DevOps-sikkerhed: Stresstest for kultur og teknologi

Med DevOps udvikler softwareudvikling (Dev) og drift (Ops) sammen. Værktøjer til procesautomatisering, kontinuerlig integration og teamwork mellem Dev- og Ops-enheder fremmer effektiviteten i hele udviklingsprocessen. Agil udvikling har ikke kun fordele som høj softwarekvalitet, innovationsevne og hurtig udrulning, men også en bagside: Isolerede sikkerhedsmodeller bliver mindre effektive, fordi sikkerhedstjek og optimeringer nu skal omfatte hele DevOps-livscyklussen skal interagere med hinanden.

DevSecOps har etableret en model, der betragter sikkerhedsaspekter og -procedurer som en integreret del af udviklingsprocessen helt fra begyndelsen i stedet for at behandle dem som en separat fase eller efterbehandling, som det tidligere var tilfældet.
Målet er at identificere og løse sikkerhedshuller på et tidligt tidspunkt på trods af det heterogene samarbejde mellem devs og ops og at være i stand til at træffe forebyggende foranstaltninger. Det skaber ikke kun en kultur med fælles ansvar, men sikkerhedsforanstaltninger og -værktøjer dækker nu også hele DevOps-livscyklussen.

Det begynder med design og definition af sikkerhedskrav og mål samt valg af passende arkitektur og teknologier. Gennemprøvet metoder, værktøjer og ressourcer er også etableret i Azure Cosmos. Først og fremmest omfatter dette Microsoft Security Development Lifecycle (SDL). SDL integrerer sikkerhedsstrategier og -procedurer i alle faser af udviklingsprocessen, fra planlægning, design og implementering til test og vedligeholdelse. For at reducere sårbarheder over for angreb i udviklingsfasen har værktøjer som Microsoft Security Code Analysis Tools bevist deres pålidelighed. De gør det muligt automatisk og løbende at tjekke den udviklede kode for sårbarheder og rette dem, før applikationen implementeres i produktionsmiljøet.

Når udrulningen er defineret i specifikationerne, anbefales en kontinuerlig integrations- og udrulningsproces (CI/CD). Den omfatter sikkerhedstests og -kontroller for hvert trin: Tjenester som Microsoft Azure DevOps Services kan f.eks. bruges til at oprette og administrere processen, mens komponenter som Microsoft Azure Security Center beskytter og overvåger applikationerne og infrastrukturen i clouden.

Når det er sagt er det også nødvendigt med nye sikkerhedsstrategier, når det gælder implementering af containerteknologier og mikrotjenester. Følgende værktøjer bruges generelt til at identificere og eliminere sårbarheder i containerimages og mikrotjenester:

• Microsoft Azure Container Registry bruger pålidelige kilder til container images og inkluderer regelmæssige opdateringer for at lukke kendte sårbarheder.
• Microsoft Azure Defender for Container Registries scanner containerimages for sårbarheder, før de kommer ind i CI/CD-uprocessen.
• Microsoft Azure Kubernetes Service (AKS) bruges til at implementere sikkerhedspolitikker og regler for orkestrering og udførelse af containere.
• Microsoft Azure Monitor og Azure Sentinel er velegnede til at overvåge status og adfærd for containere samt mikrotjenester og reagere på uregelmæssigheder.

Endelig er sikre lagringssteder som Microsoft Azure Key Vault blevet populære til at administrere og beskytte adgangen til og brugen af følsomme oplysninger i DevOps-processen. Ved at kombinere Azure Key Vault med DevOps-værktøjer som Azure DevOps Services kan DevOps-teams automatisere autentificeret adgang til følsomt indhold under udviklings- og udrulningsprocessen.

Microsoft har også forberedt en pakke til at beskytte DevOps-infrastrukturen mod potentielle trusler som DDoS-angreb og andre cyberangreb. Disse løsninger omfatter Microsoft Azure DDoS Protection. Den muliggør adaptiv og intelligent registrering og forsvar mod angreb, der er rettet mod normale trafikmønstre for applikationer. Derudover giver Microsoft Azure Firewall mulighed for at filtrere og overvåge den indgående og udgående datatrafik fra Azure-ressourcer. Filtrering og logning af trafik følger forskellige kriterier, f.eks. applikationer, protokoller, porte, kilder og destinationer, hvilket sikrer centraliseret netværkssikkerhedskontrol for DevOps-infrastrukturen. Et andet vigtigt skridt i retning af at beskytte moderne DevOps-miljøer er Microsoft Azure Sentinel. Den cloud baserede SIEM-platform (Security Information and Event Management) indsamler sikkerhedsdata fra forskellige kilder, analyserer dem ved hjælp af kunstig intelligens (AI) og maskinlæring (ML) og visualiserer dem til omfattende sikkerhedsovervågning og -analyse.

For at sikre sikkerheden i API'er og andre grænseflader bruger udviklingsteams ofte Microsoft Azure API Management, Azure Application Gateway og Microsoft Entra ID. Disse tjenester dækker en lang række funktioner, herunder centraliseret administration, beskyttelse mod webtrusler og identitetsstyring. Desuden kan Microsoft Azure DevOps Services bruges til at udføre forskellige tests som f.eks. statisk kodeanalyse, dynamiske applikationssikkerhedstests og penetrationstests.

Endelig gør Azure Security Center det muligt at overvåge og afhjælpe sikkerhedsrisici og sårbarheder i DevOps-ressourcer. For at håndtere sikkerhedsrisici i forbindelse med open source-komponenter og frameworks anbefales det at bruge Microsoft Azure Defender for App Service til regelmæssigt at scanne efter kendte sårbarheder og Azure Application Insights til at overvåge og forbedre applikationens ydeevne og pålidelighed. Endelig anbefales det at integrere løsninger som Microsoft Azure Sentinel, Azure Backup og Azure Site Recovery til incident response og disaster recovery i DevOps-miljøet.

Det, der er sikkert er, at DevSecOps er afgørende, hvis agile udviklingsmetoder rent faktisk skal bruges til forretningskritiske formål. Det er især relevant, fordi sikkerhedstruslerne hele tiden ændre sig i en stadig mere digitaliseret verden. Traditionelle tilgange, hvor sikkerhed kun overvejes til sidst eller i dele af udviklingsprocessen, er ikke længere tilstrækkelige. Ved at integrere "sikkerhed fra starten" i DevOps-livscyklussen identificeres og afhjælpes sårbarheder på et tidligt tidspunkt. DevSecOps fremmer også en proaktiv sikkerhedskultur, hvor udviklere, driftsteams og sikkerhedsteams arbejder sammen for at sikre, at applikationer og systemer er robuste over for sikkerhedstrusler.