Serviços de desenvolvimento seguro (DevSecOps)
Integramos a segurança na forma como o software é feito, em vez de a tratar como uma barreira no final. A análise estática e a verificação de dependências correm em cada alteração, os pipelines de build estão reforçados e há um teste de intrusão antes de cada versão importante. Assim, classes inteiras de problemas são detetadas no momento do merge.
A segurança como propriedade do processo
Uma revisão de segurança feita só no fim do projeto encontra os problemas quando são mais caros de corrigir. Antecipamos as verificações para o pipeline e para o pull request, de modo que o código e as dependências vulneráveis sejam detetados antes de chegarem à produção.
- Análise estática (SAST) em cada alteração, afinada para reduzir falsos positivos
- Análise de dependências e de cadeia de fornecimento com fixação de versões
- Deteção de segredos no código e no CI, para que as credenciais nunca cheguem à produção
- Pipelines de build reforçados com privilégio mínimo e artefactos assinados
- Modelação de ameaças e revisão de design seguro para novas funcionalidades
- Um teste de intrusão antes de cada versão importante
Como reforçamos o pipeline
Vamos ter com a sua equipa onde ela trabalha (o IDE, o pull request, o pipeline) e acrescentamos controlos de segurança que informam em vez de bloquear, para que a equipa mantenha o ritmo.
- 1
Linha de base e modelo de ameaças
Avaliamos o pipeline e a base de código atuais, modelamos as ameaças que importam para o seu produto e acordamos onde está realmente o risco.
- 2
Controlos shift-left
SAST, análise de dependências e deteção de segredos integrados no CI e no pull request, afinados para que o sinal vença o ruído.
- 3
Reforço do pipeline
Passos de build com privilégio mínimo, dependências fixadas e verificadas, artefactos assinados e branches protegidos.
- 4
Testes pré-lançamento
Um teste de intrusão focado no release candidate, com os resultados encadeados em percursos de ataque realistas, e não apenas um despejo de scanner.
- 5
Remediar e voltar a testar
Resultados priorizados e acionáveis, e um novo teste das correções para que possa confirmar que cada problema ficou resolvido.
O que recebe
Um processo de desenvolvimento que produz software seguro por defeito, com as evidências que o demonstram.
- Verificações de segurança integradas no seu fluxo de CI/CD e de pull request
- SAST e análise de dependências e de segredos configurados e afinados
- Um pipeline reforçado com privilégio mínimo e artefactos assinados
- Um modelo de ameaças e notas de design seguro para o produto
- Um teste de intrusão pré-lançamento com resultados priorizados e reproduzíveis
- Um novo teste gratuito dos problemas remediados, dentro do prazo fixado no SoW
A toolchain de desenvolvimento seguro
O que implementamos: análise estática e verificação de dependências em cada alteração, pipelines de build reforçados e um teste de intrusão antes de cada versão importante, tudo integrado na forma como a sua equipa já entrega.
Perguntas sobre desenvolvimento seguro
Em que é que isto difere de um teste de intrusão pontual?
Um teste de intrusão é uma fotografia. É útil, mas só lhe diz como estava o código no dia do teste. O DevSecOps torna a segurança contínua: cada alteração é analisada, as dependências são vigiadas e o próprio pipeline é reforçado, para que os novos problemas sejam detetados à medida que surgem. Incluímos um teste de intrusão antes de cada versão importante, mas ele assenta num processo que já apanha os problemas de rotina.
As verificações de segurança vão atrasar a minha equipa?
Se forem mal feitas, sim: uma avalanche de falsos positivos ensina toda a gente a ignorá-los. Afinamos as ferramentas para que o sinal seja fiável, corremos as verificações rápidas em linha e as mais lentas fora do fluxo principal, e tratamos a maioria dos resultados como informação para o autor, e não como um bloqueio. O objetivo é detetar problemas sem quebrar o ritmo de trabalho.
Conseguem trabalhar com o nosso CI/CD existente?
Sim. Integramo-nos com o pipeline que já tem, como GitHub Actions ou GitLab CI, em vez de lhe pedir que mude de ferramentas. Os controlos encaixam no seu fluxo atual de pull requests e de implementação.
Corrigem o que encontram, ou apenas o reportam?
Ambos, consoante o projeto. Podemos entregar à sua equipa um conjunto priorizado e reproduzível de resultados para corrigir, ou corrigi-los nós como parte do trabalho. Em qualquer caso, voltamos a testar as correções para que possa confirmar que cada problema ficou resolvido.