La Duck Conf - Continuous Security : Secure a DevOps World!

#LaDuckConf by OCTO Technology © 2020 - All rights reserved
Continuous Security
Securing a DevOps world!

Qui sommes nous ?
Didier
BERNAUDEAU
Expert sécurité
Jean-Baptiste
JOLY
OPS

PhotobyAlexHolyoakeonUnsplash

Industrialisation du cycle de développement
INTÉGRATION
CONTINUE
LIVRAISON
CONTINUE
DÉPLOIEMENT
CONTINU

PhotobyKévinLanglaisonUnsplash

Quelques incidents ces dernières années !
540 millions
d'informations
utilisateurs exposées
sur un bucket S3 en
libre accès
(2019)
Une vulnérabilité dans
un framework expose les
données de plus de 147
millions de personnes
(2017)
Accès aux documents
d’un assuré en
modifiant simplement
l’identifiant du
document dans l'URL
(2019)

Les étapes de sécurité classiques
Exigences de sécurité Audit de sécurité
Un gros document que les
opérationnels doivent
impérativement respecter !
● Exigences généralistes
● Exigences contradictoires avec les
besoins du métier
Un test d’intrusion et un audit de
code source sont commandités
par l’équipe sécurité.
● Réalisés tardivement
● Périmètre incomplet
● Vulnérabilités jamais corrigées

Discontinuous Security
Sprint 0
Exigences de
sécurité
Audit de
sécurité
Et si nous changions nos pratiques ...

Continuous Security
A chaque étape
Intégrer la sécurité dans toutes
les phases du cycle de
développement
Shift security to the left
Intégrer la sécurité dès la
première phase du cycle
développement
Automatisation
Les ingénieurs sécurité sont peu
nombreux face aux Devs,
il faut automatiser les tâches
A chaque cycle
Réitérer les actions sécurité à
chaque cycle de
développement

Equipe DevSecOps
Une équipe autonome et multi compétences:
Développeurs, Ops et Security Ambassador

Cycle DevSecOps
Code
Build
Test
Deploy
Operate
Monitor
DEV OPS
Release
Plan

Plan
Ce que l’on fait en général
● Design Thinking
● User Stories
● Backlog
● Story Map
Cadrage et spécification du
produit d’un point de vue
fonctionnel et technique

Plan
Intégrer les exigences de
sécurité dans le Backlog
du produit
● User Security story (OWASP)
● Security Acceptance Criteria
● Backlog de risque avec les Evil
User Stories
… ce que l’on fait pour la sécurité

Code
Assurer le respect des
conventions de code de
l’équipe.
Linter
● Pylint / Pycodestyle
● ESLint / Prettier
● Checkstyle

Code
Analyser le code source
des applications pour
déceler les vulnérabilités
applicatives (XSS, SQLi, …)
SAST
(Static Application Security Testing)
● Coverity (Synopsys)
● Checkmarx
● Semmle LGTM / CodeQL
● Node : ESLint security
● Python : bandit
● Java : find security bugs

Code
Il y a différents méthodes d’analyses
๏ Semantic code search
๏ Range Analysis (or bounds analysis)
๏ Control Flow Analysis (CFA)
๏ Data Flow Analysis (DFA)

Build
Compilation du code
source pour créer un
artefact
Builder
● Gradle
● Maven
● …

Build
Détecter l’utilisation de
composants (package
ou framework) ayant des
vulnérabilités connues.
SCA
(Software Composition Analysis)
● npm audit ou yarn audit
● Dependency Check
● Dependabot

Cycle DevSecOps
CodeBuild
Test
Deploy
Operate
Monitor
DEV OPS
Release
Plan

Test
Les tests doivent à
minima vérifier les critères
d’acceptation des US.
Test unitaire &
Test d’intégration
● Mocha / Chai / supertest
● Sinon
● Unittest / Pytest
● JUnit

Test
Utiliser les frameworks et outils
de test pour implémenter des
tests de sécurité
Outils et frameworks de test
+
Framework de test spécifique
à la sécurité
(exemple: spring security test)

Release
Regrouper tous les
éléments de l’application
dans un package
● Package
○ JAR, WAR, ...
○ Image Docker
● Repository
○ Artifactory
○ Nexus
○ Docker Registry

Release
Détecter l’utilisation de
composants (package,
framework ou logiciel) ayant
des vulnérabilités connues.
Software Composition Analysis (SCA)
et/ou
Container Security Analysis
(Clair, Trivy, Anchore,
Microscanner….)

Deploy
Provisionner et tester
l'infrastructure supportant le
produit
● Tests d’infrastructure
● Tests fonctionnels
● Tests de non régression
● Tests de performance

Deploy
Exécuter des tests de sécurité
afin d’identifier des
vulnérabilités soit au niveau
de l’infrastructure soit de
l’application.
DAST
(Dynamic Application Security
Testing)
● OWASP ZAP
● Rapid7
● Qualys
● ...

Operate & Monitor
Collecter un maximum
d’informations afin de réaliser
les tableaux de bord et
remonter les alertes en cas
d’incident
Les incontournables
● Prometheus / Grafana
● ElasticSearch / Kibana
● Nagios et Centreon

Operate & Monitor
Auditer en continu afin de
garantir la conformité du
système.
Continuous Auditing
● AWS Guard Duty
● Azure Policy & Security Center
● Cloud Custodian
● ...

Operate & Monitor
Détecter ou bloquer, en temps
réel, toute tentative d’attaque.
RASP
(Runtime Application Self-Protection)
● Sqreen
● Seeker (Synopsys)
● OpenRASP (Baidu)
● Contrast Security
● ...

IAST
Interactive Application Security Testing
DAST
(Dynamic Application
Security Testing)
RASP
(Runtime Application
Self-Protection)
IAST
(Interactive Application
Security Testing)
+ =

Un pipeline Open Source
Code
Build
Test
Deploy
Operate
Monitor
DEV OPS
Release
Plan
Cloud
Custodian
find security
bugs

๏ Sélectionner un type d’outil
๏ L’outil idéal n’existe pas
๏ Accompagner le déploiement de l’outil dans les équipes
Pour bien commencer ...

CultureOrganisationAutomatisation
Conclusion

La Duck Conf - Continuous Security : Secure a DevOps World!

La Duck Conf - Continuous Security : Secure a DevOps World!

Contenu connexe

Tendances

Similaire à La Duck Conf - Continuous Security : Secure a DevOps World!

Plus de OCTO Technology

La Duck Conf - Continuous Security : Secure a DevOps World!