DevSecOps

Zintegruj zabezpieczenia z każdym aspektem cyklu życia dostarczania oprogramowania.

Przeczytaj dokumentację

Poznaj produkty i usługi firmy Microsoft, które umożliwiają stosowanie bezpiecznej metodyki DevOps

Wraz z rosnącym zagrożeniem cybernetycznym zespoły tworzące i obsługujące aplikacje codziennie stają przed nowymi, trudnymi wyzwaniami. Dowiedz się, w jaki sposób firma Microsoft oferuje kompletne rozwiązanie umożliwiające zastosowanie metodyki DevSecOps lub bezpiecznej metodyki DevOps dla aplikacji w chmurze (i w dowolnym innym miejscu) za pomocą platformy Azure i serwisu GitHub.

Tworzenie i obsługiwanie bezpiecznych aplikacji wymaga zaangażowania wszystkich, od programowania, przez operacje, po pomoc techniczną.

Koncepcja zabezpieczeń metodą shift-left (przesunięcie w lewo) wymaga umożliwienia zespołom wprowadzania zabezpieczeń na wczesnych etapach planowania, przez programowanie, aż po pakowanie i wdrażanie aplikacji, a następnie rozliczenia zespołów z tych zabezpieczeń.

W takim samym stopniu dotyczy to zmiany w myśleniu, jak i w stosowanych narzędziach, i firma Microsoft może pomóc dzięki produktom i usługom na platformie Azure i w serwisie GitHub.

Prawie wszystkie nowe aplikacje są tworzone z wykorzystaniem kodu napisanego przez strony trzecie, w tym składników typu open-source, przynajmniej w pewnych formach. Mimo że zapewnia to wyraźne korzyści w postaci wyższej produktywności i lepszej współpracy, stanowi również wyzwanie związane z kontrolowaniem i zabezpieczaniem łańcucha dostaw oprogramowania.

Firma Microsoft i usługa GitHub oferują rozwiązania, dzięki którym będziesz mieć zaufanie do kodu, który uruchamiasz w środowisku produkcyjnym, ponieważ zapewniają jego inspekcję i możliwość śledzenia aż do poziomu elementów roboczych, a także szczegółowe informacje o używanych składnikach podmiotów trzecich.

Dzięki platformie Azure możesz korzystać z szerokiego zestawu usług, które sprawiają, że obsługa aplikacji jest wygodniejsza i bezpieczniejsza.

Uruchamiaj kod na zarządzanych platformach aplikacji, takich jak Kubernetes, i korzystaj z zaufanych usług w celu bezpiecznego zarządzania kluczami, tokenami i wpisami tajnymi. Zwiększ zaufanie do bezpieczeństwa swojego środowiska za pomocą zasad. Następnie zapewnij bezproblemowe i bezpieczne działanie, wykorzystując rozwiązania do monitorowania w czasie rzeczywistym dla aplikacji i infrastruktury.

Ścisła kontrola dostępu często jest pierwszym krokiem do ochrony aplikacji, kodu i infrastruktury. Platforma Azure oferuje wiodące usługi tożsamości, zarówno dla użytkowników w organizacji, jak i dla klientów zewnętrznych uzyskujących dostęp do Twoich aplikacji.

Skorzystaj z naszej platformy tożsamości, aby zabezpieczyć dostęp do kodu w serwisie GitHub, szczegółowo zarządzać uprawnieniami do zasobów platformy Azure, a nawet oferować usługi uwierzytelniania i autoryzacji dla swoich aplikacji.

Korzystaj z pełnego, kompleksowego zestawu produktów i usług

Możesz też wybrać tylko te, które są dla Ciebie najważniejsze

Bezpieczne aplikacje zaczynają się od bezpiecznego kodu, ale zabezpieczenie kodu to często za mało. Zarządzanie łańcuchem dostaw oprogramowania z poczuciem pewności jest równie ważne, jak zabezpieczenie kodu.

Serwis GitHub, najpopularniejsza platforma deweloperska na świecie, oferuje zaawansowane funkcje, które ułatwiają zabezpieczanie kodu i zależności aplikacji:

  • Zaawansowane zabezpieczenia usługi GitHub wykorzystują rozwiązanie CodeQL, wiodący w branży, semantyczny aparat analizy kodu, w celu identyfikowania luk w zabezpieczeniach kodu.
  • Identyfikuj i rozwiązuj problemy z zabezpieczeniami w zależnościach przy użyciu alertów zabezpieczeń i zautomatyzowanych aktualizacji zabezpieczeń (Dependabot).
  • Otrzymuj alerty funkcji skanowania wpisów tajnych, gdy poświadczenia i tokeny zostaną w wyniku błędu zatwierdzone w kontroli źródła.

