Ką reiškia saugus programinės įrangos tiekimas?
Programinės įrangos perkėlimas iš kūrėjo pakeitimo į veikiančią sistemą neprarandant informacijos apie tai, kas buvo sukurta, kas į ją buvo įtraukta ir kas ją patvirtino.
Ką apima šis terminas
Saugus programinės įrangos teikimas – tai praktikų rinkinys, užtikrinantis perėjimą nuo kūrėjo prie veikiančios sistemos, neprarandant informacijos apie tai, kas buvo sukurta, kas į tai buvo įtraukta ir kas tai patvirtino. Tai apima visą procesą, jo sukurtus artefaktus ir paliekamus įrodymus.
„DevSecOps“ yra dažnesnis tos pačios idėjos pavadinimas, išreikštas kaip darbo susitarimas, o ne įrankių rinkinys: saugumo darbai vyksta pristatymo proceso metu, juos atlieka programinę įrangą kuriantys ir valdantys žmonės, o ne kaip vartai, kuriuos vėliau pritaiko atskira komanda.
Abu terminai yra parduodami kaip produktai. Nei vienas iš jų neapibūdina perkamo įrankio. Jie apibūdina, kuriame proceso etape priimami sprendimai ir ką procesas gali įrodyti vėliau.
Ką iš tikrųjų veikia saugus pristatymo kanalas
Didžioji dalis medžiagos yra keliose savybėse. Vamzdynas jas turi arba neturi:
- Kiekvienas pakeitimas yra atsekamas iki asmens ir peržiūros. Ne „buvo nuskaitytas“, o „buvo patvirtintas asmens, kuris galėjo pasakyti „ne“.
- Sukūrimai yra pakankamai atkuriami, kad būtų galima nurodyti, kas pateko į išleistą artefaktą, o tai praktiškai reiškia paties sukūrimo sukurtą komponento įrašą.
- Pačios konvejerio teisės yra ribotos. Kompiliavimo sistema, galinti diegti bet ką bet kur, paprastai yra plačiausias organizacijos privilegijų sąrašas ir rečiausiai peržiūrimas.
- Artefaktai pasirašomi, o panaudotas daiktas patvirtinamas, kad tai buvo pastatytas daiktas.
- Paslapčių nėra saugykloje, atvaizde ar kūrimo žurnale.
- Radiniai turi savininką ir sprendimą, įskaitant sprendimą juos priimti. Prie kanalo, su kuriuo niekas nesiima veiksmų, prijungtas skaitytuvas padidina vėlavimą, o ne saugumą.
Saugus platinimas
Pristatymas nesibaigia diegiant programinę įrangą, kai ji perduodama kam nors kitam. Pasirašymas, patikrinamas kelias nuo kūrimo iki atsisiuntimo ir būdas pranešti klientams, kad atnaujinimas yra svarbus, yra tos pačios grandinės dalys. Pastarųjų metų tiekimo grandinės atakos dažniausiai buvo nukreiptos į šį segmentą, o ne į šaltinio kodą.
Kodėl auditoriai ir klientai apie tai klausia
Pristatymo procesas, kuris fiksuoja savo paties sprendimus, atsako į daugumą klausimų, kuriuos ISO 27001 auditorius, NIS2 vertinimas ar įmonės saugumo klausimynas užduoda apie pokyčių valdymą, niekam rankiniu būdu nerenkant dokumento. Tai yra praktinis argumentas, kodėl reikia atlikti šį darbą: įrodymai yra šalutinis produktas, o ne projektas.
Klausimai, į kuriuos sunku atsakyti, yra vienodi visose trijose srityse: kas tiksliai veikia gamyboje, kas į tai buvo įtraukta, kas tai patvirtino ir ką darytumėte, jei rytoj paaiškėtų, kad kuris nors komponentas yra pažeidžiamas.
Skenavimas be nuosavybės teisės.
Priklausomybių skenavimas atliekamas kiekvienoje kompiliavimo versijoje ir pateikia rezultatus.
Niekas nepaskirtas jų triažui nustatyti, todėl darbų sąrašas auga, o kompiliavimas nustatomas įspėti, o ne nesėkmingai.
Kontrolė egzistuoja popieriuje ir nepriima jokių sprendimų. Auditorius, atrinktas iš trijų nustatytų faktų, tai pamatys iš karto.
Sudėtinis dažno modelio pavyzdys, o ne kliento atvejis.
Nuo ko pradėti, jei tokių dalykų mažai
Pradėti nuo įrankių yra įprasta klaida. Pigesni atidarymo žingsniai yra organizaciniai:
- Aprašykite, kaip pakeitimas iš tikrųjų pasiekia šiandieninę gamybą, įskaitant išimtis. Skirtumas tarp to ir numatomo proceso paprastai yra išvada.
- Nustatykite, kas veikia gamyboje ir iš ko tai buvo sukurta. Visa kita priklauso nuo to.
- Sumažinkite srauto galimybes ir atskirkite kūrimo prisijungimo duomenis nuo diegimo prisijungimo duomenų.
- Pasirinkite vieną radinių klasę, priskirkite jai savininką ir atsakymo laiką ir įgyvendinkite tai prieš pridėdami antrą skaitytuvą.
- Pridėkite pasirašymą ir patvirtinimą, kai galėsite patikimai pasakyti, ką sukūrėte.
Dažnai užduodami klausimai
Ar „DevSecOps“ yra įrankis, ar komanda?
Nei vienas, nors abu parduodami su tokiu pavadinimu. Tai susitarimas, kai saugumo užduotys priklauso programinę įrangą kuriantiems žmonėms, o juos palaiko įrankiai ir už sprendimus atsakingas asmuo.
Ar turime atmesti kiekvieno radinio kūrimą?
Ne, ir taip padarius, patikra paprastai apeinama. Naudingas srautas sugenda esant nedideliam, sutartam sąlygų rinkiniui ir visa kita nukreipia nurodytam savininkui su atsakymo laiku.
Kaip tai susiję su SBOM ir VEX?
Tikslus SBOM gaunamas iš konvejerio, nes tik kompiliavimo procesas žino, kas jame buvo. VEX teiginiai yra vertinimas, taikomas tam inventoriui vėliau.
Mes naudojame valdomą platformą. Ar tai vis dar galioja?
Taip, su kitokia riba. Platforma perima dalį grandinės; jums lieka konfigūracija, srautams suteikiamos teisės, paslaptys ir sprendimai dėl išvadų.
Ar tai tas pats, kas pasukti į kairę?
„Poslinkis į kairę“ reiškia patikrinimų perkėlimą anksčiau. Tai viena iš šio proceso dalių, ir savaime tai paprastai leidžia anksčiau pateikti išvadas, nekeičiant, kas su jomis reaguoja.
Jums nereikia žinoti techninių terminų.
Papasakokite, kas vyksta, kokį poveikį tai daro ir kada jums reikia pagalbos. Aptarsime, ar galime padėti ir koks būtų naudingas pirmasis darbas.