مقدمة

مكتمل

تمكن ممارسات DevOps فرق التطوير من نشر التطبيقات بشكل أسرع وأكثر تكرارا. ومع ذلك ، فإن السرعة بدون أمان تخلق مخاطر. لا يساعد التحرك بسرعة نحو ثغرة أمنية في عملك. يتمثل التحدي في الحفاظ على السرعة مع ضمان بقاء التطبيقات آمنة طوال دورة حياتها.

التحدي الأمني في التنمية الحديثة

تتمتع فرق DevOps بإمكانية الوصول إلى بنية تحتية غير مسبوقة وتوسيع النطاق من خلال الأنظمة الأساسية السحابية. توفر إمكانية الوصول هذه الفرص ولكنها تعرض المؤسسات أيضا لتهديدات أمنية معقدة. من المحتمل أن يخاطر كل نشر تطبيق بأمن الأعمال وبيانات العملاء والسمعة التنظيمية.

تفشل أساليب الأمان التقليدية في البيئات الحديثة: لا تترجم نماذج الأمان المستندة إلى المحيط التي تحمي مراكز البيانات بجدران الحماية وعناصر التحكم في الشبكة إلى بيئات سحابية موزعة. تمتد التطبيقات إلى العديد من الخدمات والمناطق وموفري الخدمات السحابية. تدفقات البيانات بين الخدمات المصغرة وواجهات برمجة التطبيقات والتكاملات الخارجية. لم يعد نهج القلعة والخندق التقليدي يوفر الحماية الكافية.

يتطلب الأمان الحديث طبقات دفاع متعددة: يجب أن تتبنى المؤسسات الأمان على مستويات متعددة بما في ذلك رمز التطبيق والبنية التحتية والشبكة والبيانات والهوية. لا يمكن أن يوجد الأمان كنقطة تفتيش واحدة. يجب تضمينه في جميع أنحاء المكدس مع فرص متعددة لاكتشاف التهديدات ومنعها.

نهج DevSecOps

كيف تضمن أمان التطبيقات والحفاظ على أمانها من خلال التكامل المستمر والتسليم المستمر؟ كيف يمكنك العثور على مشكلات الأمان وإصلاحها في وقت مبكر من عملية التطوير؟ تكمن الإجابة في الممارسات التي يشار إليها عادة باسم DevSecOps.

الأمن كمسؤولية مشتركة: يدمج DevSecOps فرق الأمان وقدراتهم في ممارسات DevOps الخاصة بك ، مما يجعل الأمان مسؤولية كل فرد في الفريق بدلا من وظيفة منفصلة. يتعاون المطورون ومهندسو العمليات والمتخصصون في الأمان طوال دورة حياة التطوير.

نقل الأمان إلى اليسار: يحتاج الأمن إلى التحول من فكرة لاحقة يتم تقييمها في نهاية التطوير إلى النظر في كل خطوة من خطوات العملية. يلتقط نهج "التحول إلى اليسار" مشكلات الأمان في وقت مبكر عندما يكون إصلاحها أسهل وأقل تكلفة. ثغرة أمنية تم اكتشافها أثناء مراجعة التعليمات البرمجية تكلف أقل بكثير من الثغرة الأمنية المكتشفة في الإنتاج.

الأمان كعملية مستمرة

تأمين التطبيقات هو عملية مستمرة تشمل مجالات متعددة:

بنية تحتية آمنة: يمكنك البناء على أسس آمنة بما في ذلك أنظمة التشغيل القوية والشبكات التي تم تكوينها بشكل صحيح والتخزين المشفر وإدارة الهوية الآمنة.

بنية مع أمان متعدد الطبقات: تصميم التطبيقات بأمان مدمج في البنية. قم بتنفيذ الدفاع بعمق باستخدام طبقات أمان متعددة بحيث إذا فشل أحد عناصر التحكم ، يظل الآخرون فعالين.

