Expertise DevSecOps

Le DevSecOps, c'est quoi ?

Le DevOps a permis de rapprocher les développeurs et les responsables des opérations pour livrer plus vite et de façon plus fiable. Mais, bien souvent, la sécurité a été laissée de côté.

Le DevSecOps n'est autre que l'ajout de ce manque dans le cycle DevOpsEnsemble de techniques permettant l'intégration, les tests et le déploiement d'une application.. L'idée est d'embarquer la sécurité dès le début des projets via de nouveaux outils et d'autres automatismes intégrés en plus aux chaînes CI/CD.

Pourquoi intégrer la sécurité dans le DevOps ?

Au sein d'un système d'information, il est essentiel de sécuriser l'ensemble des couches applicatives, depuis l'authentification jusqu'à la machine sur laquelle l'application est exécutée.

Bien souvent, on retrouve des projets informatiques pour lesquels la vérification du respect des bonnes mesures de sécurité n'est auditée qu'à la livraison finale du projet. Malheureusement, c'est trop tard ! Au même titre qu'une fonctionnalité mal pensée a de grands impacts, une faille de sécurité pourrait remettre en question une partie, voire la totalité du projet informatique.

Par exemple, une authentification défaillante identifiée en fin de projet oblige à repenser l'ensemble du système. En revanche, si cette faille est détectée dès la phase de développement, il devient possible de corriger le tir et de mettre en place une solution plus robuste, avant que cela n'ait un impact majeur sur le projet. C'est tout l'intérêt d'intégrer la sécurité dès les premières étapes du développement !

Le DevSecOps permet :

• D'identifier les failles dès le développement (analyse du code, analyse des dépendances) ;
• D'empêcher la livraison de failles de sécurité (scans de conteneurs, vérification de configurations d'infrastructure IaC) ;
• De former les équipes à la sécurité (en étant constamment contrôlées sur le sujet, les équipes monteront naturellement en compétence).

Pourquoi le DevSecOps devient indispensable ?

De plus en plus, les SI englobent les notions de cloud, de conteneurs, de déploiements automatisés, qui sont complexes à maitriser de bout en bout même pour des initiés ! Aussi, ce n'est pas rare de voir dans les entreprises des personnes habilitées à construire des infrastructures, alors qu'elles ne sont pas toujours expertes de ces sujets. Et cela pose un soucis car on retrouve un SI avec une surface d'attaque qui explose !

Pour vous donner quelques exemples, voici quelques de failles que l'on pourrait retrouver :

• Une dépendance vulnérable ajoutée via npm ;
• Un secret (token API, mot de passe) poussé par erreur dans un Git ;
• Un cluster Kubernetes exposé sans sécurité ;
• Une configuration Terraform permissive ;

Et tout cela, sans surveillance… c'est la porte ouverte aux pirates ! C'est là que le DevSecOps prend tout son sens !

L'intégration des outils DevSecOps dans nos projets

Tout comme le DevOps, il existe une quantité affolante d'outils pour vérifier la sécurité. Et chaque outil est spécialisé dans un type d'analyse en particulier. Parmi les analyses possibles, on retrouve :

• L'analyse de code statique : pour identifier des failles de code.
• L'analyse des dépendances : pour trouver des dépendances avec des failles de sécurité.
• L'analyse d'image de conteneurs : pour trouver des failles dans les images.
• La détection de secrets : pour chercher d'éventuels secrets dans le projet.
• Les tests de sécurité dynamiques : pour vérifier que l'application est protégée contre les attaques en les simulant.
• La sécurité des Infrastructure-as-Code (IaC) : pour vérifier la conformité et la sécurité des infrastructures.
• La surveillance des logs : pour remonter un usage malveillant de l'application.

Nos convictions d'experts DevSecOps

Grâce à notre expérience sur de nombreux projets à Lyon et en France, nous avons pu nous forger 3 grandes convictions :

• Automatiser la sécurité : une sécurité manuelle est souvent contournée et ignorée. L'automatisation permet d'imposer des standards !
• Inclure la sécurité dans le cycle de vie du projet : une sécurité réfléchie tout au long d'un projet est un aspect primordial pour sa réussite.
• Former les équipes : le DevSecOps n'est pas qu'une question d'outils. Il faut accompagner les équipes dans la compréhension des bonnes pratiques.

Expertise DevSecOps à Lyon – AXOPEN

Chez AXOPEN, la sécurité des applications que nous produisons et maintenons est quelque chose de primordial. Tous nos projets informatiques sont analysés et audités régulièrement. Nous accompagnons aussi nos clients dans l'intégration des pratiques DevSecOps sur leurs projets, et plus largement, au sein de leur SILe SI désigne le système d'informations d'une organisation..

Nous sommes capables de vous accompagner sur :

• La mise en place d'une chaîne DevSecOps : état des lieux, choix d'outils et mise en place des outils
• L'optimisation de votre démarche DevSecOps : challenge de la démarche et des outils existants, pour optimiser le DevSecOps et vos outils au sein de votre SI
• La formation des équipes au DevSecOps : retour d'expérience, audits internes, formations

Vous avez un projet ou vous souhaitez renforcer la sécurité de vos développements ? Nos experts DevSecOps à Lyon peuvent vous accompagner pour sécuriser vos livraisons sans ralentir vos équipes.