Shift-left-beveiliging verkennen
De shift-left aanpak wordt niet alleen aanbevolen met betrekking tot testen. Hetzelfde idee strekt zich uit tot het gebied van beveiliging. De principes van DevSecOps zijn bedoeld om de betekenis van het integreren van beveiliging in elke fase van DevOps (te beginnen met planning en ontwikkeling), op de manier die soms continue beveiliging wordt genoemd. De organisatie die in ons voorbeeldscenario wordt beschreven, is goed op de hoogte van de gevolgen van het negeren van deze principes. In deze les bekijkt u de betekenis van de shift-left-benadering voor beveiliging en de aanbevolen manieren om deze te implementeren.
Wat is shift-left beveiliging?
In de context van beveiliging vertaalt shift-left zich in het introduceren van beveiligingsactiviteiten zo vroeg mogelijk in de processen van de softwarelevenscyclus. Dit begint met het opnemen van beveiliging in softwareontwerp met behulp van bedreigingsmodellering om potentiële toekomstige bedreigingen te identificeren, risico's te beoordelen en risicobeperkingsstrategieën te definiëren. Het proces wordt voortgezet tijdens het ontwikkelen van software door een reeks beveiligingsgerelateerde activiteiten, zoals codebeoordelingen en geautomatiseerde beveiligingstests, te implementeren. Codebeoordelingen moeten beveiligingsgerichte evaluaties bevatten, gericht op beveiligingsfouten, naleving van coderingsstandaarden en potentiële beveiligingsproblemen. Geautomatiseerde beveiligingstests bestaan uit taken zoals SAST (Static Application Security Testing), DYNAMIC Application Security Testing (DAST) en SCA (Software Composition Analysis), die zijn geïntegreerd in CI/CD-pijplijnen (Continuous Integration/Continuous Deployment).
Continue bewaking, die deel uitmaakt van continue beveiliging, is een ander element dat geschikt is voor de shift-left benadering. De implementatie omvat het toepassen van mechanismen voor logboekregistratie, bewaking en reactie op incidenten vanaf het begin van de ontwikkeling.