Présentation
Le pipeline CI/CD est le pilier du développement logiciel et l'un des principaux composants du pipeline DevOps. Le processus d'intégration/livraison continue (ou de déploiement) définit une série d'étapes permettant aux ingénieurs logiciels de livrer de nouveaux programmes.
Bien que l'efficacité de la production augmente avec CI/CD, ce processus est sujet à des négligences en matière de sécurité. Les bases de données, le code propriétaire, les informations d'identification, les clés, les secrets et les mots de passe utilisés dans les environnements de production et de test constituent également un risque pour la sécurité.
Cet article explique la sécurité CI/CD, les défis et les meilleures pratiques pour sécuriser votre pipeline de production logicielle.
Qu'est-ce que la sécurité CI/CD ?
Sécurité CI/CD représente les étapes pour protéger le pipeline de production de logiciels automatisés. Bien que la sécurité logicielle globale soit importante, la chaîne de livraison des mises à jour et des correctifs logiciels doit également être fiable.
Le pipeline CI/CD est le flux d'intégration et de livraison (ou de déploiement) automatiques des applications. La méthode implémente des mises à jour fréquentes et des corrections de bogues pour répondre aux besoins des clients. Par conséquent, l'accent est mis sur l'automatisation complète de la livraison de logiciels pour une production continue.
Cependant, le facteur négligé dans le pipeline CI/CD est le pipeline de la sécurité elle-même. Grâce à l'automatisation des tests et à une surveillance continue, les administrateurs de sécurité doivent mettre en œuvre une évaluation des vulnérabilités à travers différentes étapes du développement logiciel.
Défis de sécurité courants dans un pipeline CI/CD
Il existe de nombreux défis de sécurité à prendre en compte lors de la protection du pipeline CI/CD :
- Conformité des données dans l'environnement de non-production est un défi crucial. Plus il y a de personnes travaillant sur le même projet, plus le nombre de points de faille possibles apparaît.
- Des règles de contrôle d'accès bien définies et politiques de mot de passe pour tous les utilisateurs sont indispensables. En cas de compromission, un plan de réponse aux incidents préparé devrait exister.
- L'automatisation et l'orchestration nécessitent de nombreux logiciels et des bits de code uniques. Surveillance continue et audit de code et un logiciel tiers sont nécessaires.
L'environnement au rythme rapide avec des mises à jour constantes laisse beaucoup de place aux accidents et aux compromis involontaires. La meilleure pratique consiste à intégrer la sécurité dans le pipeline .
Bonnes pratiques du pipeline de sécurité CI/CD
Les meilleures pratiques de sécurité CI/CD dépendent de l'infrastructure du canal DevOps. Vous trouverez ci-dessous dix guides généraux utiles pour sécuriser le pipeline lorsque vous travaillez dans un environnement CI/CD.
1. Cartographier et modéliser les menaces
Mener des recherches sur les menaces de sécurité potentielles. Identifier les points où des couches de sécurité supplémentaires sont nécessaires , modélisez ces menaces et créez des exercices pour sensibiliser aux problèmes de sécurité potentiels.
La plupart des menaces de sécurité se situent aux points de connexion . Tout ce qui se connecte au pipeline doit être corrigé et mis à jour régulièrement. Bloquez tous les appareils qui ne répondent pas aux exigences de sécurité en conséquence.
2. Se protéger avant de s'engager
Créer des vérifications de sécurité avant de valider le code dans un système de contrôle de version. La plupart des IDE fournissent des plug-ins de sécurité et avertissent des vulnérabilités du code lors de la saisie.
Évaluation par les pairs travailler avec des développeurs inexpérimentés avant de valider le code sur Git. Utilisez de plus petits morceaux de code et des listes de contrôle pour vous assurer que le code respecte tous les protocoles et normes de sécurité. Évitez également de copier et de publier des clés d'API, des jetons et d'autres données sensibles.
3. Examiner le code validé
Une fois que vous avez validé le code, révisez-le à nouveau pour confirmer que tout est raisonnable. Utiliser des outils d'analyse de code statique pour recevoir des commentaires sur le commit. Les outils d'analyse ne nécessitent pas que l'application soit en cours d'exécution, et nombre d'entre eux fournissent des conseils utiles avec le rapport.
