Cloud Security Testing v DevOps: Shift-Left bez zpomalení

Skenování Infrastructure-as-Code

Skenujte šablony Terraform, CloudFormation, Pulumi a ARM a odhalte bezpečnostní problémy ještě před nasazením. Nástroje jako checkov, tfsec a KICS vyhodnocují IaC podle bezpečnostních zásad a CIS benchmarků a zachycují chybné konfigurace dříve, než se dostanou do cloudu.

Bezpečnostní brány v Pull Requestech

Integrujte skenování IaC do revizí pull requestů. Bezpečnostní nálezy se zobrazují jako komentáře v PR, čímž blokují sloučení, která zavádějí kritické chybné konfigurace. Tím se bezpečnostní zpětná vazba přesouvá do bodu, kdy se vývojáři již rozhodují – do pull requestu.

Validace za běhu (Runtime)

Skenování IaC zachycuje problémy v kódu. Skenování za běhu zachycuje problémy v nasazené infrastruktuře – včetně odchylek od stavu definovaného IaC, zdrojů vytvořených mimo IaC a ručně upravených konfigurací. Obě vrstvy jsou nezbytné.

Kdy přidat manuální testování

Automatizované nástroje v pipeline zachycují známé vzory. Čtvrtletní manuální Penetration Testing prováděný odborníky na cloudovou bezpečnost – jako jsou praktici společnosti Penetrify – zachycuje řetězce zneužití, útoky napříč službami a architektonické slabiny, které nástroje v pipeline nedokážou identifikovat. Tato kombinace poskytuje rychlost a hloubku.