Sdílet prostřednictvím

Standardizace zabezpečených vývojových kanálů (Secure Future Initiative)

Název pilíře: Ochrana technických systémů

Název vzoru: Standardizace zabezpečených vývojových kanálů

Kontext a problém

Kanály CI/CD jsou páteří moderního doručování softwaru. Pokud nejsou spravovány, mohou také představovat slepé místo.

Pro mnoho organizací, které používají nástroje, jako je Azure DevOps (AzDO), mají vývojové týmy flexibilitu při sestavování a nasazování softwaru způsobem, který vyhovuje jejich jedinečným pracovním postupům. Tato flexibilita ale v průběhu času může vést k fragmentaci. Zákazníci můžou zjistit, že různé týmy ve stejné organizaci implementují kanály CI/CD nekonzistentně pomocí různých kontrol zabezpečení, ověření dodržování předpisů a logiky automatizace. Tato nekonzistence zvyšuje riziko mezer v zabezpečení, zpomaluje zprovoznění nových členů týmu a znesnadňuje vynucování podnikových standardů pro rychlé reakce na vznikající hrozby.

Tento nedostatek standardizace může ztížit:

  • Vynucování firemních zásad zabezpečení nebo regulačních zásad
  • Generování softwarových faktur (SBOMs) podle požadavků výkonného řádu 14028
  • Jednotné aplikování aktualizací napříč tisíci kanálů

Výsledkem je složitá mozaika postupů, které zpomalují nasazování zabezpečení, zvyšují riziko nedodržování předpisů a vytvářejí zbytečnou zátěž pro technické týmy.

Řešení

Pro řešení této výzvy ve velkém měřítku společnost Microsoft vyvinula řízené šablony kanálů jako součást iniciativy SFI (Secure Future Initiative). Tyto centrálně spravované šablony YAML Azure DevOps a akce GitHubu kódují standardizovanou logiku, kontrolní mechanismy zabezpečení a požadavky na dodržování předpisů – umožňují týmům rychlejší přesun, aniž by došlo k ohrožení důvěryhodnosti.

Řízené šablony pipeline slouží jako bezpečné ve výchozím nastavení vzory, které týmy mohou rozšířit, aby splňovaly místní potřeby a současně zachovaly základní sadu funkcí a prosazování. Tento přístup vyrovnává centralizovanou kontrolu s autonomí vývojářů.

Šablony podporují celou řadu pracovních postupů, mezi které patří:

  • Ověření pull requestu (PR)
  • Oficiální sestavení
  • Automatizace vydaných verzí
  • Služby, které pokrývají webové aplikace, desktopové aplikace, mikroslužby a modely ML

Společnost Microsoft dokončila zavedení šablon řízených kanálů ve dvou čtvrtletích. Dnes je 92 % produkčních linek komerčního cloudu Microsoftu centrálně spravováno.

Vodítko

Organizace můžou použít podobný model pomocí následujících postupů, které je možné provést:

Případ použití Doporučená akce Zdroj
Využití integrovaných nástrojů
  • Určete, které nástroje pro zabezpečení, dodržování předpisů a produktivitu by měly být součástí každého kanálu.
  • Použití zákonných potřeb a zásad SDL jako výchozího bodu
Vytvoření společné šablony
  • Vytvořte opakovaně použitelnou YAML šablonu „extends“, která definuje potřebnou logiku a fáze.
  • Omezení úprav, aby se zabránilo náhodnému odebrání zásad.
Podpora místních rozšíření Umožnit týmům vytvářet paprskové šablony, které přidávají místní funkce beze změny základní sady funkcí Konfigurace rozšíření Microsoft Security DevOps Azure DevOps
Automatizace generování důkazů Zařaďte SBOM, výsledky testů, kontroly zabezpečení a artefakty vyhovující předpisům do procesu sestavení. ACR – Správa artefaktů OCI

Výsledky

Výhody

  • Rychlé zaškolení pro nové týmy, které mohou využívat zabezpečené pipeline ihned po nasazení.
  • Snížení rizika chybných konfigurací, nekonzistentního vynucování nebo lidské chyby
  • Zvýšení pokrytí dodržování předpisů, včetně SBOM a regulačních bran
  • Vylepšení přehledu o využití kanálu, stavu a dodržování zásad
  • Podpora škálovatelných inovací prostřednictvím neustále se vyvíjejících centrálních šablon
  • Zjednodušte podporu, protože nástroje kanálu se spravují a optimalizují vyhrazeným týmem , což technikům umožňuje soustředit se na vývoj produktů.

Kompromisy

  • Standardizace kanálů vyžaduje významnou koordinaci, řízení změn a počáteční investice.
  • Týmy musí migrovat vlastní logiku do paprskových šablon, které můžou odhalit úzce propojené nebo zastaralé návrhy kanálů.
  • Ne každý hraniční případ se podporuje a vyžaduje rovnováhu mezi flexibilitou a zabezpečením, ale dlouhodobé zisky převáží nad počátečními výzvami.

Klíčové faktory úspěchu

Organizace můžou úspěch sledovat pomocí následujících indikátorů:

  • Procento aktivních kanálů využívajících řízené šablony
  • Pokrytí generování SBOM ve všech produkčních sestaveních
  • Počet potrubí procházejících a neprocházejících branami pro dodržování předpisů
  • Čas použít nové zásady nebo aktualizace zabezpečení ve všech kanálech
  • Počet lístků podpory nebo chyb souvisejících s nekonzistencí procesního toku nebo chybnou konfigurací

Shrnutí

Přečtěte si, jak Microsoft transformuje vývojové kanály na systémy, které jsou určené pro zabezpečení a které jsou připravené k dalšímu kroku.

  • Last updated on