Red Hat SummitÜberblick
CI/CD-Sicherheit dient dem Schutz von Code-Pipelines durch automatisierte Prüfungen und Tests, um Schwachstellen bei der Softwarebereitstellung zu vermeiden. Die Integration von Sicherheitsaspekten in Ihre Pipeline trägt zum Schutz des Codes vor Angriffen, zur Vermeidung von Datenlecks, zur Compliance mit Richtlinien und zur Qualitätssicherung bei.
Was ist CI/CD?
CI/CD (Continuous Integration, Continuous Delivery und Continuous Deployment) ist eine Folge von oft als Pipeline visualisierten Schritten, die durchgeführt werden müssen, um eine neue Version einer Software zu liefern. CI/CD führt Automatisierung und kontinuierliches Monitoring in die App-Entwicklung ein, mit dem Ziel, menschliche Fehler zu minimieren und einen Prozess zum schnelleren Entwickeln von hochwertigem Code aufrechtzuerhalten.
In der Regel enthalten die zentralen Phasen der CI/CD-Pipeline keine Sicherheitsmaßnahmen, sodass zusätzliche Schritte zur Absicherung des Entwicklungsprozesses unternommen werden müssen.
Häufige Herausforderungen bei der Sicherheit von CI/CD
Die schnelle Entwicklung und Bereitstellung ohne angemessene Sicherheitsvorkehrungen kann die Pipeline Risiken aussetzen, wie etwa den folgenden:
- Offenlegen sensibler Daten gegenüber externen Quellen
- Verwenden von unsicherem Code oder Komponenten von Drittanbietern
- Unbefugter Zugriff auf Quellcode-Repositories oder Build Tools
Das Identifizieren und Beheben von Schwachstellen während des gesamten Entwicklungszyklus stellt sicher, dass Codeänderungen gründlich getestet werden und den Sicherheitsstandards entsprechen, bevor sie in der Produktion bereitgestellt werden.
Warum CI/CD für DevSecOps wichtig ist
DevSecOps (Development, Security und Operations) ist ein Konzept für Unternehmenskultur-, Automatisierungs-, und Plattformdesign, das Sicherheit als gemeinsame Verantwortlichkeit im gesamten IT-Lifecycle integriert. Eine wichtige Komponente von DevSecOps ist das Einführen einer sicheren CI/CD-Pipeline.
CI/CD ist für DevSecOps von zentraler Bedeutung, da es Sicherheitsprüfungen automatisiert und frühzeitig in den Entwicklungsprozess einbindet. So wird ein schnelles Feedback über potenzielle Schwachstellen und ein proaktiver Sicherheitsansatz im gesamten Anwendungs-Lifecycle ermöglicht.
Das Konzept der „Linksverschiebung“ ist ein grundlegendes Prinzip in CI/CD und DevSecOps. Dabei geht es darum, bestimmte sicherheitsorientierte Aufgaben und Aktivitäten früher in den Softwareentwicklungsprozess zu integrieren. Zur Praxis der frühzeitigen Implementierung von Sicherheitsmaßnahmen gehören das Automatisieren von Testverfahren, die nach Sicherheitslücken suchen, das Überprüfen von Codeänderungen, sobald sie vorgenommen werden, und das Fördern einer allgemeinen Kultur des proaktiven Sicherheitsbewusstseins bei Entwicklungs- und Operationsteams.
Schritte zum Sichern einer CI/CD-Pipeline
Planungsphase: Es ist wichtig, in den einzelnen Phasen der Pipeline Sicherheitsprüfungen durchzuführen, damit Ihr Code sicher ist und die Sicherheitsstandards einhält. Der erste Schritt besteht darin, eine Produkt-Roadmap zu entwickeln, anhand derer potenzielle Sicherheitsbedrohungen ermittelt werden können. Dies wird als Bedrohungsmodellierung (Threat Modeling) bezeichnet. Beim Threat Modeling werden potenzielle Schwachstellen ermittelt und Gegenmaßnahmen ergriffen, um diese Risiken zu mindern.
Programmierung: Wenn die Entwicklerinnen und Entwickler mit dem Schreiben des Codes beginnen, stellen Sie sicher, dass der Code entsprechend den vordefinierten Standards und Designrichtlinien geschrieben wird. Verwenden Sie Quellcode-Scanner, um diejenigen Teile des Codes aufzuspüren, die für Sicherheitsbedrohungen anfällig sein könnten.
Entwicklung: Sobald Entwicklerinnen und Entwickler ihren Quellcode in ein gemeinsames Repository übertragen, stellen Sie sicher, dass automatisierte Tests ausgelöst werden, um die Builds auf ihre Übereinstimmung mit den Anforderungen zu überprüfen.
Tests: Sobald ein Build erfolgreich ist, testen Sie die Software auf Fehler. Bei neuen Funktionen werden weitere automatische Tests durchgeführt.
Wie Red Hat helfen kann
Red Hat® OpenShift® ermöglicht Unternehmen den Einsatz von CI/CD zur Automatisierung der Entwicklungs-, Test- und Deployment-Phasen von Anwendungen auf On-Premise- und Public Cloud-Plattformen. Red Hat OpenShift und Red Hat Ansible® Automation Platform sowie Partnertechnologien bilden eine Basis für DevSecOps und unterstützen Sie beim Lösen von Sicherheitsfragen im gesamten Lifecycle Ihrer Container-Anwendung, einschließlich Entwicklung, Deployment und Runtime.
Für einen reibungslosen Geschäftsbetrieb ist es entscheidend, die Softwarelieferkette vor potenziellen Schwachstellen zu schützen. Die Sicherheit der Softwarelieferkette für cloudnative Anwendungen erfordert jedoch häufig einen monatelangen Aufwand für große Engineering- und Entwicklungsteams. Red Hat Trusted Software Supply Chain ist ein Angebot von Cloud Services, mit dem Unternehmen ihren Softwareentwicklungszyklus um zusätzliche Sicherheitsstufen erweitern können, indem sie kritische Schwachstellen bereits am Eintrittspunkt abfangen.
Red Hat Advanced Cluster Security (ACS) für Kubernetes ist die innovative Kubernetes-native Sicherheitsplattform, mit der Unternehmen cloudnative Anwendungen noch sicherer entwickeln, bereitstellen und ausführen können. Die Lösung trägt zum Schutz von containerisierten Kubernetes-Workloads in den meisten Clouds und hybriden Plattformen bei, darunter Red Hat OpenShift, Amazon Elastic Kubernetes Service (EKS), Microsoft Azure Kubernetes Service (AKS) und Google Kubernetes Engine (GKE).
Red Hat Trusted Application Pipeline (im Service Preview) bietet Standard-Pipeline-Definitionen und automatisierte Sicherheitsprüfungen, um SLSA-Level-3-Build-Images (Supply Chain Levels for Software Artifacts) aus Anwendungscode in einer Vielzahl von Programmiersprachen zu erzeugen. Der Build umfasst das Erstellen einer bescheinigten, unveränderlichen Software Bill of Materials (SBOM), die automatisch eine Vertrauenskette für Ihre Open Source-Komponenten und transitive Abhängigkeiten erstellt.
