TREN
Görüşme PlanlayınGörüşme Planlayın

Uygulama ve Yazılım Güvenliği

DevSecOps ve Yazılım Tedarik Zinciri Güvenliği

Kendi yazılımını geliştiren kurumlarda CI/CD hattı, üretime en kısa yoldur. Bu hatta kimlerin kod değiştirebildiğini inceliyoruz. Yayınlanan paketin gerçekten sizin derlediğiniz paket olduğunu doğruluyoruz. Güvenlik kontrollerini hatta kalıcı olarak entegre ediyoruz.

CI/CD Hattınızı İnceleyelimTüm Hizmet Alanları

DevSecOps ve Yazılım Tedarik Zinciri

CI/CD hattını ele geçiren bir saldırgan, incelenmemiş kodu üretime ve müşterilere gönderebilir. BDDK, kod ortamlar arasında taşınırken yetkisiz eklemeleri önleyen bütünlük kontrolleri ister.

İhtiyaç

Hangi durumlarda ihtiyaç duyulur?

  • AB pazarına yazılım içeren bir ürün sunduğunuzda. Siber Dayanıklılık Tüzüğü, aktif olarak istismar edilen zafiyetlerin bildirilmesini zorunlu kılar.
  • Kurumsal bir müşteri veya ihale yazılım bileşen listesi (SBOM) istediğinde.
  • Kullandığınız bir kütüphanede kritik bir zafiyet duyurulduğunda ve etkilenen ürünleri hızla bulmanız gerektiğinde.
  • Ekipler büyüyüp kimin neyi üretime gönderdiği belirsizleştiğinde.

Sorular

Bu çalışma neyi yanıtlar?

  1. CI/CD hattının kimlik bilgileri ele geçirilirse, incelenmemiş kod üretime ulaşabilir mi?
  2. Yayınladığımız her paketin hangi kaynaktan derlendiğini kanıtlayabiliyor muyuz?
  3. Bir bileşende zafiyet duyurulduğunda, etkilenen ürünleri ne kadar sürede buluruz?
  4. Güvenlik testleri gerektiğinde yayını durdurabiliyor mu?

DevSecOps ve Yazılım Tedarik Zinciri

Neler yapıyoruz

  • Güvenli Yazılım Geliştirme Yaşam Döngüsü (SSDLC)

    Tasarımdan yayına kadar her aşamada neyin kontrol edileceğini ve kimin onaylayacağını belirleriz.

  • CI/CD Hattı Güvenliği

    CI/CD hattının yetkilerini ve secret'larını yeniden düzenleriz. Amaç, ele geçirilen tek bir hesabın üretime ulaşamamasıdır.

  • Kaynak Kod Deposu Güvenliği

    Korumalı branch kurallarını ve zorunlu kod incelemesini kurarız. Kimse üretime tek başına kod gönderemez.

  • SAST, DAST ve SCA Entegrasyonu

    Her analizi hattın doğru aşamasına entegre ederiz. Hangi bulgunun yayını durduracağını kurallarla belirleriz.

  • Konteyner İmajı ve Registry Güvenliği

    Üretime yalnızca onaylı ve imzalı konteyner imajlarının alınmasını sağlarız.

  • Kod Olarak Altyapı (IaC) İncelemesi

    Altyapı kodundaki riskli izin ve ayarları, ortam kurulmadan önce tespit ederiz.

  • SBOM Yönetimi

    Her sürüm için yazılım bileşen listesi (SBOM) üretiriz. Yeni duyurulan zafiyetleri bu listeyle eşleştiririz.

  • Derleme ve Yayın Bütünlüğü

    Derleme sürecini imza ve kayıtlarla izlenebilir hale getiririz. Böylece her paketin onaylı kaynaktan, değiştirilmeden geldiği kanıtlanır.

  • Security Champions Programı

    Her geliştirme ekibinde bir güvenlik sorumlusu belirleriz. Rolünü ve çalışma düzenini birlikte oluştururuz.

Kapsam

Kod deposundan üretim dağıtımına kadar hattın tamamı. Buna runner'lar, secret'lar, konteyner registry ve altyapı kodu dahildir.

Çalışma yöntemi

Önce mevcut hattın haritasını çıkarırız. Ele geçirilen bir geliştirici hesabıyla üretime nasıl ulaşılabileceğini gösteririz. Ardından kontrolleri, ekiplerinizin günlük işini aksatmayacak şekilde sırayla ekleriz.

Çıktılar

Teslim edilenler

Bir sürümün yayına çıkıp çıkamayacağını belirleyen güvenlik ölçütleri. Bu ölçütleri zorunlu kılan CI/CD kontrolleri. CI/CD hattının ele geçirilme yollarını ve her birini engelleyen değişiklikleri gösteren harita.

NotMevcut araçları doğru yapılandırmak genellikle yeni araç almaktan önce gelir. Önerilerimizi kullandığınız platformlar üzerine kurarız.

İlgili hizmetler

Kaynak Kod Analizi ve Uygulama Güvenliği Yetki ve iş mantığı hatalarını, yazılım yayına alınmadan kaynak kodda tespit ediyoruz. İnceleyin Bulut, Kubernetes ve Altyapı Güvenliği Bulut hesaplarınızdaki izin ve yapılandırma hatalarının etkisini netleştiriyor, riskleri kapatıyoruz. İnceleyin Zafiyet Araştırması Geliştirdiğiniz ve güvendiğiniz ürünlerdeki bilinmeyen zafiyetleri saldırganlardan önce tespit ediyoruz. İnceleyin

CI/CD Hattınızı İnceleyelim

Hedefinizi ve kritik sistemlerinizi paylaşın. Doğru kapsamı ilk görüşmede netleştirelim.

Görüşme Planlayın