Введение в DevSecOps: основные принципы и инструменты

Принципы DevSecOps

Основные принципы WCF
Доброго времени суток господа. Вот на эту тему нужна в общем литература, и хотелось бы видеть перечисление этих принципов. здесь написано, что речь...

Основные принципы Squid!
Подскажите пожалуйста краткий план работы Squid? Для начала хочу разобраться ограничить доступ к определенным сайтам для одного IP. Заранее спасибо.

Основные принципы среды С
Все С-системы в общем состоит из 3 частей: среды программирования, собственного языка и стандартой библиотеки С. Вопрос: Что подразумевается...

основные комбинатроные принципы
1. Если авиакомпания осуществляет 15 рейсов из Сан-Франциско в Чикаго и 20 рейсов из Чикаго в Нью-Йорк, то сколько всего рейсов из Сан-Франциско в...

Ключевые инструменты

Статический анализ кода (SAST)

1
2
3
4
5
6
7
8

// Уязвимый код, который обнаружит SonarQube
public void authenticate(String username, String password) {
    Connection conn = DriverManager.getConnection(DB_URL);
    String query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
    // SQL-инъекция! SonarQube отметит это как критическую уязвимость
    Statement stmt = conn.createStatement();
    ResultSet rs = stmt.executeQuery(query);
}

Анализ состава программного обеспечения (SCA)

1
2
3
4
5
6
7
8
9
10
11
12
13

<!-- Пример конфигурации для Maven -->
<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>6.2.2</version>
    <executions>
        <execution>
            <goals>
                <goal>check</goal>
            </goals>
        </execution>
    </executions>
</plugin>

Инфраструктура как код (IaC) и её безопасность

1
2
3
4
5
6
7
8
9
10
11
12
13

# Пример проблемной конфигурации Terraform
resource "aws_security_group" "example" {
  name        = "example"
  description = "Allow all inbound traffic"
  
  # Terraformer предупредит о слишком открытом правиле
  ingress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

Динамическое тестирование безопасности (DAST)

1
2
3
4

# Пример запуска автоматического сканирования с ZAP через CLI
zap-cli quick-scan --self-contained \
    --start-options "-config api.disablekey=true" \
    https://example.com

Интерактивное тестирование безопасности (IAST)

1
2
3
4
5

// Пример подключения Contrast Security к Java-приложению
java -javaagent:contrast.jar \
     -Dcontrast.server.name=MyServer \
     -Dcontrast.agent.java.standalone_app_name=MyApp \
     -jar myapp.jar

Управление контейнерами и их безопасность

1
2
3
4
5
6

# Пример запуска Clair для сканирования образа Docker
docker pull arminc/clair-db:latest
docker pull arminc/clair-local-scan:v2.0.8
docker run -p 5432:5432 -d --name clair-db arminc/clair-db:latest
docker run -p 6060:6060 --link clair-db:postgres -d --name clair arminc/clair-local-scan:v2.0.8
clair-scanner --ip <your-ip> <image-name>

Платформы для мониторинга безопасности в реальном времени

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

# Пример простой конфигурации Logstash для сбора логов безопасности
input {
  file {
    path => "/var/log/auth.log"
    type => "syslog"
  }
}
 
filter {
  if [type] == "syslog" {
    grok {
      match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
    }
  }
}
 
output {
  elasticsearch { hosts => ["localhost:9200"] }
}

Практическое применение

Настройка CI/CD пайплайнов с учётом безопасности

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63

pipeline {
    agent any
    
    stages {
        stage('Checkout') {
            steps {
                checkout scm
            }
        }
        
        stage('Build') {
            steps {
                sh 'mvn clean compile'
            }
        }
        
        stage('Security - Dependencies Check') {
            steps {
                sh 'mvn org.owasp:dependency-check-maven:check'
            }
            post {
                always {
                    dependencyCheckPublisher pattern: 'target/dependency-check-report.xml'
                }
            }
        }
        
        stage('Security - SAST') {
            steps {
                withSonarQubeEnv('SonarQube') {
                    sh 'mvn sonar:sonar'
                }
            }
        }
        
