Текстовый курс по DevOps

Как обеспечить информационную безопасность в DevOps?

В большинстве организаций опасения по поводу информационной безопасности — одно из самых частых возражений против внедрения DevOps. При этом DevOps — один из лучших способов поставлять самые защищённые системы в мире.

Во многих организациях, возможно и в вашей, доля специалистов по информационной безопасности в команде разработки ПО составляет 1/100. Иными словами, в команде из 100 человек обычно всего один такой специалист. Поэтому устранение проблем безопасности ПО занимает много времени, поставки задерживаются и, что ещё хуже, клиенты получают менее надёжную защиту.

Если из опыта поставки ПО и стоит извлечь один урок, то такой: проблемы, которые останавливают проект в самом конце, плохи, а если они связаны с безопасностью — ещё хуже. Поэтому каждый участник команды DevOps должен включать информационную безопасность в повседневную разработку, а не относиться к ней как к флажку, который отмечают или оставляют пустым в конце проекта.

Привлекайте специалистов по информационной безопасности на ранних этапах разработки ПО

Чтобы проблема безопасности не остановила работу непосредственно перед развёртыванием, привлекайте специалистов по информационной безопасности на ранних этапах. Приглашайте их на демонстрации, ранние встречи по планированию и обзоры, чтобы они понимали, какой бизнес обслуживает ваше ПО. Тогда они точнее оценят возможные риски и проблемы и помогут команде DevOps определить цели безопасности и соблюдения требований, над которыми нужно работать в ходе разработки.

Информационная безопасность — часть повседневной работы

Отслеживайте функции безопасности и инциденты в обычных инструментах планирования задач и управления инцидентами. Не перекладывайте их в специализированные системы контроля соответствия, которым команда DevOps уделяет мало внимания. Когда проблема безопасности возникает в архитектуре, проекте или работающей системе, разберите её с командой. Помогите понять её первопричину и то, как оценивать похожие ситуации и действовать в будущем, чтобы ошибка не повторилась.

В области информационной безопасности команда DevOps выполняет следующие задачи:

• Предотвращает повторение ошибок безопасности.
• Включает цели безопасности в цели проектов и инструменты планирования и отслеживания.
• Включает проверки безопасности в автоматизированные тесты конвейера развёртывания.
• Определяет повторно используемые инструменты самообслуживания и программные библиотеки, объединяющие лучшие практики информационной безопасности организации, после всестороннего анализа безопасности отдельных функций продуктов и услуг.
• Обучает разработчиков и инженеров эксплуатации DevOps и доверяет им, даже если информационная безопасность не их основная специальность.

Создавайте безопасные библиотеки, процедуры, типовые решения, архитектуры и проекты для ПО

С помощью таких повторно используемых ресурсов команда DevOps стандартизирует информационную безопасность ПО по важным направлениям, таким как:

• Обмен информацией и передача данных между клиентами и ПО.
• Хранение данных.
• Защищённые среды.
• Операционные системы, базы данных и настройки сторонних инструментов, компонентов и интерфейсов для предотвращения уязвимостей.
• Хранение паролей.
• Восстановление забытых паролей.
• Работа с журналированием конфиденциальных данных клиентов.
• Предотвращение межсайтового скриптинга (XSS).
• SQL-инъекции.
• Другие уязвимости информационной безопасности, характерные для вашей деятельности и применимого законодательства.

Рекомендуемые методы обеспечения информационной безопасности в DevOps

• Статический анализ Анализ кода для выявления бэкдоров и уязвимостей.
• Динамический анализ Анализ бэкдоров и уязвимостей во время работы системы. Непрерывный мониторинг и анализ работы процессора, памяти, сетевого и дискового ввода-вывода в рабочих и остальных средах.
• Анализ зависимостей Статический и динамический анализ внешних инструментов и зависимостей, исходный код которых вы не контролируете. Вместе со сторонними инструментами, библиотеками и сервисами организация получает и их проблемы информационной безопасности. Проверяйте открытые инциденты безопасности сторонних компонентов и то, как быстро поставщик обычно устраняет такие проблемы.
• Защита доступа к исходному коду Используйте инфраструктуру открытых ключей, в которой у каждого участника команды DevOps есть открытый и закрытый ключи. Тогда все операции внесения, извлечения и чтения в репозитории авторизуются и отслеживаются, а все изменения подписываются их авторами.
• Встраивайте мониторинг безопасности (телеметрию) в свои среды Отслеживайте данные об использовании системы, чтобы выявлять нарушения безопасности. На них часто указывает избыточное число важных действий пользователей, например неудачных попыток входа, запросов на восстановление пароля или покупок одного пользователя с разных кредитных карт.

ВЫВОДЫ

В этой главе мы предложили рекомендации по информационной безопасности в DevOps. Информационная безопасность — и искусство, и наука. Задача главы — объяснить, как разработка и поставка ПО в DevOps подходят к информационной безопасности.

DevOps позволяет встроить задачи информационной безопасности и соблюдения требований организации в повседневную работу инженеров, делая безопасность общей ответственностью. Самые динамичные компании мира уже показали, что так можно безопасно обслуживать клиентов.