Qu'est-ce que DevSecOps ?
What is DevSecOps?
DevSecOps is an augmentation of DevOps with security integrated into the DevOps approach. It has been growing in recent years as producing secure software is becoming a top priority for companies.
DevSecOps est une augmentation de DevOps avec la sécurité intégrée dans l'approche DevOps. Il s'est développé ces dernières années, la production de logiciels sécurisés devenant une priorité absolue pour les entreprises.
summarization
DevSecOps est une extension de DevOps qui permet d'intégrer les pratiques de sécurité dans l'approche DevOps. Contrairement à un modèle traditionnel d'équipe de sécurité centralisée, chaque équipe de livraison est habilitée à prendre en compte les contrôles de sécurité corrects dans leur livraison de logiciels. Les pratiques et les tests de sécurité sont effectués plus tôt dans le cycle de développement, d'où l'expression "shift left". La sécurité est testée dans trois domaines principaux : statique, composition du logiciel et dynamique.

La vérification statique du code par le biais de tests statiques de sécurité des applications (SAST) est un test "boîte blanche" qui met l'accent sur la sécurité. Selon le langage de programmation, différents outils sont nécessaires pour effectuer cette analyse statique du code. La composition du logiciel est analysée, en particulier les bibliothèques et leurs versions sont vérifiées par rapport aux listes de vulnérabilités publiées par le CERT et d'autres groupes d'experts. Lors de la distribution d'un logiciel à des clients, les licences et leur correspondance avec celle du logiciel distribué sont examinées, en particulier les licences de type "copyleft". Les tests dynamiques sont également appelés tests en boîte noire. Le logiciel est testé sans connaître ses fonctions internes. Dans DevSecOps, on parle de test dynamique (DAST) ou de test de pénétration. L'objectif est de détecter, entre autres, des erreurs telles que le cross-site scripting ou l'injection SQL à un stade précoce. Les types de menaces sont par exemple publiés par le projet ouvert de sécurité des applications web, comme son TOP10. D'autre part, en particulier avec les microservices, les tests d'application interactifs (IAST) sont utiles pour vérifier quel code est exécuté lors de l'exécution de tests fonctionnels automatisés, l'accent étant mis sur la détection des vulnérabilités au sein des applications. Contrairement au SAST et au DAST, l'IAST travaille à l'intérieur de l'application.

DevSecOps a également été décrit comme un changement culturel impliquant une approche holistique de la production de logiciels sécurisés en intégrant l'éducation à la sécurité, la conception sécurisée et l'automatisation de la sécurité.
fr