التحقق المستمر من صحة الأمان: أتمتة اختبار الأمان عبر مسار الأنابيب. قم بإجراء عمليات فحص الأمان وتقييمات الثغرات الأمنية وفحوصات التوافق كجزء من التكامل والنشر المستمرين.

المراقبة والاستجابة: مراقبة التطبيقات في الإنتاج بحثا عن التهديدات الأمنية والسلوك الشاذ. الاستجابة بسرعة للمشكلات المكتشفة من خلال المعالجة التلقائية حيثما أمكن ذلك.

نهج أمني شامل: الأمان هو مسؤولية الجميع ويجب معالجته بشكل شامل عبر دورة حياة التطبيق بأكملها من التصميم الأولي إلى عملية الإنتاج وإيقاف التشغيل في نهاية المطاف.

ما تغطيه هذه الوحدة

تقدم هذه الوحدة مفاهيم وممارسات DevSecOps التي تدمج الأمان طوال دورة حياة التطوير:

الثغرات الأمنية الشائعة: ستتعرف على هجمات حقن SQL ، وهي واحدة من أكثر الثغرات الأمنية انتشارا وخطورة. يساعدك فهم كيفية عمل هذه الهجمات على منعها في تطبيقاتك.

مبادئ DevSecOps: ستفهم كيف يختلف DevSecOps عن أساليب الأمان التقليدية وكيفية دمج ممارسات الأمان في مهام سير عمل DevOps الحالية دون التضحية بسرعة التطوير.

أمن خط الأنابيب: ستكتشف نقاط التحقق من الصحة الهامة في مسار CI/CD حيث يجب إجراء فحوصات الأمان. تعرف على كيفية تنفيذ اختبار الأمان الآلي الذي يلتقط الثغرات الأمنية قبل وصولها إلى الإنتاج.

نمذجة التهديدات: ستتعلم مناهج منهجية لتحديد التهديدات الأمنية وتقييمها وتحديد أولوياتها. تساعدك نمذجة التهديدات على تركيز جهود الأمان على أهم المخاطر التي تتعرض لها تطبيقاتك وأعمالك.

تحليل الأمان الآلي: ستستكشف أدوات مثل GitHub CodeQL التي توفر تحليلا أمنيا آليا. تقوم هذه الأدوات بفحص التعليمات البرمجية بحثا عن الثغرات الأمنية وأنماط الأمان، مما يتيح لك العثور على المشكلات مبكرا دون مراجعات الأمان اليدوية لكل تغيير في التعليمات البرمجية.

تسريع فرق الأمن: يمكن لخطوط أنابيب التكامل والنشر المستمر تسريع عمل فرق الأمان من خلال أتمتة الفحوصات الأمنية المتكررة وتحسين التعاون مع فرق تطوير البرامج. يمكن لفرق الأمان التركيز على التهديدات المعقدة بدلا من المراجعة اليدوية للتغييرات الروتينية.

أهداف التعلم

بعد إِكمال هذه الوحدة النمطية، ستتمكن من القيام بما يلي:

• تحديد وفهم هجمات حقن SQL وتأثيرها على أمان التطبيق.
• شرح مبادئ DevSecOps وكيفية تكامل الأمان طوال دورة حياة التطوير.
• قم بتنفيذ التحقق من صحة الأمان في النقاط الرئيسية في مسار DevOps الخاص بك.
• إجراء نمذجة التهديدات لتحديد المخاطر الأمنية وتحديد أولوياتها.
• استخدم GitHub CodeQL لتحليل الأمان الآلي واكتشاف الثغرات الأمنية.

المتطلبات المسبقه

• فهم مفاهيم وممارسات DevOps.
• الإلمام بالتكامل المستمر ومسارات النشر المستمر.
• المعرفة الأساسية بتطوير التطبيقات ومفاهيم الأمان المشتركة.
• خبرة في أنظمة التحكم في الإصدار مثل Git.
• من المفيد أن يكون لديك خبرة في مؤسسة تقدم البرامج.