DevSecOps ve Yazılım Tedarik Zinciri
Kod Olarak Altyapı (IaC) İncelemesi
Terraform, CloudFormation, Bicep veya Kubernetes tanımlarınızdaki riskli izin ve ayarları ortam kurulmadan önce tespit ediyoruz. Hatalar, her yeni ortama kopyalanmadan kaynağında düzeltilir.
Nedir?
Kod olarak altyapı (IaC), bulut kaynaklarını ve izinlerini dosyalarla tanımlar. Bir şablondaki hatalı izin, o şablondan kurulan tüm ortamlara taşınır. İnceleme bu dosyaları kod olarak okur ve riskli ayarları birleştirme isteğinde yakalayan kurallar ekler. State dosyaları ve değişkenlerin secret içerip içermediği de kontrol edilir.
Kapsam
- Terraform, CloudFormation, Bicep, Helm ve Kubernetes manifest dosyaları
- Fazla geniş IAM izinleri ve hesaplar arası güven tanımları
- Herkese açık depolama alanları, geniş ağ kuralları ve şifrelenmemiş kaynaklar
- Terraform state dosyalarının ve değişkenlerin secret içerip içermediği
- Ortak modüller ve şablonlar için güvenli varsayılanlar
- Birleştirme isteğinde çalışan kod olarak politika (policy as code) kuralları
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Bulut ortamlarınız artık konsoldan değil kodla kurulduğunda ve bu kod güvenlik açısından incelenmediğinde.
- Ekiplerin ortak kullanacağı bir Terraform modülü veya Helm şablonu hazırlanırken.
- Bulut güvenlik taramaları aynı yapılandırma hatalarını her yeni ortamda yeniden bulduğunda.
Yöntem
Nasıl çalışıyoruz?
-
Kapsam
Altyapı depolarını, modülleri ve hangi ortamın hangi koddan kurulduğunu belirleriz.
-
İnceleme
İzinleri, ağ kurallarını ve şifreleme ayarlarını CIS Benchmarks ve kurum politikanıza göre değerlendiririz.
-
Kurallar
Bulduğumuz riskleri birleştirme isteğinde yakalayan kod olarak politika kurallarına çeviririz.
-
Modüller
Ortak modüllere güvenli varsayılanlar ekleyerek hatanın kaynağında giderilmesini sağlarız.
Sonuç
Çalışmanın sonunda elinizde olan
Altyapı kodunuzdaki riskli izin ve ayarlar, etkiledikleri ortamlarla birlikte elinizdedir. Aynı hata tekrarlandığında, ortam kurulmadan birleştirme isteğinde yakalanır.
Sık sorulan sorular
Kurulu bulut ortamını incelemekten farkı nedir?
Ortam incelemesi bugünkü durumu gösterir. IaC incelemesi ise hatanın kaynağını düzeltir. Böylece aynı hata bir sonraki ortamda yeniden oluşmaz.
Kod ile canlı ortam arasındaki farkları da buluyor musunuz?
Evet. Konsoldan yapılan ve koda yansımayan değişiklikler (drift) ayrıca listelenir. Bu farklar, kod incelemesinde görünmeyen izinleri ortaya çıkarabilir.
State dosyaları neden önemli?
Terraform, yapılandırmaya yazılan secret'ları state dosyasında da saklar. Yerel çalışmada bu dosya açık metindir. Bu yüzden state dosyasına erişim, kodun kendisine erişimden fazlasını verebilir.
DevSecOps ve Yazılım Tedarik Zinciri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın