lintho tse ling, theha leqephe ka mohlala. Khotsofalo - e loketse motho e mong le e mong.
Ho bonolo ho fetola seo u seng u ntse u e-na le sona 'me u se sebelise ho qala.
Sebelisa Bahlabani ba Tšireletso
Ka tloaelo, k'hamphaning e tloaelehileng e nang le baetsi ba 100-200, ho na le setsebi se le seng sa ts'ireletso se etsang mesebetsi e mengata 'me ha se na nako ea ho hlahloba ntho e' ngoe le e 'ngoe. Esita le haeba a leka ka hohle kamoo a ka khonang, a le mong a ke ke a hlahloba khoutu eohle eo nts'etsopele e e hlahisang. Bakeng sa maemo a joalo, ho entsoe mohopolo - .
Bahlabani ba Tšireletso ke batho ba ka har'a sehlopha sa nts'etsopele ba thahasellang tšireletso ea sehlahisoa sa hau.
Security Champion ke sebaka sa ho kena sehlopheng sa nts'etsopele mme moevangeli oa ts'ireletso o kene ho se seng.
Hangata, ha setsebi sa ts'ireletso se fihla sehlopheng sa nts'etsopele 'me se supa phoso ho khoutu, se fumana karabo e makatsang:
- 'Me u mang? Ke qala ho u bona. Ntho e 'ngoe le e' ngoe e ntle ho 'na - motsoalle oa ka e moholo o ile a mpha "etsa kopo" tlhahlobong ea khoutu, re tsoela pele!
Ena ke boemo bo tloaelehileng, hobane ho na le tšepo e eketsehileng ho batho ba baholo kapa basebetsi-'moho le bona bao moqapi a lulang a sebelisana le bona mosebetsing le tlhahlobo ea khoutu. Haeba, sebakeng sa ofisiri ea tšireletso, Mohlabani oa Tšireletso a bontša phoso le liphello, joale lentsoe la hae le tla ba le boima bo eketsehileng.
Hape, bahlahisi ba tseba khoutu ea bona ho feta setsebi leha e le sefe sa tšireletso. Bakeng sa motho ea nang le bonyane merero e 5 ka sesebelisoa sa tlhahlobo e tsitsitseng, hangata ho thata ho hopola lintlha tsohle. Bahlabani ba Tšireletso ba tseba sehlahisoa sa bona: se kopanang le seo ba lokelang ho se sheba pele - ba sebetsa hantle haholoanyane.
Kahoo nahana ka ho kenya tšebetsong Bahlabani ba Tšireletso le ho holisa tšusumetso ea sehlopha sa hau sa ts'ireletso. Sena se boetse se na le thuso bakeng sa 'mampoli ka boeena: nts'etsopele ea setsebi tšimong e ncha, ho atolosa tekheniki ea hae, ho ntlafatsa tsebo ea theknoloji, tsamaiso le boetapele, ho eketsa boleng ba 'maraka. Ena ke karolo ea boenjiniere ba sechaba, "mahlo" a hau sehlopheng sa nts'etsopele.
Mekhahlelo ea liteko
e re 20% ea boiteko bo hlahisa 80% ea liphello. 20% ena ke mekhoa ea tlhahlobo ea ts'ebeliso e ka bang teng ebile e lokela ho iketsetsa. Mehlala ea mesebetsi e joalo ke tlhahlobo e tsitsitseng - TS'ELISO, tlhahlobo e matla - LETSATSI и Taolo ea Mohloli oa Open. Ke tla u bolella ka ho qaqileng haholoanyane ka mesebetsi, hammoho le lisebelisoa, hore na ke likarolo life tseo re atisang ho kopana le tsona ha re li kenya ts'ebetsong, le mokhoa oa ho li etsa ka nepo.
Mathata a ka sehloohong a lisebelisoa
Ke tla totobatsa mathata a bohlokoa bakeng sa lisebelisoa tsohle mme a hloka tlhokomelo. Ke tla li sekaseka ka botlalo hore ke se ke ka li pheta hape.
Nako e telele ea tlhahlobo. Haeba ho tloha boitlamo ba ho lokolla ho nka metsotso e 30 bakeng sa liteko tsohle le kopano, tlhahlobo ea ts'ireletso ea tlhahisoleseling e tla nka letsatsi. Kahoo ha ho motho ea tla liehisa ts'ebetso. Ela hloko tšobotsi ena 'me u fihlele liqeto.
Boemo bo phahameng ba Bohata ha bo Setle kapa bo Mahata bo nepahetseng. Lihlahisoa tsohle li fapane, kaofela li sebelisa meralo e fapaneng le mokhoa oa tsona oa ho khouta. Ho li-codebases le litheknoloji tse fapaneng, lisebelisoa li ka bonts'a maemo a fapaneng a False Negative le False Positive. Kahoo sheba hore na hantle-ntle ke eng ea hau lik'hamphani le bakeng sa ea hau lisebelisoa li tla bontša liphetho tse ntle le tse tšepahalang.
Ha ho na likhokahano le lisebelisoa tse teng. Sheba lisebelisoa mabapi le ho kopanya le seo u seng u se sebelisa. Ka mohlala, haeba u na le Jenkins kapa TeamCity, hlahloba ho kopanngoa ha lisebelisoa le software ena, eseng ka GitLab CI, eo u sa e sebeliseng.
Ho hloka kapa ho rarahana ho feteletseng hoa tlhophiso. Haeba sesebelisoa se sena API, ke hobane'ng ha se hlokahala? Ntho e 'ngoe le e' ngoe e ka etsoang ka har'a sehokelo e lokela ho fumaneha ka API. Ha e le hantle, sesebelisoa se lokela ho ba le bokhoni ba ho iketsetsa licheke.
Ha ho 'Mapa oa Nts'etsopele ea Sehlahisoa. Tsoelo-pele ha e eme, re lula re sebelisa mekhoa le mesebetsi e mecha, re ngola khoutu ea khale ka lipuo tse ncha. Re batla ho etsa bonnete ba hore sesebelisoa seo re se rekang se tla tšehetsa meralo le mahlale a macha. Ka hona, ke habohlokoa ho tseba hore sehlahisoa se na le 'nete le se nepahetseng ntshetsopele.
Lintlha tsa mekhoa
Ntle le likarolo tsa lisebelisoa, ela hloko likarolo tsa ts'ebetso ea nts'etsopele. Ka mohlala, ho sitisa tsoelo-pele ke phoso e tloaelehileng. Ha re shebeng hore na ke lintlha life tse ling tse lokelang ho tsotelloa le hore na sehlopha sa tšireletso se lokela ho ela hloko eng.
E le hore u se ke ua fetoa ke nako ea nts'etsopele le ho lokolla, theha melao e fapaneng le tse fapaneng bonts'a lithibelo - mekhoa ea ho emisa ts'ebetso ea kaho ka boteng ba bofokoli - bakeng sa libaka tse fapaneng. Mohlala, rea utloisisa hore lekala la hajoale le ea setsing sa ntlafatso kapa UAT, ho bolelang hore ha re emise ebe re re:
"U na le bofokoli mona, ha u na ho fetela pele!"
Mothating ona, ho bohlokoa ho bolella bahlahisi hore ho na le litaba tsa ts'ireletso tse hlokang tlhokomelo.
Boteng ba bofokoli ha se tšitiso ea tlhahlobo e tsoelang pele: tataiso, kopanyo kapa bukana. Ka lehlakoreng le leng, re hloka ho eketsa ts'ireletso ea sehlahisoa ka tsela e itseng, le hore bahlahisi ba se ke ba hlokomoloha seo ba se fumanang se bolokehile. Ka hona, ka linako tse ling re etsa sena: setulong, ha se fetisetsoa tikolohong ea nts'etsopele, re tsebisa nts'etsopele:
- Banna, u na le mathata, ka kopo ela hloko.
Sethaleng sa UAT re boetse re bonts'a litemoso mabapi le bofokoli, 'me sethaleng sa tokollo re re:
- Banna, re le lemositse makhetlo a 'maloa, ha le a etsa letho - re ke ke ra le lokolla ka sena.
Haeba re bua ka khoutu le matla, joale hoa hlokahala ho bonts'a le ho lemosa ka bofokoli feela ba likarolo tseo le khoutu e sa tsoa ngoloa karolong ena. Haeba moqapi a tsamaisa konopo ka lipikselse tse 3 mme re mo bolella hore o na le ente ea SQL moo 'me kahoo e hloka ho lokisoa ka potlako, sena se fosahetse. Sheba feela se ngotsoeng hona joale le phetoho e tlisoang ke ts'ebeliso.
A re re re na le sekoli se itseng sa ts'ebetso - tsela eo kopo e sa lokelang ho sebetsa ka eona: chelete ha e fetisetsoe, ha u tobetsa konopo ha ho na phetoho ho ea leqepheng le latelang, kapa sehlahisoa ha se jare. Mefokolo ea Tšireletso - tsena ke mefokolo e tšoanang, empa eseng ho latela ts'ebetso ea kopo, empa ka ts'ireletso.
Ha se mathata ohle a boleng ba software ke mathata a ts'ireletso. Empa mathata ohle a ts'ireletso a amana le boleng ba software. Sherif Mansour, Expedia.
Kaha bofokoli bohle ke bofokoli bo tšoanang, bo lokela ho behoa sebakeng se le seng le mefokolo eohle ea ntlafatso. Kahoo lebala ka litlaleho le li-PDF tse tšosang tseo ho seng motho ea li balang.
