Ifølge en undersøkelse fra Verizon opplevde nesten 58 % av alle virksomheter et sikkerhetsbrudd i fjor, og av disse skyldtes 41 % sårbarheter i programvaren. Slike brudd kan medføre tap på millioner av dollar for bedrifter, og også skade deres omdømme.
Det har skjedd betydelig utvikling innen applikasjonsutviklingsmetoder. I dag benytter organisasjoner DevOps-prinsipper og verktøy for å utvikle applikasjoner og programvare. I DevOps-tilnærmingen leveres ikke hele applikasjonen på én gang, men utvikles og leveres trinnvis. I noen tilfeller kan det skje daglige lanseringer. Å identifisere sikkerhetsproblemer i disse hyppige lanseringene er en stor utfordring, og derfor er sikkerhet en avgjørende faktor i DevOps-prosessen.
Hvert team som er involvert i applikasjonsutviklingen, inkludert utvikling, testing, drift og produksjon, har ansvar for å implementere nødvendige sikkerhetstiltak. Dette sikrer at applikasjonen ikke har sårbarheter som kan føre til sikkerhetsbrudd. Denne artikkelen omhandler anbefalte fremgangsmåter for DevOps-sikkerhet med fokus på sikker utvikling og distribusjon av applikasjoner.
Implementer DevSecOps-modellen
DevSecOps er et sentralt konsept innen DevOps. Det er en grunnleggende sikkerhetspraksis som mange IT-organisasjoner har tatt i bruk. Navnet indikerer at det handler om å integrere utvikling, sikkerhet og drift.
DevSecOps er en metodikk som fokuserer på å bruke sikkerhetsverktøy i DevOps-livssyklusen. Sikkerhet må være en integrert del av applikasjonsutviklingen fra starten. Ved å integrere sikkerhet i DevOps-prosessen, kan organisasjoner utvikle sikre applikasjoner uten sårbarheter. Denne tilnærmingen bidrar også til å bygge bro mellom utviklings-, drifts- og sikkerhetsteamene i en organisasjon.
Nedenfor er noen grunnleggende praksiser som bør implementeres i DevSecOps-modellen:
- Bruk sikkerhetsverktøy som Snyk og Checkmarx i utviklingsintegrasjonspipelinen.
- Alle automatiserte tester må evalueres av sikkerhetseksperter.
- Utviklings- og sikkerhetsteam bør samarbeide om å lage trusselmodeller.
- Sikkerhetskrav skal prioriteres høyt i produktkøen.
- Alle sikkerhetspolicyer for infrastruktur må gjennomgås før distribusjon.
Gjennomgå koden i mindre deler
Det er viktig å vurdere koden i mindre deler. Unngå å gå gjennom store kodemengder. Vurder deler av koden for å sikre en grundig gjennomgang. En helhetlig vurdering av hele applikasjonen på én gang kan lett føre til feil.
Implementer en endringsstyringsprosess
Det er avgjørende å implementere en endringsstyringsprosess.
Når en applikasjon er i distribusjonsfasen, bør man ikke tillate utviklere å legge til eller fjerne kode eller funksjoner fritt. En endringsstyringsprosess er nødvendig. Hver endring som skal gjøres i applikasjonen, bør godkjennes gjennom denne prosessen. Utviklere skal kun foreta endringer etter godkjenning.
Fortsett å evaluere applikasjoner i produksjon
Organisasjoner forsømmer ofte sikkerheten etter at en applikasjon er lansert.
Det er nødvendig med kontinuerlig evaluering av applikasjonen. Regelmessige kodevurderinger og sikkerhetstester bør gjennomføres for å oppdage eventuelle nye sikkerhetshull. Verktøy som Invicti, Probely og Intruder kan brukes til kontinuerlig sikkerhetsarbeid.
Gi utviklingsteamet opplæring i sikkerhet
Utviklingsteamet må få opplæring i sikkerhet, spesielt i beste praksis for sikkerhet.
For eksempel bør nye utviklere få opplæring i hva SQL-injeksjoner er, hvordan de fungerer, og hvilke skader de kan forårsake. Utviklere bør være oppdatert på de nyeste sikkerhetsstandardene og beste praksis.