Jeśli używasz usługi Azure Pipelines na potrzeby ciągłej integracji, Twój kod jest kompilowany i pakowany do kontenera Docker przy każdym zatwierdzeniu i automatycznie wdrażany w środowisku testowym za pomocą usługi Azure Dev Spaces.

Ponadto funkcje ciągłego dostarczania usługi Azure Pipelines umożliwiają bezpieczne tworzenie obrazów kontenerów gotowych do produkcji z pełną i kompleksową możliwością śledzenia. Możesz śledzić wszystko, aż do poziomu zatwierdzeń, elementów roboczych i artefaktów każdego obrazu, aby zrozumieć cały kod uruchomiony w Twoim środowisku.

Produkcyjne obrazy kontenerów są przechowywane w usłudze Azure Container Registry, gdzie są automatycznie skanowane pod kątem luk w zabezpieczeniach dzięki integracji z usługą Azure Security Center.

Usługa AKS oferuje klaster Kubernetes, który jest obsługiwany i zabezpieczony przez firmę Microsoft.

Klaster AKS można wdrożyć bezpośrednio z potoku ciągłej integracji/ciągłego wdrażania przy użyciu rozwiązań infrastruktury jako kodu, takich jak Terraform.

Usługa Azure Policy jest zintegrowana z usługą AKS, aby zapewnić zgodność operacji z przepisami.

W przypadku środowisk programistycznych i testowych usługa Azure Dev Spaces może aprowizować testowy klaster Kubernetes dla każdej kompilacji i w odpowiedzi na żądanie ściągnięcia.

Aplikacje mogą korzystać z usługi Azure Key Vault w celu bezpiecznego przechowywania kluczy, certyfikatów, tokenów i innych wpisów tajnych, dzięki czemu mogą je ładować w czasie wykonywania. Jest to bezpieczniejsza alternatywa, niż dołączenie ich do kodu aplikacji.

Niezależnie od tego, czy tworzysz aplikację zewnętrzną, czy wewnętrzną aplikację biznesową, możesz skorzystać z usługi Azure Active Directory (Azure AD), aby bezpiecznie zarządzać tożsamościami i kontrolą dostępu.

Za pomocą usługi Azure AD możesz uwierzytelniać się w katalogu organizacji, wykorzystując zaawansowane funkcje zabezpieczeń, takie jak uwierzytelnianie wieloskładnikowe, ochrona tożsamości i raport nietypowych aktywności.

W przypadku aplikacji zewnętrznych usługa Azure AD B2C pozwala wygodnie zarządzać uwierzytelnianiem i autoryzacją użytkowników zewnętrznych — nawet tych, którzy korzystają z kont społecznościowych.

Usługa Azure AD chroni również dostęp do zasobów platformy Azure i do witryny Azure Portal dzięki szczegółowej kontroli dostępu opartej na rolach.

Usługa Azure Monitor umożliwia monitorowanie aplikacji i infrastruktury w czasie rzeczywistym, co pozwala na identyfikowanie problemów z kodem oraz potencjalnie podejrzanych aktywności i anomalii.

Usługa Azure Monitor jest zintegrowana z potokami wydań w usłudze Azure Pipelines, co umożliwia automatyczne zatwierdzanie bram jakości lub wycofywanie wydań na podstawie danych monitorowania.

Dowiedz się więcej o produktach i usługach DevSecOps

Interesuje Cię metodyka DevOps? Zobacz rozwiązania DevOps od firmy Microsoft

Dowiedz się więcej

DevSecOps na platformie Azure

Bezpieczeństwo jest fundamentalną kwestią dla firm, które przechowują jakiekolwiek dane niestandardowe lub dane klientów. Rozwiązanie obejmujące zarządzanie tymi danymi i ich interfejs należy opracowywać z myślą o bezpieczeństwie. Metodologia DevSecOps obejmuje korzystanie z najlepszych rozwiązań w zakresie zabezpieczeń już od początku opracowywania: polega to na przeniesieniu nacisku na zabezpieczenia z etapu inspekcji na końcu do etapu opracowywania na początku przy użyciu strategii shift-left.

Chcesz rozpocząć pracę z metodyką DevSecOps?

Przeczytaj dokumentację