Ha ke ntse ke sebetsa k'hamphaning ea nts'etsopele, ke ile ka fumana tlaleho ho tsoa ho lisebelisoa tsa tlhahlobo ea static. Ke ile ka e bula, ka tšoha, ka etsa kofi, ka phetla maqephe a 350, ka e koala ’me ka tsoela pele ho sebetsa. Litlaleho tse kholo ke litlaleho tse shoeleng. Hangata ha ba ee kae kapa kae, mangolo aa hlakoloa, a lebetsoe, a lahlehile, kapa khoebo e re e amohela likotsi.
Se o lokelang ho se etsa? Re mpa re fetola mefokolo e tiisitsoeng eo re e fumaneng hore e be foromo e loketseng nts'etsopele, mohlala, re e beha ka morao ho Jira. Re etelletsa mefokolo pele le ho e felisa ho latela maemo a tlang pele, hammoho le mefokolo ea ts'ebetso le liphoso tsa liteko.
Tlhahlobo e tsitsitseng - SAST
Ena ke tlhahlobo ea khoutu bakeng sa bofokoli., empa ha e tšoane le SonarQube. Ha re hlahlobe feela lipaterone kapa setaele. Ho sebelisoa mekhoa e mengata ha ho hlahlojoa: ho ea ka sefate sa tlokotsi, ho ea ka , ka ho sekaseka lifaele tsa tlhophiso. Sena ke sohle se amang khoutu ka boeona.
Melemo ea mokhoa oa ho atamela: ho hlwaya bofokodi ba khoutu qalong ya ntshetsopeleha ho se na li-stand kapa lisebelisoa tse lokiselitsoeng, le matla a ntseng a eketseha a ho lekola: ho hlahloba karolo ea khoutu e fetohileng, le karolo feela eo re e etsang hona joale, e fokotsang nako ea ho hlahloba.
Минусы - hona ke ho hloka tšehetso bakeng sa lipuo tse hlokahalang.
Likopano tse hlokahalang, e lokelang ho ba lisebelisoa, ka maikutlo a ka a ikemetseng:
- Sesebelisoa sa ho kopanya: Jenkins, TeamCity le Gitlab CI.
- Tikoloho ea nts'etsopele: Intellij IDEA, Visual Studio. Ho bonolo haholoanyane hore moqapi a se ke a sheba sebopeho se sa utloisiseheng se ntseng se hloka ho tšoaroa ka hlooho, empa ho bona likhokahano tsohle tse hlokahalang le bofokoli boo a bo fumaneng hantle mosebetsing sebakeng sa hae sa nts'etsopele.
- Tlhahlobo ea khoutu: SonarQube le tlhahlobo ea matsoho.
- Li-trackers tse nang le bokooa: Jira le Bugzilla.
Setšoantšo se bontša ba bang ba baemeli ba molemo ka ho fetisisa ba tlhahlobo e tsitsitseng.
Ha se lisebelisoa tse bohlokoa, empa ke ts'ebetso, kahoo ho na le litharollo tsa Open Source tseo le tsona li leng molemo bakeng sa ho hlahloba ts'ebetso.
SAST Open Source e ke ke ea fumana palo e kholo ea bofokoli kapa DataFlows e rarahaneng, empa e ka sebelisoa ebile e lokela ho sebelisoa ha ho etsoa ts'ebetso. Ba thusa ho utloisisa hore na mokhoa ona o tla hahuoa joang, ke mang ea tla arabela liphoso, ke mang ea tla tlaleha, le hore na ke mang ea tla tlaleha. Haeba u batla ho etsa mohato oa pele oa ho haha tšireletseho ea khoutu ea hau, sebelisa litharollo tsa Open Source.
Sena se ka kopanngoa joang haeba u le qalong ea leeto la hau 'me u se na letho: ha ho na CI, ha ho na Jenkins, ha ho na TeamCity? Ha re nahaneng ka ho kopanya tshebetsong.
Khokahano ea boemo ba CVS
Haeba u na le Bitbucket kapa GitLab, u ka kopanya boemong .
Ka ketsahalo - hula kopo, itlama. U hlahloba khoutu 'me boemo ba mohaho bo bontša hore na cheke ea tšireletso e fetile kapa e hlōlehile.
Maikutlo. Ha e le hantle, maikutlo a lula a hlokahala. Haeba u ne u entse ts'ireletso ka lehlakoreng le leng, ue behe ka lebokoseng 'me u se ke ua bolella mang kapa mang ka eona,' me qetellong ea khoeli u lahla likokoana-hloko tse ngata - sena ha se nepahale ebile ha se ntle.