Det finnes mange tilgjengelige kurs for cybersikkerhet.
Utvikle og implementer sikkerhetsprosesser
Sikkerhet krever klare prosesser. Organisasjonen må ha spesifikke sikkerhetsprosesser og implementere dem. Etter implementeringen er det viktig å evaluere og revidere prosessene. Dette kan være nødvendig dersom prosessene ikke fungerer som forventet eller er for kompliserte. Sikkerhetsprosesser må overvåkes og revideres.
Implementer og håndhev sikkerhetsstyring
Det er viktig å implementere og håndheve styringspolicyer i organisasjonen for å oppnå god DevOps-sikkerhet. Disse policyene skal følges av alle team som jobber med applikasjonsutvikling. Hver ansatt må forstå disse retningslinjene klart, og det er viktig å overvåke at de blir fulgt.
Standarder for sikker koding
Utviklere fokuserer ofte på å bygge funksjoner og overse sikkerhet. Sikkerhet må være en prioritet. Utviklingsteamet bør kjenne til beste praksis for sikkerhet under koding av applikasjoner. De bør vite om sikkerhetsverktøy som kan hjelpe dem med å identifisere sårbarheter i koden mens de utvikler den, slik at de umiddelbart kan rette dem. Det er viktig å bruke automatiseringsverktøy i DevOps-prosessene for å unngå manuelt arbeid. Automatisering bør brukes til testing, kodeanalyse, håndtering av hemmeligheter, konfigurasjonshåndtering og sårbarhetsstyring. Dette vil forenkle utviklingen av sikre produkter.
Implementer sårbarhetsvurdering
Sårbarhetsvurdering er nødvendig for å identifisere og eliminere sårbarheter i applikasjonen før den lanseres i produksjonsmiljøet. Sårbarhetsvurderingen må gjøres regelmessig, og utviklingsteamet må rette eventuelle feil i koden. Det finnes flere verktøy for sårbarhetsskanning og administrasjon som kan brukes til å identifisere svakheter i applikasjonen.
Implementer konfigurasjonsadministrasjon
Konfigurasjonsadministrasjon er også viktig. Endringsstyringsprosessen er en del av konfigurasjonsadministrasjonen. Det er viktig å ha kontroll over konfigurasjonene, endringene som gjøres i applikasjonen, og hvem som autoriserer og godkjenner dem.
Implementer modellen for minste privilegium
En viktig tommelfingerregel for DevOps-sikkerhet er å implementere modellen for minste privilegium. Ikke gi unødvendige privilegier. For eksempel, hvis en utvikler ikke trenger ROOT- eller administratortilgang, bør de tildeles vanlig brukertilgang.
Segreger DevOps-nettverket
Nettverkssegmentering er viktig. Organisasjonens eiendeler bør ikke kjøre på samme nettverk. Dette kan skape et enkelt feilpunkt. Hvis en hacker får tilgang til ett nettverk, kan de potensielt ta kontroll over alle eiendeler. Derfor bør man ha separate nettverk for hver logiske enhet. Utviklings- og produksjonsmiljøet bør isoleres på forskjellige nettverk.
Zero-Trust-nettverksløsninger kan også benyttes.
Bruk passordbehandling
Unngå å lagre legitimasjon i Excel. Bruk i stedet en sentralisert passordbehandling. Passord skal ikke deles mellom brukere. Det er best å lagre legitimasjon på et trygt og sentralisert sted, hvor kun autoriserte team kan gjøre API-kall og bruke disse legitimasjonene.
Implementer revisjon og gjennomgang
Revisjon og gjennomgang må foretas jevnlig. Det bør være regelmessige revisjoner av applikasjonens kode og miljøet, sikkerhetsprosesser og datahåndtering.
Konklusjon
Dette er noen essensielle DevOps-sikkerhetspraksiser som en organisasjon må følge for å utvikle sikre applikasjoner og programvare. Implementering av sikkerhetspraksis i DevOps-prosessen vil kunne spare en organisasjon for store kostnader. Implementer sikkerhetspraksis beskrevet i denne artikkelen for sikre og raskere utgivelser av applikasjonene.