Informationen zu den wichtigsten Validierungspunkten
Bei jedem Schritt von der Entwicklung bis zur Produktion sollte eine kontinuierliche Sicherheitsüberprüfung hinzugefügt werden, um sicherzustellen, dass die Anwendung immer sicher ist.
Dieser Ansatz zielt darauf ab, das Gespräch mit dem Sicherheitsteam von der Genehmigung der einzelnen Versionen in die Zustimmung zum CI/CD-Prozess zu ändern und den Prozess jederzeit zu überwachen und zu prüfen.
Im folgenden Diagramm werden beim Erstellen von Anwendungen von Grund auf die kritischen Validierungspunkte in der CI/CD-Pipeline hervorgehoben.
Je nach Plattform und Lebenszyklus Ihrer Anwendung können Sie die Tools schrittweise implementieren.
Dies gilt insbesondere, wenn Ihr Produkt ausgereift ist und Sie zuvor keine Sicherheitsüberprüfung für Ihre Website oder Anwendung ausgeführt haben.
IDE / Pull Request
Die Überprüfung in CI/CD beginnt, bevor der Entwickler den Code committet.
Statische Codeanalysetools in der IDE stellen die erste Verteidigungslinie bereit, um sicherzustellen, dass Sicherheitsrisiken nicht in den CI/CD-Prozess eingeführt werden.
Der Prozess zum Committen von Code in ein zentrales Repository sollte über Kontrollen verfügen, um zu verhindern, dass Sicherheitsrisiken eingebracht werden.
Die Verwendung der Git-Quellcodeverwaltung in Azure DevOps mit Branchrichtlinien bietet eine geschlossene Commiterfahrung, die diese Überprüfung ermöglichen kann.
Wenn Sie Branchrichtlinien für den freigegebenen Branch aktivieren, ist ein Pull Request erforderlich, um den Zusammenführungsprozess zu starten und die Ausführung aller definierten Kontrollen sicherzustellen.
Für den Pull Request sollte eine Codeüberprüfung erforderlich sein. Dies ist die einzige manuelle, aber wichtige Überprüfung zum Identifizieren neuer Probleme, die in Ihren Code eingeführt wurden.
Zusammen mit dieser manuellen Überprüfung sollten Commits mit Arbeitselementen verknüpft werden, um zu überwachen, warum die Codeänderung vorgenommen wurde, und ein CI-Buildprozess (Continuous Integration) muss erfolgreich ausgeführt werden, bevor der Pushvorgang abgeschlossen werden kann.