DevSecOps

Integreer beveiliging in elk aspect van de levenscyclus van softwarelevering.

De documentatie lezen

Maak kennis met de Microsoft-producten en -services die het werken met beveiligde DevOps mogelijk maken

In een tijd waarin cyberbedreigingen alleen maar toenemen, krijgen teams die toepassingen bouwen en uitvoeren, elke dag weer met nieuwe grote uitdagingen te maken. Ontdek hoe Microsoft een volledige oplossing biedt om DevSecOps of beveiligde DevOps te gebruiken voor apps in de cloud (of waar dan ook) met Azure en GitHub.

Het bouwen en uitvoeren van beveiligde toepassingen is een activiteit waarbij de betrokkenheid van iedereen is vereist: van ontwikkelaars tot operationele teams tot ondersteuningsmedewerkers.

Het concept van naar links verschuivende beveiliging (shift left) stelt als eis dat teams de mogelijkheid wordt geboden om al vroeg in het plannings-, ontwikkel-, verpak- en implementatieproces van de toepassing rekening te houden met beveiligingsoverwegingen, en ze daar verantwoordelijk voor te maken.

Hoewel het hierbij net zo goed om een cultuurverschuiving als over hulpprogramma's gaat, kan Microsoft u helpen met producten en services van Azure en GitHub.

Bijna alle nieuwe toepassingen maken op de een of andere manier gebruik van code die is geschreven door derden, zoals opensource-onderdelen. Hoewel dit duidelijke voordelen biedt, zoals een hogere productiviteit en betere samenwerkingsmogelijkheden, gaat dit ook met een aantal uitdagingen gepaard op het gebied van beheer en beveiliging van uw softwaretoeleveringsketen.

Microsoft en GitHub bieden oplossingen die ervoor zorgen dat code die u in de productieomgeving gebruikt, betrouwbaar is. Zij doen dat door uw code te controleren en door toe te staan dat uw code helemaal kan worden getraceerd tot aan de werkitems en inzichten over de onderdelen van derden die worden gebruikt.

Met Azure kunt u gebruikmaken van een uitgebreide reeks services die ervoor zorgt dat u eenvoudiger en veiliger met uw toepassing kunt werken.

Voer uw code uit op beheerde toepassingsplatforms, waaronder Kubernetes, en maak gebruik van vertrouwde services om uw sleutels, tokens en geheimen veilig te beheren. Vergroot het vertrouwen in de beveiliging van uw omgeving met behulp van beleidsregels. Zorg er vervolgens voor dat al uw bewerkingen soepel verlopen en zijn beveiligd door gebruik te maken van realtime-bewakingsoplossingen voor uw toepassingen en infrastructuur.

Strikt toegangsbeheer is de eerste stap op weg naar de bescherming van uw toepassing, uw code en infrastructuur. Azure biedt toonaangevende identiteitsservices, zowel voor gebruikers binnen uw organisatie als voor externe consumenten die toegang hebben tot uw toepassingen.

Maak gebruik van ons identiteitsplatform voor het beveiligen van de toegang tot uw code op GitHub, om machtigingen voor Azure-resources op detailniveau te beheren en zelfs om verificatie- en autorisatieservices voor uw toepassingen aan te bieden.

Maak gebruik van een volledige, end-to-end reeks producten en services

Of kies alleen de producten en services die voor u het meest relevant zijn

Veilige toepassingen beginnen met veilige code, maar alleen uw code beveiligen is vaak niet voldoende. Uw softwaretoeleveringsketen beheren voor betrouwbaarheid is net zo belangrijk als uw code beveiligen.

GitHub is het populairste ontwikkelplatform ter wereld. Het biedt geavanceerde functies waarmee u de code en afhankelijkheden van uw app kunt beveiligen:

  • GitHub Advanced Security maakt gebruik van CodeQL, de in de branche toonaangevende engine voor semantische codeanalyse, om beveiligingsproblemen in uw code op te sporen.
  • Identificeer en herstel beveiligingsproblemen in uw afhankelijkheden met behulp van beveiligingswaarschuwingen en geautomatiseerde beveiligingsupdates (Dependabot).
  • Ontvang waarschuwingen bij geheim scannen wanneer referenties en tokens per ongeluk worden doorgevoerd in broncodebeheer.

