Introdurre la security nelle best practice di (Azure) DevOps
Il software che scriviamo al giorno d'oggi è quasi certamente più complesso di quello che ci siamo trovati a scrivere nell'arco degli ultimi dieci anni. Le tecnologie evolvono, per cui può essere normale oggi trovarsi a scrivere comunque API, ad esempio, ma avere allo stesso tempo a che fare con sistemi come Docker, Kubernetes, pipeline di CI/CD e così via.
Pratiche relative a DevOps, come abbiamo visto negli articoli precedenti, stanno sempre di più prendendo piede e, come spesso accade, queste vengono confuse e/o riassunte solamente nella possibilità di rilasciare più velocemente il codice sorgente verso un determinato ambiente così che sia fruibile dai nostri utenti. Sebbene queste pratiche siano comunque un ottimo modo per iniziare ad approcciare questa nuova “modalità di lavoro", non dobbiamo dimenticarci di un aspetto importante nello sviluppo software: la security.
Come possiamo rendere il nostro sistema sicuro e compliant con le policy fornite dall'organizzazione con cui stiamo lavorando e allo stesso tempo ridurre i tempi di analisi da giorni, settimane o addirittura mesi, per integrare la security all'interno dei nostri cicli di sviluppo più agili, così da verificare il tutto nel processo di CI/CD che abbiamo impostato? Cercheremo di dare una risposta a questo quesito all'interno dell'articolo, dandoci una mano con alcuni tool che ci forniscono supporto nel raggiungere questo obiettivo.
Synopsys è una società che è cresciuta tramite l'acquisizione di diverse aziende che si occupano, fra le altre cose, di static code analysis, interactive application security testing (IAST) e anche di software composition analysis. Dall'acquisizione di queste aziende sono nati dei prodotti che oggi conosciamo come il nome di Coverity, per la SAST, Seeker per IAST e Black Duck per quanto riguarda la compliance applicativa in termini di sicurezza dei componenti di terze parti.
Queste tre applicazioni, però, sebbene siano e possano essere utilizzate indipendentemente (di fatto ognuna di esse richiede una licenza specifica), ad oggi sono distribuite anche a livello di cloud come servizio gestito tramite la piattaforma Polaris che non solo integra tutti i servizi offerti, ma dà anche la possibilità di avere una visione d'insieme per fare un risk assessment a livello globale di un determinato progetto, piuttosto che scaricare un risk report strutturato in base alle esigenze o, ancora, applicare policy di security a livello di intera organizzazione per forzare il controllo.
Tutti questi prodotti, come vedremo a breve, si integrano perfettamente in Azure DevOps, tramite Polaris, ma non solo. Di fatto, l'integrazione arriva fino alla fase in cui il software viene sviluppato dai vari engineer sul progetto, tramite:
- estensioni di Visual Studio (o di qualsiasi altro editor di riferimento);
- un sistema di e-learning, distribuito come servizio a parte, in cui possiamo capire più nel dettaglio come mai Synopsys ha rilevato determinate issue e come sia possibile, potenzialmente, applicare una risoluzione ad esse.
Sebbene l'articolo possa sembrare una presa di posizione nei confronti di questa azienda, ci teniamo a sottolineare che non è assolutamente così. Sul mercato, infatti, esistono molteplici strumenti che ci permettono di identificare issue di security o di compliance applicativa, piuttosto che di effettuare static code analysis (pensiamo a SonarQube/SonarCloud). Tuttavia, questi sistemi spesso non sono perfettamente integrati in Azure DevOps (o in altri sistemi di CI/CD), richiedono conoscenze approfondite degli argomenti di cui trattano e, purtroppo, raramente ci permettono di avere una visione d'insieme dello stato del progetto, cosa che invece Synopsys riesce a garantirci. Inoltre, Synopsys è da svariati anni azienda leader, secondo Gartner, per quanto riguarda il mondo dell'application security testing, per cui è assolutamente affermata nel settore e non ha di certo bisogno di referenze.
Vediamo ora, entrando un po' più nel dettaglio, come funzionano i vari strumenti messi a disposizione da Synopsys e come integrarli nel lifecycle delle nostre applicazioni.
Contenuti dell'articolo
Commenti
Per inserire un commento, devi avere un account.
Fai il login e torna a questa pagina, oppure registrati alla nostra community.
Approfondimenti
Utilizzare un service principal per accedere a Azure Container Registry
Rinnovare il token di una GitHub App durante l'esecuzione di un workflow
Potenziare Azure AI Search con la ricerca vettoriale
Configurare il nome della run di un workflow di GitHub in base al contesto di esecuzione
Referenziare un @layer più alto in CSS
Filtrare i dati di una QuickGrid in Blazor con una drop down list
Effettuare il refresh dei dati di una QuickGrid di Blazor
Autenticarsi in modo sicuro su Azure tramite GitHub Actions
Migrare una service connection a workload identity federation in Azure DevOps
Creare una libreria CSS universale: Cards
Sfruttare al massimo i topic space di Event Grid MQTT
Top Ten Articoli
- Realizzare una Progressive Web Application con Blazor e ASP.NET Core
di Giampaolo Tucci - Gestire le chiamate a servizi esterni in ASP.NET Core e Blazor tramite Polly
di Morgan Pizzini - Usare gRPC come infrastruttura per i nostri servizi web
di Morgan Pizzini - Abilitare e gestire il prerendering nelle applicazioni Blazor WebAssembly
di Marco De Sanctis - Creare API GraphQL con ASP.NET Core e HotChocolate
di Moreno Gentili - Le novità di Blazor in .NET 6.0
di Morgan Pizzini - Blazor e il pattern Model-View-ViewModel
di Giampaolo Tucci - Le novità in ASP.NET Core e Blazor con .NET 7
di Morgan Pizzini - Introduzione a Blazor WebAssembly
di Marco De Sanctis, Moreno Gentili - Le novità di ASP.NET Core 5
di Marco De Sanctis
Articoli via e-mail
Iscriviti alla nostra newsletter nuoviarticoli per ricevere via e-mail le notifiche!
In primo piano
I più letti di oggi
- Effettuare il log delle chiamate a function di GPT in ASP.NET Web API
- ecco tutte le novità pubblicate sui nostri siti questa settimana: https://aspit.co/wkly buon week-end!
- Utilizzare il metodo CountBy di LINQ per semplificare raggruppamenti e i conteggi
- Creare una libreria CSS universale: Cards
- Eseguire script pre e post esecuzione di un workflow di GitHub
In evidenza
- Il meglio della settimana
- Utilizzare il metodo CountBy di LINQ per semplificare raggruppamenti e i conteggi
- Eseguire script pre e post esecuzione di un workflow di GitHub
- Creare una libreria CSS universale: Cards
- Migliorare l'organizzazione delle risorse con Azure Policy
- Effettuare il log delle chiamate a function di GPT in ASP.NET Web API
- Leggere la posta usando il protocollo IMAP tramite la libreria MailKit
- Eseguire una ricerca avanzata per recuperare le issue di GitHub