Ho kopanya le mokhoa oa ho hlahloba khoutu
Ka nako e 'ngoe, re kile ra sebetsa joalo ka mohlahlobi oa kamehla oa mosebelisi oa AppSec mererong e mengata ea bohlokoa. Ho itšetlehile ka hore na liphoso li khetholloa ka khoutu e ncha kapa ha ho na liphoso, mohlahlobi o beha boemo ba kopo ea ho hula ho "amohela" kapa "ho hloka mosebetsi" - ebang ntho e 'ngoe le e' ngoe e lokile, kapa lihokelo tsa se hlileng se hlokang ho ntlafatsoa. e hloka ho ntlafatsoa. Bakeng sa ho hokahana le mofuta o tlang ho hlahisoa, re lumelletse thibelo ea ho kopanya haeba tlhahlobo ea ts'ireletso ea tlhahisoleseling e sa fetisoa. Re kenyelelitse sena tlhahlobisong ea khoutu ea matsoho, mme barupeluoa ba bang ts'ebetsong ba bone maemo a ts'ireletso bakeng sa ts'ebetso ena.
Ho kopanya le SonarQube
Ba bangata ba entse joalo mabapi le boleng ba khoutu. Hoa tšoana le mona - o ka etsa liheke tse tšoanang feela bakeng sa lisebelisoa tsa SAST. Ho tla ba le sebopeho se tšoanang, heke ea boleng bo tšoanang, feela e tla bitsoa heke ea ts'ireletso. Hape, haeba u na le ts'ebetso ea ho sebelisa SonarQube, u ka kopanya ntho e 'ngoe le e' ngoe habonolo moo.
Ho kopanya boemong ba CI
Ntho e 'ngoe le e' ngoe mona e bonolo haholo:
- E tsamaisana le li-autotests, liteko tsa likarolo.
- Karohano ka mekhahlelo ea ntlafatso: dev, teko, tlhahiso. Lihlopha tse fapaneng tsa melao kapa maemo a fapaneng a ho hlōleha a ka kenyelletsoa: emisa kopano, u se ke ua emisa kopano.
- Ho qala ka mokhoa o lumellanang/asynchronous. Re emetse pheletso ea liteko tsa ts'ireletso kapa che. Ke hore re qeta ho li thakhola ra tsoela pele, ebe joale re fumana boemo ba hore ntho e ’ngoe le e ’ngoe e ntle kapa e mpe.
Tsohle di lefatsheng le pinki le phethahetseng. Ha ho na ntho e joalo bophelong ba sebele, empa rea ikitlaelletsa. Sephetho sa ho hlahloba ts'ireletso se lokela ho tšoana le sephetho sa liteko tsa yuniti.
Mohlala, re nkile projeke e kholo mme ra etsa qeto ea hore joale re tla e hlahloba ka SAST - OK. Re sutumelletsa projeke ena ho SAST, e re file bofokoli ba 20 mme ka qeto e matla re nkile qeto ea hore tsohle li lokile. Likotsi tse 000 ke sekoloto sa rona sa tekheniki. Re tla kenya sekoloto ka lebokoseng, re tla e hlakola butle ebe re eketsa likokoana-hloko ho li-trackers tse nang le bokooa. Ha re hirileng k'hamphani, re iketsetse ntho e 'ngoe le e 'ngoe, kapa re be le Bahlabani ba Tšireletso ba re thuse - 'me likoloto tsa tekheniki li tla fokotseha.
'Me bofokoli bohle bo sa tsoa hlaha khoutu e ncha bo tlameha ho felisoa ka tsela e ts'oanang le liphoso tsa yuniti kapa li-autotest. Ha re bua hantle, kopano e ile ea qala, ra e tsamaisa, liteko tse peli le liteko tse peli tsa ts'ireletso li ile tsa hloleha. Ho lokile - re ile ra ea, ra sheba se etsahetseng, ra lokisa ntho e le 'ngoe, ra lokisa e' ngoe, ra e tsamaisa ka nako e tlang - ntho e 'ngoe le e' ngoe e ne e le hantle, ha ho bofokoli bo bocha bo ileng ba hlaha, ha ho liteko tse ileng tsa hlōleha. Haeba mosebetsi ona o tebile mme o hloka ho o utloisisa hantle, kapa ho lokisa bofokoli ho ama likarolo tse kholo tsa se ka tlas'a hood: kokoanyana e ile ea eketsoa ho tracker ea sekoli, e beoa pele le ho lokisoa. Ka bomalimabe, lefatše ha lea phethahala ’me ka linako tse ling liteko lia hlōleha.
Mohlala oa heke ea tšireletso ke analogue ea heke ea boleng, ho latela boteng le palo ea bofokoli khoutu.
Re kopanya le SonarQube - plugin e kentsoe, ntho e 'ngoe le e' ngoe e bonolo ebile e pholile.