Als Azure Pipelines wordt gebruikt voor continue integratie, wordt bij elke doorvoering uw code gecompileerd, in een Docker-container verpakt en met Azure Dev Spaces automatisch naar een testomgeving geïmplementeerd.

Daarnaast kunt u met de mogelijkheden van Azure-Pipelines voor continue levering betrouwbare bedrijfsklare containerinstallatiekopieën bouwen, met volledige, end-to-end traceerbaarheid. U kunt het traject traceren tot aan de doorvoeringen, werkitems en artefacten van elke installatiekopie, om een beter beeld te krijgen van alle code die in uw omgeving wordt uitgevoerd.

Installatiekopieën van productiecontainers worden opgeslagen in Azure Container Registry, waar ze automatisch worden gescand op beveiligingsproblemen dankzij de integratie met Azure Security Center.

AKS biedt een Kubernetes-cluster dat wordt onderhouden en beveiligd door Microsoft.

U kunt uw AKS-cluster rechtstreeks vanuit uw CI/CD-pijplijn implementeren met behulp van infrastructure-as-code-oplossingen, zoals Terraform.

Integreer Azure Policy met AKS om ervoor te zorgen dat de bewerkingen compatibel zijn.

Voor ontwikkel- en testomgevingen kan met Azure Dev Spaces voor elke compilatie een Kubernetes-testcluster worden ingericht als reactie op een pull-aanvraag.

Uw toepassingen kunnen gebruikmaken van Azure Key Vault om veilig sleutels, certificaten, tokens en andere geheimen op te slaan, zodat uw toepassingen ze tijdens runtime kunnen laden. Dit is een veiliger alternatief dan ze op te nemen in de code van uw toepassingen.

Het doet er niet toe of u een app voor externe gebruikers of een interne Line-Of-Business-app bouwt, u kunt altijd gebruikmaken van Azure Active Directory (Azure AD) om identiteits- en toegangsbeheer veilig te beheren.

Gebruik Azure AD om verificatie uit te voeren op basis van de adreslijst van uw organisatie, waarbij wordt gebruikgemaakt van geavanceerde beveiligingsfuncties, zoals Multi-Factor Authentication, Identity Protection en rapporten over afwijkende activiteiten.

Voor apps voor externe gebruikers kunt u met Azure AD B2C de verificatie en autorisatie van externe gebruikers eenvoudig beheren, zelfs met behulp van sociale accounts.

Azure AD beschermt ook de toegang tot uw Azure-resources en Azure Portal, dankzij nauwkeurig op rollen gebaseerd toegangsbeheer.

Met Azure Monitor kunt u zowel uw toepassing als infrastructuur in real time bewaken, problemen in uw code evenals mogelijke verdachte activiteiten en afwijkingen opsporen.

Azure Monitor kan worden geïntegreerd met releasepijplijnen in Azure Pipelines om automatische goedkeuring van de kwaliteit na het bereiken van een bepaalde mijlpaal mogelijk te maken of een release terug te draaien op basis van bewakingsgegevens.

Meer informatie over DevSecOps-producten en -services

Hebt u interesse in DevOps? Bekijk de DevOps-oplossingen van Microsoft

Meer informatie

DevSecOps in Azure

Beveiliging is een van de belangrijkste zorgen van bedrijven die aangepaste gegevens of klantgegevens van welke soort dan ook bewaren. De oplossing die wordt gebruikt voor het beheren van deze gegevens en er als interface voor dient, moet worden ontwikkeld met beveiliging in gedachte. DevSecOps houdt in dat er, door een 'shift-left'-strategie toe te passen, vanaf het begin van de ontwikkelingsfase best practices voor beveiliging worden gebruikt, waarbij de focus op beveiliging verschuift van controles aan het einde naar ontwikkeling aan het begin.

Bent u klaar om aan de slag te gaan met DevSecOps?

De documentatie lezen