        stage('Test') {
            steps {
                sh 'mvn test'
            }
        }
        
        stage('Security - Container Image Scan') {
            steps {
                sh 'docker build -t myapp:latest .'
                sh 'trivy image --severity HIGH,CRITICAL myapp:latest'
            }
        }
        
        stage('Deploy to Staging') {
            steps {
                // Развертывание в тестовую среду
                sh 'kubectl apply -f k8s/staging/'
            }
        }
        
        stage('Security - DAST') {
            steps {
                // Запуск OWASP ZAP против тестовой среды
                sh 'zap-cli quick-scan --self-contained --start-options "-config api.disablekey=true" [url]https://staging.example.com[/url]'
            }
        }
    }
}

• Проверка зависимостей с помощью OWASP Dependency Check.
• Статический анализ кода с использованием SonarQube.
• Сканирование образа контейнера с Trivy.
• Динамическое тестирование развёрнутого приложения с OWASP ZAP.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54

stages:
  - build
  - test
  - security
  - deploy
  - dast
 
variables:
  DOCKER_IMAGE: $CI_REGISTRY_IMAGE:$CI_COMMIT_REF_SLUG
 
build:
  stage: build
  script:
    - mvn package -DskipTests
    - docker build -t $DOCKER_IMAGE .
    - docker push $DOCKER_IMAGE
 
test:
  stage: test
  script:
    - mvn test
 
dependency_scanning:
  stage: security
  image: registry.gitlab.com/gitlab-org/security-products/dependency-scanning
  script:
    - /analyzer run
 
sast:
  stage: security
  image: registry.gitlab.com/gitlab-org/security-products/sast:latest
  script:
    - /app/bin/run
 
container_scanning:
  stage: security
  image: registry.gitlab.com/gitlab-org/security-products/container-scanning:latest
  variables:
    DOCKER_IMAGE: $CI_REGISTRY_IMAGE:$CI_COMMIT_REF_SLUG
  script:
    - /app/bin/run
 
deploy_staging:
  stage: deploy
  script:
    - kubectl apply -f k8s/staging/
 
dast:
  stage: dast
  image: registry.gitlab.com/gitlab-org/security-products/dast:latest
  variables:
    DAST_WEBSITE: [url]https://staging.example.com[/url]
  script:
    - /app/bin/dast

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64

name: CI/CD with Security
 
on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]
 
jobs:
  build:
    runs-on: ubuntu-latest
    
    steps:
    - uses: actions/checkout@v2
    
    - name: Set up JDK
      uses: actions/setup-java@v2
      with:
        java-version: '11'
        distribution: 'adopt'
    
    - name: Build with Maven
      run: mvn -B package --file pom.xml
    
    - name: Dependency Check
      uses: dependency-check/Dependency-Check_Action@main
      with:
        project: 'my-project'
        path: '.'
        format: 'HTML'
        out: 'reports'
        
    - name: SonarQube Scan
      uses: SonarSource/sonarcloud-github-action@master
      env:
        GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
    
    - name: Build and Push Docker Image
      uses: docker/build-push-action@v2
      with:
        context: .
        push: true
        tags: myapp:latest
    
    - name: Scan Docker Image
      uses: aquasecurity/trivy-action@master
      with:
        image-ref: 'myapp:latest'
        format: 'table'
        exit-code: '1'
        ignore-unfixed: true
        severity: 'CRITICAL,HIGH'
    
    - name: Deploy to Staging
      uses: actions/kubernetes-deploy@master
      with:
        namespace: 'staging'
        manifests: 'k8s/staging/'
    
    - name: DAST Scan
      uses: zaproxy/action-baseline@v0.4.0
      with:
        target: 'https://staging.example.com'