Kopanyo le tikoloho ya ntshetsopele
Likhetho tsa ho kopanya:
- Ho etsa skena ho tsoa tikolohong ea nts'etsopele pele o itlama.
- Sheba liphetho.
- Tlhahlobo ea liphetho.
- Amahanya le seva.
Sena ke tsela eo ho shebahalang ka eona ho fumana liphetho ho tsoa ho seva.
Sebakeng sa rona sa ntlafatso ho hlaha ntho e 'ngoe e u tsebisang hore bofokoli bo joalo bo fumanoe nakong ea tlhahlobo. O ka hang-hang fetola khoutu, sheba likhothaletso le . Sena sohle se sebakeng sa mosebetsi oa moqapi, se loketseng haholo - ha ho na tlhoko ea ho latela lihokelo tse ling le ho sheba ho hong ho eketsehileng.
Mohloli o Hlahileng
Ena ke sehlooho seo ke se ratang haholo. Motho e mong le e mong o sebelisa lilaebrari tsa Open Source - ke hobane'ng ha u ngola sehlopha sa lithupa le libaesekele ha u ka nka laebrari e seng e entsoe moo ntho e 'ngoe le e' ngoe e seng e kentsoe tšebetsong?
Ehlile, sena ke 'nete, empa lilaebrari le tsona li ngotsoe ke batho, li kenyelletsa likotsi tse itseng hape ho na le bofokoli bo tlalehiloeng nako le nako, kapa khafetsa. Ka hona, ho na le mohato o latelang ho Ts'ireletso ea Kopo - ena ke tlhahlobo ea likarolo tsa Open Source.
Open Source Analysis - OSA
Sesebelisoa se kenyelletsa mekhahlelo e meraro e meholo.
Ho batlana le bofokoli lilaeboraring. Mohlala, sesebelisoa sea tseba hore re sebelisa laeborari e itseng, le hore ho kapa ho na le bofokoli bo itseng ho tracker ea bug e amanang le mofuta ona oa laeborari. Ha u leka ho e sebelisa, sesebelisoa se tla fana ka temoso ea hore laebrari e kotsing 'me se u eletsa hore u sebelise mofuta o mong o se nang bofokoli.
Tlhahlobo ea bohloeki ba laesense. Sena ha se e-s'o tloaelehe ka ho khetheha mona, empa haeba u sebetsa linaheng tse ling, joale nako le nako u ka fumana lekhetho moo bakeng sa ho sebelisa karolo ea mohloli o bulehileng o ke keng oa sebelisoa kapa oa fetoloa. Ho latela leano la laeborari e nang le lengolo la tumello, re ke ke ra etsa sena. Kapa, haeba re e fetotse le ho e sebelisa, re lokela ho beha khoutu ea rona. Ha e le hantle, ha ho motho ea batlang ho phatlalatsa khoutu ea lihlahisoa tsa bona, empa u ka boela ua itšireletsa ho sena.
Tlhahlobo ea likarolo tse sebelisoang sebakeng sa indasteri. Ha re nahane ka boemo bo inahaneloang boo qetellong re qetileng nts'etsopele mme ra lokolla tokollo ea morao-rao ea microservice ea rona. O dula moo ka tsela e makatsang - beke, kgwedi, selemo. Ha re e bokelle, ha re etse tlhahlobo ea polokeho, ntho e 'ngoe le e' ngoe e bonahala e le ntle. Empa ka tšohanyetso, libeke tse peli ka mor'a hore ho lokolloe, ho ba le ts'oaetso e matla e hlahang karolong ea Open Source, eo re e sebelisang mohahong ona o khethehileng, tikolohong ea indasteri. Haeba re sa tlalehe hore na re sebelisa eng le hore na re e sebelisa hokae, re ke ke ra bona tlokotsi ena. Lisebelisoa tse ling li na le bokhoni ba ho beha leihlo bofokoli lilaeboraring tse sebelisoang indastering hajoale. E molemo haholo.
Likarolo:
- Maano a fapaneng a mekhahlelo e fapaneng ea nts'etsopele.
- Likarolo tsa ho beha leihlo tikolohong ea indasteri.
- Taolo ea lilaebrari ka har'a mokhatlo.
- Ts'ehetso bakeng sa litsamaiso tse fapaneng tsa kaho le lipuo.
- Tlhahlobo ea litšoantšo tsa Docker.
Mehlala e 'maloa ea baetapele ba indasteri ba sebetsanang le tlhahlobo ea Open Source.
E 'ngoe feela ea mahala ke ena ho tsoa ho OWASP. U ka e bulela ka mekhahlelo ea pele, u bone hore na e sebetsa joang le hore na e tšehetsa eng. Ha e le hantle, tsena kaofela ke lihlahisoa tsa leru, kapa sebakeng sa pele, empa ka mor'a motheo oa tsona li ntse li romeloa Inthaneteng. Ha ba romelle lilaebrari tsa hau, empa li-hashes kapa litekanyetso tsa bona, tseo ba li balang, le menoana ea menoana ho seva sa bona ho fumana boitsebiso bo mabapi le boteng ba bofokoli.
