DevSecOps ve Yazılım Tedarik Zinciri
Kaynak Kod Deposu Güvenliği
Kod depolarınızdaki erişimleri, korumalı branch kurallarını ve zorunlu kod incelemelerini düzenliyoruz. Hiç kimse üretime tek başına kod gönderemez.
Nedir?
Kaynak kod deposu, üretime giden her değişikliğin başladığı yerdir. Ana branch'e doğrudan yazabilen veya kuralları devre dışı bırakabilen bir hesap, inceleme sürecini tamamen atlayabilir. Yönetici hesapları, deploy anahtarları ve bağlı uygulamalar da geliştirici hesapları kadar önemlidir. İnceleme, platform ayarları ile her depodaki gerçek yetkileri birlikte değerlendirir.
Kapsam
- Organizasyon ve depo yetkileri, yönetici hesapları ve çok faktörlü kimlik doğrulama
- Korumalı branch kuralları ve bu kuralları atlayabilen hesaplar
- Zorunlu inceleme ve kod sahipliği (CODEOWNERS) tanımları
- Deploy anahtarları, erişim token'ları ve bağlı üçüncü taraf uygulamalar
- İmzalı commit'ler ve yayın etiketleri
- Ayrılan çalışanların ve tedarikçilerin erişimlerinin kapatılması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Kod depolarınızı başka bir platforma taşırken veya kurum içi sunucudan buluta geçerken.
- Dış kaynak geliştiricilere veya tedarikçilere depo erişimi verdiğinizde.
- Bir denetimde, üretime giden her değişikliğin ikinci bir kişi tarafından incelendiğini kanıtlamanız gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Tüm depoları, hesapları, token'ları ve bağlı uygulamaları yetkileriyle listeleriz.
-
Kurallar
Korumalı branch, zorunlu inceleme ve kod sahipliği kurallarını depoların kritikliğine göre tanımlarız.
-
Temizlik
Kullanılmayan erişimlerin ve fazla yetkili token'ların kaldırılmasını planlarız.
-
Süreklilik
Kuralların sonradan gevşetilmesini fark edecek düzenli kontrolü kurarız.
Sonuç
Çalışmanın sonunda elinizde olan
Hangi depoya kimin, hangi yetkiyle eriştiği bellidir. Üretime giden her değişiklik en az bir kişinin onayından geçer ve bu kuralı atlayabilen hesaplar sınırlı ve kayıt altındadır.
Sık sorulan sorular
Yönetici hesaplarının kuralları atlayabilmesi gerekmiyor mu?
Acil durumlar için gerekebilir. Bu yetki az sayıda hesapla sınırlanır, kullanıldığında kayıt üretir ve sonradan gözden geçirilir.
İmzalı commit gerçekten gerekli mi?
İmza, commit'in iddia edilen kişiden geldiğini gösterir. Kritik depolarda ve yayın etiketlerinde öneririz. Tek başına yeterli değildir. Zorunlu incelemeyle birlikte anlam kazanır.
Herkese açık depolarımız da kapsama girer mi?
Evet. Herkese açık depolarda yanlışlıkla yayımlanmış kod veya secret olup olmadığı ve dışarıdan gelen katkıların nasıl kabul edildiği de incelenir.
DevSecOps ve Yazılım Tedarik Zinciri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın