אבטחה ו-DevSecOps

אבטחה ו-DevSecOps היא העבודה של מיקום בדיקות אבטחה בתוך מסלול אספקת התוכנה, מהעיצוב ועד השחרור, כך שמי שאחראים לשחרור קוד מריצים את הבדיקות וצוות האבטחה סוקר את התוצאות יחד אתכם. SEYA Group מעריכה כיצד האפליקציות, התשתית והנתונים שלכם מוגנים כיום, ואז מתכננת ובונה, בהיקף שמוסכם, את הבדיקות שהופכות את הבקרות האלה לממשיות ב-Pipeline.

למי זה מיועד

מנהלי IT ראשיים (CIO) ומנהלי אבטחת מידע (CISO) שהבקרות שלהם קיימות במסמכי מדיניות ובגיליונות ביקורת אך לא במערכות שמשחררות קוד. מנהלי טכנולוגיה ראשיים (CTO) שהמהנדסים אצלם מתייחסים לביקורת אבטחה כשער בסוף שמעכב כל שחרור. מנהלי IT האחראים לאחזקת ענן שבה ניהול הגישה, הסודות וההיגיינה של התמונות התפתחו ללא תכנית. ארכיטקטים שמתכננים פלטפורמה ורוצים שהבקרות יתוכננו מלכתחילה.

בעיות שאנחנו פותרים

• חלוקה לא ברורה בין מה שצוותי האספקה אחראים לו לבין מה שקבוצת האבטחה אחראית לו.
• תמונות קונטיינר שרצות בייצור בלי שנסרקו בעת הבנייה.
• ממצאים שעולים במבחן חדירה או בביקורת, חודשים אחרי שנכתב הקוד.
• סודות שנשמרים בקבצי קונפיגורציה, בהודעות צ'אט או בגיליון משותף.
• בקרות בחשבונות ענן שמיושמות ידנית, בצורה שונה בכל סביבה.

מה תקבלו

• הערכת אבטחת ענן. סקירה של האופן שבו האפליקציות, התשתית והנתונים שבהיקף מוגנים, האם הבקרות האלה מופיעות במחזור החיים שכבר בא לכם בשימוש, ורשימה מדורגת של שינויים מומלצים.
• סקירת DevSecOps. תיאור בהיר של פרקטיקות האספקה והאבטחה הנוכחיות מול קבוצה קצרה של דרכי עבודה, בניסוח שמשמש בסיס משותף לצוותים שלכם.
• בדיקות ב-Pipeline. תכנון וביצוע, בהיקף שמוסכם, של ניתוח סטטי, סריקת תלויות, תמונות וזמן ריצה ב-Pipeline של האספקה, עם כללים שקובעים אילו ממצאים חוסמים שחרור.
• פרקטיקות קונטיינרים וסודות. איך בונים, סורקים ומקבלים תמונות לכל סביבה, ואיך מאחסנים, מחליפים ומאפשרים לאפליקציות גישה לסודות.
• בקרות כקוד. תכנון ובנייה, בהיקף שמוסכם, של כתיבת תשתית ומדיניות אבטחה כקוד כדי שאותה ביקורת תרוץ על כל שינוי.

איך פרויקט מתנהל

• שיחת היקף. אתם מתארים את המערכות, את הבקרות שאתם אחראים להן, ואיפה החיכוך בין אבטחה לאספקה נמצא היום.
• הערכה. אנחנו סוקרים יחד עם אבטחה והנדסה את הסביבה, ה-Pipeline והפרקטיקות הנוכחיות ומסכמים ממצאים והמלצות.
• תכנון. בודקים, כללי קבלה ובעלות מוסכמים עם שתי הקבוצות, כולל מה חוסם שחרור ומי מחליט על חריגים.
• בנייה עם הצוותים שלכם. הבדיקות נכנסות ל-Pipeline שלב אחר שלב, מכווננות עם מהנדסים שלכם כדי שהממצאים יהיו אמיתיים וה-Pipeline יישאר שמיש.
• מסירה. הצוותים שלכם הם הבעלים של הבדיקות, הכללים וקוד המדיניות, עם חזרה על הסקירה מאוחר יותר אם תרצו בסיס שני.