Ho kopanya ts'ebetso
Taolo ea pherimitha ea lilaebrari, tse kopitsoang ho tsoa mehloling e kantle. Re na le polokelo ea kantle le ea kahare. Ka mohlala, Event Central e tsamaisa Nexus, 'me re batla ho etsa bonnete ba hore ha ho na bofokoli ka har'a polokelo ea rona e nang le boemo bo "bohlokoa" kapa "bo holimo". O ka lokisa proxy o sebelisa sesebelisoa sa Nexus Firewall Lifecycle e le hore bofokoli bo joalo bo khaoloe 'me bo se ke ba fella ka polokelong ea ka hare.
Ho kopanya ho CI. Boemong bo ts'oanang le li-autotest, liteko tsa yuniti le karohano ka mekhahlelo ea nts'etsopele: dev, test, prod. Boemong bo bong le bo bong, o ka khoasolla lilaebrari leha e le life, sebelisa ntho leha e le efe, empa haeba ho na le ntho e thata ka boemo ba "bohloka", mohlomong ho bohlokoa ho lebisa tlhokomelo ea bahlahisi ho sena sethaleng sa ho lokolloa tlhahiso.
Ho kopanya le lintho tsa khale: Nexus le JFrog.
Kopanyo tikolohong ya ntshetsopele. Lisebelisoa tseo u li khethang li lokela ho kopanngoa le libaka tsa ntlafatso. Mohlahisi o tlameha ho ba le phihlello ea liphetho tsa tlhahlobo sebakeng sa hae sa mosebetsi, kapa bokhoni ba ho skena le ho hlahloba khoutu ka boeena bakeng sa bofokoli pele a itlama ho CVS.
Kopano ea CD. Ena ke tšobotsi e ntle eo ke e ratang haholo le eo ke seng ke buile ka eona - ho beha leihlo ho hlaha ha bofokoli bo bocha tikolohong ea indasteri. E sebetsa ntho e kang ena.
Re na le Bobolokelo ba Karolo ea Sechaba - lisebelisoa tse ling kantle, le polokelo ea rona ea kahare. Re batla hore e be le likarolo tse tšepahalang feela. Ha re etsa proxy kopo, re hlahloba hore laeborari e jarollotsoeng ha e na bofokoli. Haeba e oela tlas'a melaoana e itseng eo re e behang le ho e hokahanya le nts'etsopele, ha re e kenye 'me re khothalletsoa ho sebelisa mofuta o mong. Ka lebaka leo, haeba ho na le ntho e 'ngoe ea bohlokoa le e mpe ka laebraring, joale moqapi a ke ke a amohela laebrari sethaleng sa ho kenya - mo lumelle hore a sebelise phetolelo e phahameng kapa e tlaase.
- Ha re haha, re hlahloba hore ha ho motho ea thellang ntho leha e le efe e mpe, hore likarolo tsohle li sireletsehile 'me ha ho motho ea tlisitseng ntho leha e le efe e kotsi ho flash drive.
- Re na le likarolo tse tšepahalang feela sebakeng sa polokelo.
- Ha re tsamaisa, re boetse re sheba sephutheloana ka bosona: ntoa, nkho, DL kapa setšoantšo sa Docker ho netefatsa hore se lumellana le leano.
- Ha re kena indastering, re beha leihlo se etsahalang tikolohong ea indasteri: bofokoli bo boholo bo hlaha kapa ha bo hlahe.
Tlhahlobo e Matla - DAST
Lisebelisoa tsa tlhahlobo tse matla li fapane haholo le tsohle tse boletsoeng pele. Ona ke mofuta oa ho etsisa mosebetsi oa mosebelisi ka ts'ebeliso. Haeba sena ke ts'ebeliso ea webo, re romella likopo, re etsisa mosebetsi oa moreki, tobetsa likonopo tse ka pele, romella data ea maiketsetso ho tsoa foromong: mantsoe a qotsitsoeng, li-brackets, litlhaku ka li-encoding tse fapaneng, ho bona hore na kopo e sebetsa joang le lits'ebetso. data ya kantle.
Sistimi e tšoanang e u lumella ho lekola bofokoli ba template ho Open Source. Kaha DAST ha e tsebe hore na re sebelisa Mohloli ofe o Bulehileng, e mpa e lahlela mekhoa e "khopo" ebe e sekaseka likarabo tsa seva:
- E, ho na le bothata ba deserialization mona, empa eseng mona.