Envoyer les rapports d'analyse de code à l'équipe de sécurité pour vérifier les suivis. Utilisez des systèmes de suivi des bogues et enregistrez les résultats pour vous assurer que tous les bogues sont corrigés et ne sont pas oubliés. De plus, analyser l'historique de Git pour toute activité suspecte.
4. Sécurisez votre Git
Git est notamment une cible de grande valeur pour les pirates. Assurez-vous que les développeurs sont formés à l'utilisation de Git et informés des procédures de l'entreprise à tout moment.
Utilisez le fichier .gitignore pour empêcher les validations accidentelles de fichiers en cache standard et générés. Avoir une sauvegarde stockée localement et sécurisée dans le cadre de la politique de sauvegarde globale.
5. Rechercher les vulnérabilités open source
Les bibliothèques open source sont un élément crucial dans la création d'applications. Cependant, les logiciels tiers sont sujets aux changements de code, ce qui peut avoir un impact indirect sur la sécurité de votre application.
Assurez-vous d'analyser et de scanner les packages open source pour les problèmes de sécurité connus. Utiliser des outils d'analyse de la composition logicielle pour analyser les logiciels, composants et fichiers tiers.
Enfin, signalez tous les problèmes pour maintenir la qualité du code au maximum.
6. Automatisez avec IaC
L'infrastructure en tant que code (IaC) fournit des conditions de développement et de test cohérentes. Au lieu de configurer manuellement l'environnement, les outils IaC tels qu'Ansible, Terraform ou Puppet aident à fournir en permanence une infrastructure sécurisée automatiquement.
Remarque : Restez au fait des dernières demandes d'automatisation avec le Bare Metal Cloud de phoenixNAP. Utilisez nos API pour un approvisionnement automatisé afin de créer des clusters de serveurs dédiés sécurisés. BMC est une solution idéale pour les outils IaC tels qu'Ansible et Terraform.
Déployez un serveur Bare Metal Cloud pour aussi peu que 0,10 $/heure.
Comme avantage supplémentaire, IaC fonctionne de manière transparente dans la chaîne d'outils DevOps. Des configurations réutilisables testées en permanence et des procédures appliquées garantissent d'excellents résultats de production et un code de qualité.
7. Surveiller après le déploiement
Après avoir déployé une application, analysez et surveillez en permanence pour prévenir toute menace. La surveillance permet de découvrir et de corriger les activités suspectes en fonction des données fournies.
Utilisez des outils tels que Grafana ou Kibana pour créer des tableaux de bord visuels interactifs afin d'être alerté de toute activité suspecte.
8. Séparez les tâches et appliquez les autorisations
Les autorisations ralentissent et interfèrent même avec le processus de test. Cependant, l'établissement et l'application des autorisations exécuter uniquement les tâches essentielles est crucial du point de vue de la sécurité.
En ce qui concerne Git, définissez les rôles d'accès par référentiel et implémentez une authentification à deux facteurs pour chaque validation. Essayez de séparer les tâches pour assurer la sécurité du pipeline tout en conservant une livraison continue.
9. Protégez les informations d'identification
Sécuriser toutes les informations d'identification qui donnent accès à des logiciels et des services, tels que des jetons d'API, des mots de passe, des clés SSH, des clés de chiffrement, etc. Une sécurisation incorrecte des informations d'identification ouvre la voie aux pirates, ce qui entraîne des violations de données et du vol intellectuel.
Par conséquent, utilisez une plate-forme de gestion de clés d'accéder aux clés de manière sécurisée et automatisée. Le logiciel garantit que les secrets sont utilisés lorsqu'ils sont explicitement demandés. Pour gérer plusieurs mots de passe complexes, utilisez un logiciel de gestion de mots de passe.
10. Nettoyer avec diligence
Dans un environnement CI/CD, les processus et les tâches évoluent rapidement sans un nettoyage approprié. Assurez-vous d'arrêter toutes les ressources temporaires restantes telles que les machines virtuelles, les conteneurs ou les processus. De plus, mettez en œuvre une maintenance de sécurité appropriée en général et supprimez tous les utilitaires et outils redondants.