DevSecOps ve Yazılım Tedarik Zinciri
SAST, DAST ve SCA Entegrasyonu
Statik analiz, dinamik test ve bileşen analizini geliştirme sürecinizin doğru aşamalarına entegre ediyoruz. Hangi bulgunun yayını durduracağını yazılı kurallarla belirliyoruz.
Nedir?
Güvenlik analizleri yanlış aşamada çalışırsa ya geliştirmeyi yavaşlatır ya da sonuçları gözden kaçar. Statik analiz ve bileşen analizi, birleştirme isteğinde geliştiriciye anında geri bildirim verir. Dinamik test ise uygulama test ortamına kurulduktan sonra çalışır. Yayını durduran güvenlik kapısı, yalnızca önceden tanımlanmış önem ve güven düzeyindeki bulgularda devreye girer.
Kapsam
- Her analizin çalışacağı aşama ve ayrılan süre
- Birleştirme isteğinde geliştiriciye yalnızca yeni bulguların gösterilmesi
- Yayını durduracak bulgular için önem ve güven eşikleri
- İstisna talebi, onayı ve süresi için kayıtlı bir süreç
- Farklı araçların bulgularının tek listede birleştirilmesi ve tekrarların ayıklanması
- Kapanış süresi ve açık bulgu sayısı gibi izleme ölçütleri
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Güvenlik araçları satın alındığı hâlde bulgularını kimse takip etmediğinde.
- Geliştiriciler güvenlik kontrollerinin sürümleri geciktirdiğinden şikâyet ettiğinde.
- Bir müşteri veya denetçi, her sürümün yayından önce güvenlik testinden geçtiğinin kanıtını istediğinde.
Yöntem
Nasıl çalışıyoruz?
-
Durum
Mevcut araçlarınızı, nerede çalıştıklarını ve sonuçlarının kime gittiğini belirleriz.
-
Yerleşim
Her analizi, sonucunu en kısa sürede doğru kişiye ulaştıracak aşamaya entegre ederiz.
-
Kapı kuralları
Yayını durduracak bulguları ve istisna sürecini güvenlik ve geliştirme yöneticileriyle birlikte yazarız.
-
İzleme
Kapanış sürelerini gösteren ölçütleri kurar, kuralları ilk sonuçlara göre ayarlarız.
Sonuç
Çalışmanın sonunda elinizde olan
Her analiz doğru aşamada çalışır ve bulgular doğru kişiye ulaşır. Bir sürümün yayına çıkıp çıkamayacağı, herkesin bildiği yazılı kurallara bağlıdır.
Sık sorulan sorular
Her kritik bulguda yayını durdurmalı mıyız?
Yalnızca yüksek güvenle doğrulanmış ve istismar edilebilir bulgularla başlamayı öneririz. Kapı yanlış alarm ürettiğinde ekipler onu atlamanın yolunu arar.
Mevcut araçlarımızı değiştirmemiz gerekir mi?
Genellikle gerekmez. Entegrasyonu mevcut araçlarınızla yaparız. Bir aracın ihtiyacı karşılamadığı açıksa bunu gerekçesiyle belirtiriz.
Bu çalışma statik kod analizi (SAST) hizmetinizden nasıl ayrılır?
SAST hizmeti analizin kendisini, yani kuralları ve bulguların doğruluğunu ele alır. Entegrasyon ise tüm analizlerin süreçte nerede çalışacağını ve sonuçlarının nasıl karara dönüşeceğini düzenler.
DevSecOps ve Yazılım Tedarik Zinciri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın