OWASP DevSecOps Guideline

La OWASP DevSecOps Guideline spiega come implementare una pipeline sicura, utilizzare le best practice e introdurre strumenti che possiamo usare in questo ambito. Inoltre, il progetto cerca di aiutarci a promuovere la cultura della sicurezza shift-left nel nostro processo di sviluppo. Questo progetto aiuta aziende di qualsiasi dimensione che dispongono di una pipeline di sviluppo o, in altre parole, di una pipeline DevOps. Durante questo progetto cerchiamo di delineare una prospettiva di pipeline DevOps sicura e poi di migliorarla in base ai nostri requisiti personalizzati.

L'obiettivo ideale è "rilevare i problemi di sicurezza (di progettazione o vulnerabilità applicative) il prima possibile."

Passi iniziali

Il DevSecOps consiste essenzialmente nell'integrare la sicurezza nel DevOps. Ma per stare al passo con il ritmo di CI/CD, la sicurezza deve essere introdotta fin dalle prime fasi di scrittura e test del software.

OWASP Proactive Controls elenca i 10 controlli di sicurezza principali che ogni sviluppatore deve implementare durante la scrittura di qualsiasi applicazione. Considera questo set come punto di partenza quando devi progettare, scrivere o testare codice nel ciclo DevSecOps.

Puoi anche seguire l'OWASP Software Assurance Maturity Model (SAMM) per stabilire cosa considerare per i requisiti di sicurezza (e non solo) in base al tuo livello di maturità.

Cosa aggiungere a una pipeline

Inizialmente, consideriamo di implementare i seguenti passaggi in una pipeline di base:

• Scansione dei repository git per individuare potenziali fughe di credenziali.
• SCA (Software Composition Analysis)
• SAST (Static Application Security Test)
• Scansione IaC (scansione del codice Terraform, HelmChart per individuare errori di configurazione)
• Sicurezza della supply chain del software (SBOM, firma degli artefatti e provenienza, sicurezza della pipeline CI/CD)
• IAST (Interactive Application Security Testing)
• Sicurezza API
• DAST (Dynamic Application Security Test)
• CNAPP (Cloud Native Application Protection)
• Scansione dell'infrastruttura
• Scansione continua da altri strumenti
• Verifica di conformità
• Sicurezza di AI/LLM e governance dell'AI (proteggere lo sviluppo assistito dall'AI e le funzionalità basate sull'AI)

Possiamo personalizzare i passaggi della nostra pipeline in base al nostro Software Development Life Cycle (SDLC) o all'architettura software e aggiungere automazione progressivamente se siamo all'inizio. Ad esempio, possiamo passare da SAST/DAST a una suite di test regolare con controlli di sicurezza integrati o aggiungere uno script di audit che verifichi le dipendenze vulnerabili note.

CI/CD è un vantaggio per SecOps, un punto di ingresso privilegiato per misure e controlli di sicurezza. Tuttavia, quando si utilizzano strumenti CI/CD per fornire automazione, tieni presente che gli strumenti stessi spesso ampliano la superficie d'attacco, quindi applica controlli di sicurezza al software di build, deployment e automazione.

---

Indice dei contenuti

• 0-Intro
  • 0-1-Intro
  • 0-2-Overview
  • 0-3-Frameworks-and-Standards
• 1-People
  • 1-1-Shape-the-team
    • 1-1-1-Security-champions
    • 1-1-2-Roles-and-Responsibilities
  • 1-2-Training
    • 1-2-1-Secure-coding
    • 1-2-2-Security-CICD
    • 1-2-3-Security-culture-and-awareness
• 2-Process
  • 2-1-Design
    • 2-1-1-Threat-modeling
    • 2-1-2-Secure-design-and-requirements

---

La pagina del progetto sul sito OWASP è disponibile all'indirizzo OWASP DevSecOps Guideline Project.