Ho na le likotsi tse kholo ho sena, hobane haeba u etsa tlhahlobo ena ea tšireletso bencheng e le 'ngoe eo bahlahlobi ba sebetsang le eona, lintho tse sa thabiseng li ka etsahala.
- Mojaro o phahameng ho netweke ea seva ea sesebelisoa.
- Ha ho likhokahano.
- Bokhoni ba ho fetola litlhophiso tsa sesebelisoa se hlahlobiloeng.
- Ha ho na tšehetso bakeng sa theknoloji e hlokahalang.
- Bothata ba ho theha.
Re bile le boemo ha qetellong re qala AppScan: re qetile nako e telele re leka ho fumana kopo, ra fumana li-account tse 3 mme re thabile - qetellong re tla hlahloba tsohle! Re ile ra qala skena, 'me ntho ea pele eo AppScan e ileng ea e etsa ke ho kena phanele ea tsamaiso, ho phunya likonopo tsohle, ho fetola halofo ea data, ebe e bolaea seva ka botlalo ka eona. -likopo. Nts'etsopele ea tlhahlobo e itse:
- Banna, na u ntse u ntšoanya?! Re u file li-account, 'me u thehile sethala!
Nahana ka likotsi tse ka ’nang tsa hlaha. Ha e le hantle, lokisetsa sebaka se arohaneng sa ho hlahloba ts'ireletso ea tlhahisoleseding, e tla aroloa sebakeng se seng sa tikoloho bonyane ka tsela e itseng, 'me u hlahlobe sebaka sa tsamaiso, haholo-holo ka mokhoa oa matsoho. Ena ke pentest - liphesente tse setseng tsa boiteko tseo re sa li nahaneng hona joale.
Ke habohlokoa ho nahana hore u ka sebelisa sena e le analogue ea tlhahlobo ea mojaro. Mothating oa pele, o ka bulela sehatisi se matla se nang le likhoele tse 10-15 'me u bone se etsahalang, empa hangata, joalo ka ha boikoetliso bo bontša, ha ho letho le molemo.
Lisebelisoa tse seng kae tseo re atisang ho li sebelisa.
Bohlokoa ba ho totobatsa ke "thipa ea Switzerland" bakeng sa setsebi leha e le sefe sa tšireletso. E mong le e mong oa e sebelisa ebile e bonolo haholo. Ho se ho lokollotsoe mofuta o mocha oa mofuta oa khoebo. Haeba pejana e ne e le ts'ebeliso e le 'ngoe feela e nang le li-plugins, joale bahlahisi ba qetella ba etsa seva e kholo eo ho eona ho tla khonahala ho laola mahlahana a' maloa. Sena se monate, ke khothaletsa hore u leke.
Ho kopanya ts'ebetso
Ho kopanya ho etsahala hantle le ka mokhoa o bonolo: qala ho hlahloba ka mor'a ho kenya katleho likopo tsa ho ema le ho hlahloba ka mor'a tlhahlobo e atlehileng ea ho kopanya.
Haeba likhokahano li sa sebetse kapa ho na le li-stubs le mesebetsi e somang, ha e na thuso ebile ha e na thuso - ho sa tsotelehe hore na re romella mohlala ofe, seva se ntse se tla arabela ka tsela e ts'oanang.
- Ha e le hantle, sebaka se arohaneng sa liteko.
- Pele u etsa liteko, ngola tatellano ea ho kena.
- Teko ea tsamaiso ea tsamaiso e etsoa ka letsoho feela.
thulaganyou e
Hanyenyane kakaretso mabapi le tshebetso ka kakaretso le ka mosebetsi oa mong le e mong sesebelisoa ka ho khetheha. Lisebelisoa tsohle li fapane - e 'ngoe e sebetsa betere ka tlhahlobo e matla, e' ngoe ka tlhahlobo e tsitsitseng, ea boraro ka tlhahlobo ea OpenSource, pentest, kapa ho hong ka ho felletseng, mohlala, liketsahalo .
Mokhoa o mong le o mong o hloka taolo.
Ho utloisisa hore na ts'ebetso e sebetsa joang le hore na e ka ntlafatsoa hokae, o hloka ho bokella metrics ho tsoa ho ntho e 'ngoe le e' ngoe eo u ka e fumanang, ho kenyeletsoa metrics ea tlhahiso, metrics ho tsoa lithulusing le ho tsoa ho li-tracker tse nang le bokooa.
Boitsebiso leha e le bofe bo thusa. Hoa hlokahala ho sheba ho tloha mahlakoreng a fapaneng moo sena kapa sesebelisoa se sebelisoang hamolemo, moo ts'ebetso e sag ka ho khetheha. Ho ka ba molemo ho sheba linako tsa karabelo ea nts'etsopele ho bona moo u ka ntlafatsang ts'ebetso ho latela nako. Ha data e le ngata, likarolo tse ngata li ka hahoa ho tloha boemong bo holimo ho ea ho lintlha tsa ts'ebetso ka 'ngoe.
