Aller au contenu

DevSecOps

Points clés

  • L'agilité induit le besoin de livrer rapidement les évolutions
  • DevOps : Si les DEV attendent les OPS, on ne livre pas rapidement -> Il faut rapprocher les DEV et les OPS et automatiser les déploiements (ex : procédure de déploiement -> scripts de déploiement)
  • DevSecOps : S'il faut attendre des validation de sécurité, on ne peut livrer rapidement les évolutions -> Il faut intégrer les SEC dans le processus et automatiser au maximum les contrôles (ex : recommandations -> scripts de contrôle et de rémédiation)

Les thèmes

  • Sensibilisation

    Les attaques SSH, l'exposition des services, le durcissement des serveurs, les contrôles TLS et entêtes de sécurité.

  • Les abuser stories

    Se placer du point de vue de l'attaquant pour intégrer la sécurité dans le backlog et le processus de développement.

  • L'automatisation des contrôles

    Une recommandation = un test (docker-bench-security, dev-sec.io).

Ressources

Pour aller plus loin :