DevOps-SecOps

Что такое "DevSecOps" вокруг нас, о начальных шагах его построения и почему термин "DevSecOps" считаю излишним.
Видео
https://www.youtube.com/watch?v=u4HNIa-dWKk

Transcript

1. DevOps-Secонос Анатолий Карпенко <@rusdacent>
3. 3 DevSecOps
4. 4 DevSecOps DevSecOps ?
5. 5 DevSecOps В случае с DevSecOps речь идет о попытке автоматизировать основные задачи безопасности, внедряя контроль этих процессов на раннем этапе DevOps. Этот подход выгодно отличается от того, что было принято до DevSecOps — контроль безопасности являлся заключительным процессом и осуществлялся в конце разработки. DevSecOps может использоваться, например, при переходе на микросервисы, в процессах Непрерывной интеграции (Continuous Integration, CI) и Непрерывного развертывания (Continuous Deployment, CD), или просто для тестирования облачной инфраструктуры. https://www.anti-malware.ru/analytics/Technology_Analysis/ what-is-devsecops-developing-more-secure-applications
6. 6 DevSecOps DevSecOps — это тенденция автоматизировать все проверки безопасности, кодифицируя их в модульных тестах и используя их с самого начала разработки программного обеспечения, а не в конце цикла. https://itfb.com.ua/chto-takoe-devsecops/
7. 7 DevSecOps вокруг нас
8. 8 Анализ кода Кто практикует?
9. 9 Анализ кода
10. 10 Анализ кода (тотальное погружение) • Анализатор кода для C
11. 11 Анализ кода (тотальное погружение) • Анализатор кода для C • Анализатор кода для ABAP
12. 12 Анализ кода Лучше использовать, чем не использовать, но есть нюансы...
13. 13 Анализ кода (ShellCheck) ShellCheck https://github.com/koalaman/shellcheck/wiki/Checks
14. 14 Анализ кода (ShellCheck)
15. 15 Анализ кода (CppDepend)
16. 16 Анализ кода
17. 17 Зависимости Кто практикует?
18. 18 Зависимости • GitLab - Dependency Scanning
19. 19 Зависимости • GitLab - Dependency Scanning • GitHub - About security alerts for vulnerable dependencies
20. 20 Зависимости • GitLab - Dependency Scanning • GitHub - About security alerts for vulnerable dependencies • OWASP - OWASP Dependency Check
21. 21 Что кроме [около]кода?
22. 22 Что кроме [около]кода? ВСЁ
23. 23 Nginx config Gixy - https://github.com/yandex/gixy
24. 24 Dockerfile (hadolint) Haskell Dockerfile Linter https://github.com/hadolint/hadolint
25. 25 Что ещё?
26. 26 Вернёмся к Docker’у На сколько станет лучше сосурити?
27. 27 Вернёмся к Docker’у What makes Docker more secure than VMs or bare metal?
28. 28 Вернёмся к Docker’у Кто знает, что у него в образах?
29. 29 Docker (Cryptojacking) Graboid: First-Ever Cryptojacking Worm Found in Images on Docker Hub
30. 30 Docker (Clair) Vulnerability Static Analysis for Containers https://github.com/coreos/clair
31. 31 Docker (Clair)
32. 32 Docker (Clair) Amazon ECR image scanning helps in identifying software vulnerabilities in your container images. Amazon ECR uses the Common Vulnerabilities and Exposures (CVEs) database from the open source CoreOS Clair project and provides you with a list of scan findings. You can review the scan findings for information about the security of the container images that are being deployed. For more information about CoreOS Clair, see CoreOS Clair. https://docs.aws.amazon.com/en_us/AmazonECR/latest/userguide/image-scanning.html
33. 33 Docker (Dockle) Container Image Linter for Security https://github.com/goodwithtech/dockle
34. 34 Docker (Dockle)
35. 35 Docker (Host) Docker Bench for Security - https://github.com/docker/docker-bench-security • Host Configuration • Docker Daemon Configuration • Docker Daemon Configuration Files • Container Images and Build Files • Container Runtime
36. 36 Host (Nessus) Nessus - https://www.tenable.com/products/nessus
37. 37 Инторнет
38. 38 Инторнет Кто как мониторит, что и куда торчит?
39. 39 Инторнет Exposed Docker - https://www.shodan.io/report/ol761bRb
40. 40 Инторнет (IVRE) IVRE - https://ivre.rocks
41. 41 Инторнет (IVRE)
42. 42 ∞ Over 9000
43. 43 ∞ • terrascan . . . • kube-hunter . . . • CVE . . . • DAST • . . .
44. 44 Вот это вот всё DevSecOps?
45. 45 DevOps или SRE? Давайте погуглим (Игорь Курочкин, Экспресс 42) - https://www.youtube.com/watch?v=ris1PtMx3Fc
46. 46 Я за ”безопасный DevOps”
47. 47 Безопасный DevOps
48. 48 Слабоумие и пиар Технологический Болт Генона https://t.me/tech_b0lt_Genona
49. 49 Слабоумие и пиар SPb Reliability Meetup https://t.me/spb_reliability Технологический Болт Генона https://t.me/tech_b0lt_Genona
50. 50 Thank You
51. 51 Links Books • Securing DevOps • Безопасный DevOps. Эффективная эксплуатация систем Links • 10+ top open-source tools for Docker security • Обзор утилит безопасности Docker