Kaha bahlahlobisisi bohle ba static le ba matla ba na le li-API tsa bona, mekhoa ea bona ea ho qala, melao-motheo, ba bang ba na le bahlophisi, ba bang ha ba na - re ngola sesebelisoa. AppSec Orchestrator, e leng se u lumellang hore u thehe ntlha e le 'ngoe ea ho kena ts'ebetsong eohle ho tloha sehlahisoa le ho se laola ho tloha ntlha e le' ngoe.
Batsamaisi, bahlahisi le baenjiniere ba ts'ireletso ba na le ntlha e le 'ngoe ea ho kena moo ba ka bonang se sebetsang, ho hlophisa le ho tsamaisa scan, ho fumana liphetho tsa scan, le ho fana ka litlhoko. Re leka ho suthela hole le lipampiri, ho fetolela ntho e 'ngoe le e' ngoe hore e be ea motho, e sebelisoang ke nts'etsopele - maqephe a Confluence le boemo le metrics, likoli ho Jira kapa li-trackers tse fapaneng tsa sekoli, kapa ho kenyeletsoa ts'ebetsong ea synchronous / asynchronous ho CI. /CD.
Litsela tsa bohlokoa
Lisebelisoa hase eona ntho e ka sehloohong. Nahana pele ka ts'ebetso - ebe u kenya lisebelisoa. Lisebelisoa li ntle empa li theko e boima, kahoo u ka qala ka ts'ebetso mme u hahe puisano le kutloisiso pakeng tsa nts'etsopele le ts'ireletso. Ho tloha ponong ea polokeho, ha ho hlokahale hore u "emise" ntho e 'ngoe le e' ngoe. Ho ea ka pono ea tsoelo-pele, haeba ho na le ntho e phahameng ea mega super critical, joale e hloka ho felisoa, 'me u se ke ua iphapanyetsa bothata.
Boleng ba sehlahisoa - sepheo se tloaelehileng ka bobeli tshireletso le ntshetsopele. Re etsa ntho e le 'ngoe, re leka ho netefatsa hore ntho e' ngoe le e 'ngoe e sebetsa ka nepo mme ha ho na likotsi tsa botumo kapa tahlehelo ea lichelete. Ke ka lebaka lena re khothaletsang mokhoa oa DevSecOps, SecDevOps ho ntlafatsa puisano le ho ntlafatsa boleng ba sehlahisoa.
Qala ka seo u seng u ntse u e-na le sona: litlhoko, meaho, licheke tse sa fellang, lithupelo, litataiso. Ha ho hlokahale hore hang-hang u sebelise mekhoa eohle mererong eohle - sisinyeha kgafetsa. Ha ho na standard e le 'ngoe - teko le ho leka mekhoa le litharollo tse fapaneng.
Ho na le letšoao le lekanang pakeng tsa liphoso tsa ts'ireletso ea tlhahisoleseding le mefokolo ea ts'ebetso.
Automate tsohlee tsamayang. Eng kapa eng e sa sisinyeheng, e tsamaise 'me u iketsetse eona. Haeba ntho e etsoa ka letsoho, ha se karolo e ntle ea ts'ebetso. Mohlomong ho bohlokoa ho e hlahloba le ho iketsetsa eona.
Haeba boholo ba sehlopha sa IS bo le nyane - sebelisa Security Champions.
Mohlomong seo ke buileng ka sona se ke ke sa u tšoanela 'me u tla tla le ho hong ho hau - mme ho lokile. Empa khetha lisebelisoa ho latela litlhoko tsa ts'ebetso ea hau. Se shebe hore na sechaba se reng, hore sesebelisoa sena se mpe ebe sena se setle. Mohlomong se fapaneng se tla ba 'nete bakeng sa sehlahisoa sa hau.
Litlhoko tsa lisebelisoa.
- Boemo bo tlase Bohata bo Positive.
- Nako e lekaneng ea tlhahlobo.
- Bonolo ba tšebeliso.
- Ho fumaneha ha likhokahanyo.
- Ho utloisisa 'mapa oa ntlafatso ea lihlahisoa.
- Monyetla oa ho iketsetsa lisebelisoa.
Tlaleho ea Yuri e khethiloe e le e 'ngoe ea tse molemo ka ho fetisisa ho DevOpsConf 2018. Ho tloaelana le mehopolo e thahasellisang le ho feta le linyeoe tse sebetsang, tla ho Skolkovo ka May 27 le 28. ka hare . Ho molemo le ho feta, haeba u se u itokiselitse ho arolelana phihlelo ea hau, joale bakeng sa tlaleho ho fihlela ka la 21 Mmesa.
Source: www.habr.com