היקף טכני

העבודה כוללת בקרות חשבון וזהות ב-AWS, Microsoft Azure וב-Google Cloud, עם תשתית ומדיניות בכתיבת Terraform היכן שהצוות שלכם משתמש בו. ל-SEYA יש ניסיון ביישום ניהול סודות עם HashiCorp Vault וב-AWS Secrets Manager, בגילוי שירותים עם HashiCorp Consul, ובבקרות Pipeline ב-Jenkins וב-GitHub Actions. סריקת קונטיינרים וכללי קבלה מתוכננים לפלטפורמות Kubernetes כולל Amazon EKS, Google Kubernetes Engine ו-OpenShift. היכן שאתם מכינים סביבה לתקן כמו PCI DSS או SOC 2, ההערכה ממפה את הבקרות שאתם צריכים לבדיקות שה-Pipeline יכול להריץ; ההסמכה עצמה נשארת ביניכם לבין הגורם המבקר.

מה צריך להיות מוכן

בעל אבטחה ובעל הנדסה ששניהם משתתפים, גישה ל-Pipeline ולחשבונות הענן שבהיקף, והסכמה שממצאים ייכתבו בכנות. אם ה-Pipeline עצמו עדיין לא קיים, הוא נבנה במסגרת התמרה ארגונית או פיתוח cloud-native, והבדיקות מתוכננות לצידו. אם יסודות הענן עדיין בבנייה, בקרות ה-Landing Zone שייכות ל פלטפורמת ענן והגירה והעבודה הזו מרחיבה אותן.

מחוץ להיקף כאן: מרכז תפעול אבטחה או שירות ניטור, הסמכה מול רגולציה בשם, והבטחה שמערכת בטוחה. הממצאים הם מה שהבדיקות מדווחות, ותוצאה נקייה משמעותה שהבדיקות האלה עברו.

שירותי אבטחה קשורים

• אבטחת AI למודלים, נתונים וסוכנים בסביבת הייצור.
• הערכת אבטחת LLM לפני השקת פיצ'ר מבוסס מודל שפה.
• מצב אבטחת הענן לטעויות קונפיגורציה ב-AWS, Azure וב-Google Cloud.
• Zero trust לזהות וגישה למעמסות עבודה.
• מוכנות ל-SOC 2 לראיות שהבודק ידגום. SEYA אינה מנפיקה את הדוח.
• ממשל AI למדיניות שמתאימה לבקרות הטכניות.

עבודות קשורות

• Clearly: ניהול סודות עם HashiCorp Vault וב-AWS Secrets Manager בסביבת AWS מבוססת pipeline-as-code

שאלות נפוצות

האם זה יאט את השחרורים שלנו?

מטרת התכנון היא ההפך. הבדיקות רצות מוקדם, כשהתיקון זול, וכללי החסימה מוסכמים עם ההנדסה כדי ש-Pipeline אדום ייצג משהו אמיתי. אנחנו מכווננים את הבדיקות יחד עם הצוות שלכם לפני שהן הופכות לשערים.

מי מחליט מה חוסם שחרור?

בעלי האבטחה וההנדסה שלכם, יחד, בשלב התכנון. מ-SEYA תקבלו המלצות; הכללים שלכם, וכך גם תהליך החריגים.

האם אתם יכולים לעזור להתכונן לביקורת?

כן, במובן של מיפוי הבקרות שאתם צריכים לבדיקות שה-Pipeline יכול להריץ והצגה מאיפה תבואנה הראיות. הביקורת וכל תעודה נשארות ביניכם לבין הגורם המבקר.

איך אתם עובדים עם צוות האבטחה שלנו?

כעמיתים. תפקיד האבטחה נשאר לסקור תוצאות ולדאוג למדיניות; העבודה מעבירה את הרצת הבדיקות לצוותים שמשחררים קוד.

אם הבקרות שלכם חיות במסמכים והשחרורים בכלל במקום אחר, קבעו שיחת הערכת אבטחה ונפרט מה תכסה הסקירה הראשונה.