Обработка результатов проверок безопасности

• Критические уязвимости в SAST: блокировать сборку.
• Высокорисковые уязвимости в зависимостях: блокировать при наличии исправлений, иначе пропускать с уведомлением.
• Средние и низкие риски: фиксировать для последующего анализа.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

stage('Security - Dependencies Check') {
    steps {
        sh 'mvn org.owasp:dependency-check-maven:check'
    }
    post {
        success {
            script {
                def parser = new XmlParser()
                def report = parser.parse('target/dependency-check-report.xml')
                def criticalCount = report.dependendencies.dependency.findAll { it.severity.text() == 'CRITICAL' }.size()
                
                if (criticalCount > 0) {
                    currentBuild.result = 'FAILURE'
                    error "Found ${criticalCount} critical vulnerabilities!"
                }
            }
        }
    }
}

Автоматизация проверок безопасности API

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53

// Коллекция Postman с тестами безопасности API
{
  "info": {
    "name": "API Security Tests",
    "schema": "https://schema.getpostman.com/json/collection/v2.1.0/collection.json"
  },
  "item": [
    {
      "name": "Authentication Test",
      "request": {
        "method": "GET",
        "header": [],
        "url": {
          "raw": "{{baseUrl}}/secure-endpoint",
          "host": ["{{baseUrl}}"],
          "path": ["secure-endpoint"]
        }
      },
      "test": {
        "exec": [
          "pm.test('Should require authentication', function() {",
          "  pm.response.to.have.status(401);",
          "});"
        ]
      }
    },
    {
      "name": "SQL Injection Test",
      "request": {
        "method": "GET",
        "header": [],
        "url": {
          "raw": "{{baseUrl}}/users?id=' OR 1=1 --",
          "host": ["{{baseUrl}}"],
          "path": ["users"],
          "query": [
            {
              "key": "id",
              "value": "' OR 1=1 --"
            }
          ]
        }
      },
      "test": {
        "exec": [
          "pm.test('Should handle SQL injection attempt', function() {",
          "  pm.expect(pm.response.code).to.be.oneOf([400, 422, 500]);",
          "});"
        ]
      }
    }
  ]
}

1
2
3
4
5
6
7
8

security_api_tests:
  stage: security
  script:
    - npm install -g newman
    - newman run api_security_tests.json -e environment.json --reporters cli,junit
  artifacts:
    reports:
      junit: newman/report.xml

Интеграция SAST и DAST инструментов с реальными примерами

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

# sonar-project.properties
sonar.projectKey=mycompany:myproject
sonar.projectName=My Project
sonar.projectVersion=1.0
 
sonar.sources=src/main
sonar.java.binaries=target/classes
sonar.java.libraries=target/dependency/*.jar
 
# Активация правил безопасности
sonar.security.sources=src/main
sonar.security.exclusions=**/*Test.java
 
# Расширенные проверки безопасности
sonar.java.security.enabled=true
sonar.java.security.standardRules=true
sonar.java.security.customRules=true
 
# Дополнительные правила OWASP
sonar.externalIssuesReportPaths=dependency-check-report.json

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37

#!/bin/bash
# Запуск ZAP в daemon режиме
docker run -d --name zap -p 2375:2375 owasp/zap2docker-stable zap.sh -daemon -port 2375 -host 0.0.0.0
 
# Ожидание запуска ZAP
sleep 10
 
# Настройка контекста и области сканирования
curl http://localhost:2375/JSON/context/action/newContext/?contextName=myapp
curl http://localhost:2375/JSON/context/action/includeInContext/?contextName=myapp\&regex=https://staging.example.com/.*
curl http://localhost:2375/JSON/spider/action/scan/?contextName=myapp\&url=https://staging.example.com/
 
# Ожидание завершения сканирования
while [ "$(curl -s http://localhost:2375/JSON/spider/view/status/ | jq -r '.status')" != "100" ]; do
  sleep 5
done
 
# Активное сканирование
curl http://localhost:2375/JSON/ascan/action/scan/?contextName=myapp\&url=https://staging.example.com/
 
# Ожидание завершения активного сканирования
while [ "$(curl -s http://localhost:2375/JSON/ascan/view/status/ | jq -r '.status')" != "100" ]; do
  sleep 5
done
 
# Генерация отчета
curl http://localhost:2375/OTHER/core/other/jsonreport/ > zap-report.json
 
# Анализ результатов
HIGH_ALERTS=$(jq '.site[].alerts[] | select(.risk=="High") | .instances | length' zap-report.json | awk '{sum+=$1} END {print sum}')
 
if [ "$HIGH_ALERTS" -gt 0 ]; then
  echo "Found $HIGH_ALERTS high risk vulnerabilities!"
  exit 1
fi
 
echo "No high risk vulnerabilities found."

Типичные вызовы и их решения

Сопротивление команд

• Проведение образовательных сессий, объясняющих, почему безопасность важна и какие риски может предотвратить.
• Демонстрация того, как автоматизация проверок безопасности может фактически сократить время разработки в долгосрочной перспективе.
• Постепенное внедрение инструментов, начиная с тех, которые дают наименьшее количество ложных срабатываний.
• Признание и поощрение тех, кто активно включает безопасность в свои рабочие процессы.

Интеграция с существующими процессами

• Картирование текущих процессов и выявление узких мест, где безопасность может добавить наибольшую ценность.
• Создание переходных планов с чётко определенными этапами и вехами.
• Поэтапная автоматизация проверок безопасности, начиная с наиболее критичных областей.
• Параллельное выполнение новых автоматизированных и существующих ручных процессов в течение переходного периода.

Баланс безопасности и скорости

• Определить различные уровни рисков для разных компонентов системы (не все требуют одинаково строгих проверок).
• Внедрить правила обработки результатов проверок в зависимости от серьезности найденных проблем.
• Автоматизировать исправление типовых уязвимостей где это возможно.
• Регулярно пересматривать и корректировать процессы в зависимости от изменений в ландшафте угроз.

Метрики эффективности DevSecOps

• Среднее время обнаружения уязвимости (MTTD) – сколько времени проходит от внесения уязвимости до её обнаружения.
• Среднее время устранения уязвимости (MTTR) – сколько времени требуется на исправление обнаруженной проблемы.
• Процент кода, проходящего автоматизированные проверки безопасности.
• Количество уязвимостей, обнаруженных на каждом этапе жизненного цикла.
• Экономия времени и ресурсов благодаря раннему обнаружению проблем.

Задание основные принципы ООП
Что требуется выполнить: -описать базовый класс Животное (Animal), у которого будут виртуальные методы "говорить", "пить" и...

Основные принципы создания плагинов
Какие существуют основные принципы создания плагинов

Основные принципы создания грида
Подскажите пожалуйста основные принципы создания грида. Сетка, данные и пр.

Основные принципы работы с двоичными файлами
"Преобразовать входной текстовый файл в выходной двоичный, содержащий данные следующего вида: значение типа int - количество строк в файле, n...

Поясните основные принципы работы с GLUT
Только начал изучать OpenGl из различных источников, но в них как-то сложно описан порядок выполнения команд. Например: #include...

Списки. Основные принципы работы с ними.
Написать программу, которая размещает в динамической памяти данные − действительные числа − в виде списка. Список создается путем...

Основные законы электрических цепей, принципы расчета
E1=E2=E3=5 R1=R2=R3=1010 Ом, R4=R5= 510 Ом как найти все U? и как определить величины сопротивлений по закону Ома по этой схеме

Выполнение задачи в нескольких потоках, основные принципы, синхронизация
Тему создал чтобы не флудить в соседней. Собственно тестовый проект. Пока интересует вопрос связанный конкретно с вызовом этого кода из потока : ...

Какие основные принципы ООП как выражаются в коде?
Какие основные принципы ООП как выражаются в коде ?

OOP (все принципы ООП и основные отношения между классами)
Здравствуйте, помогите пожалуйста. Стоит задача показать все принципы ООП и основные отношения между класами. Сильно не ругайтесь, только учась,...

Какие сейчас есть основные тенденции и принципы создания программ с GUI?
Хочу написать свою программу с красивым графическим интерфейсом, таким, который бы выглядел современно. Меня волнует, какие сейчас используются...

Введение в технологию WPF и введение, XAML
Объясните, пожалуйста, Имеется ввиду 1)Введение в технологию WPF и введение в технологию XAML? 2)Введение в технологию WPF, раздел XAML ...