DevSecOps

Интегрируйте средства безопасности во все аспекты жизненного цикла программного обеспечения.

Ознакомьтесь с документацией

Ознакомьтесь с продуктами и службами Майкрософт, которые обеспечивают безопасность DevOps

Из-за роста числа киберугроз команды, которые разрабатывают и эксплуатируют приложения, каждый день сталкиваются с новыми сложными задачами. Узнайте о комплексном решении корпорации Майкрософт для обеспечения DevSecOps — безопасной методики DevOps — для разработки приложений в облаке (и любом другом расположении) с использованием Azure и GitHub.

Создание и эксплуатация безопасных приложений — это работа, требующая участия всех подразделений, от разработчиков до сотрудников служб эксплуатации и поддержки.

Концепция обеспечения безопасности со "сдвигом влево" предполагает, что команды разработчиков получают возможность включать меры безопасности на самых ранних этапах планирования и разработки вплоть до упаковки и развертывания приложения, а также отвечают за внедрение этих мер.

Этот сдвиг в равной степени касается культуры и инструментов, и Майкрософт может предоставить необходимые продукты и службы из Azure и GitHub.

Почти все новые приложения создаются с использованием кода, написанного сторонними разработчиками, включая компоненты с открытым кодом, как минимум в некоторых формах. Это приносит очевидные преимущества, такие как более высокая производительность и улучшенная совместная работа. Но при этом также возникают проблемы, связанные с контролем и обеспечением безопасности цепочки поставок программного обеспечения.

Microsoft и GitHub предлагают решения, благодаря которым вы обретете уверенность в коде, который выполняется в рабочей среде, проверив этот код и обеспечив его прослеживаемость вплоть до рабочих элементов и сведений об используемых компонентах сторонних разработчиков.

В Azure можно использовать обширный набор служб, которые сделают работу с вашим приложением более удобной и безопасной.

Запускайте свой код на управляемых платформах приложений, включая Kubernetes, и используйте надежные службы для безопасного управления ключами, маркерами и секретами. Получите больше уверенности в безопасности своей среды с помощью политик. Обеспечьте бесперебойное и безопасное выполнение операций, применяя решения для мониторинга в реальном времени для своих приложений и инфраструктуры.

Строгий контроль доступа часто является первым этапом защиты приложения, кода и инфраструктуры. Azure предлагает лучшие службы идентификации как для пользователей внутри вашей организации, так и для внешних потребителей, обращающихся к вашим приложениям.

Используйте нашу платформу идентификации для безопасного доступа к коду в GitHub, детализированного управления разрешениями для ресурсов Azure и даже предоставления служб проверки подлинности и авторизации для приложений.

Используйте полный комплексный набор продуктов и служб

Или выберите только те, которые больше всего подходят вам

Безопасные приложения начинаются с безопасного кода. Но защиты кода часто бывает недостаточно. Уверенное управление цепочкой поставок программного обеспечения так же важно, как и обеспечение безопасности кода.

GitHub, наиболее популярная платформа для разработчиков в мире, предлагает расширенные возможности для защиты кода и зависимостей приложения:

  • выявление уязвимостей кода в GitHub Advanced Security с помощью CodeQL — ведущего механизма семантического анализа кода в отрасли;
  • выявление и устранение проблем безопасности в зависимостях с помощью оповещений системы безопасности и автоматических обновлений для системы безопасности (Dependabot);
  • получение оповещений в результате сканирования секретов, когда учетные данные и маркеры по ошибке фиксируются в системе управления версиями.

Благодаря использованию Azure Pipelines для непрерывной интеграции код компилируется и упаковывается в контейнер Docker при каждой фиксации и автоматически развертывается в тестовой среде с помощью Azure Dev Spaces.

Кроме того, возможности непрерывной поставки Azure Pipelines позволяют уверенно создавать готовые к применению в рабочей среде образы контейнеров с полной сквозной прослеживаемостью. Вы можете отслеживать фиксации, рабочие элементы и артефакты каждого образа, чтобы получить полное представление о коде, выполняемом в вашей среде.

Рабочие образы контейнеров хранятся в Реестре контейнеров Azure, где они автоматически проверяются на наличие уязвимостей благодаря интеграции с Центром безопасности Azure.

Служба AKS предоставляет кластер Kubernetes, который обслуживает и защищает корпорация Майкрософт.

Кластер AKS можно развернуть непосредственно из конвейера CI/CD, используя решения "инфраструктура как код", например Terraform.

Интегрируйте с AKS службу Политика Azure, чтобы обеспечить соответствие операций требованиям.

Для сред разработки и тестирования служба Azure Dev Spaces может подготавливать тестовый кластер Kubernetes для каждой сборки, а также в ответ на запрос на вытягивание.

Для защиты при хранении ключей, сертификатов, маркеров и других секретов приложений можно использовать Azure Key Vault, чтобы приложения могли загружать их во время выполнения. Это гораздо безопаснее, чем включать эти сведения в код приложений.

Независимо от того, какое приложение вы создаете — внешнее или предназначенное для внутреннего применения в компании, — вы можете использовать Azure Active Directory (Azure AD) для безопасного управления удостоверениями и доступом.

Используйте Azure AD для проверки подлинности в каталоге вашей организации, применяя расширенные функции безопасности, такие как Многофакторная идентификация, Защита идентификации и отчеты об аномальных действиях.

Для внешних приложений Azure AD B2C обеспечивает удобное управление проверкой подлинности и авторизацией внешних пользователей, в том числе с помощью учетных записей из социальных сетей.

Azure AD также защищает доступ к ресурсам Azure и порталу Azure благодаря детализированному контролю доступа на основе ролей.

С помощью Azure Monitor вы можете отслеживать в реальном времени как приложение, так и инфраструктуру, выявляя проблемы с кодом, а также подозрительные действия и аномалии.

Azure Monitor интегрируется с конвейерами выпуска в Azure Pipelines для автоматического утверждения проверок качества или отката выпусков на основе данных мониторинга.

Подробнее о продуктах и службах DevSecOps

Интересуетесь DevOps? Просмотрите решения DevOps от Майкрософт

Подробнее

DevSecOps в Azure

Обеспечение безопасности — первоочередная задача для компании, в которой хранятся какие-либо пользовательские или клиентские данные. Решение, которое включает интерфейс для этих данных и управление ими, должно разрабатываться с учетом требований безопасности. Методика DevSecOps включает рекомендации по обеспечению безопасности на начальных этапах разработки, смещая фокус с аудита на финальных этапах на защиту в ходе разработки в самом начале с использованием стратегии "сдвига влево".

Готовы приступить к работе с DevSecOps?

Ознакомьтесь с документацией