Méthode
DevSecOps
Aussi appeléSécurité CI/CDShift leftSécurité du pipeline
En résumé
Pratique qui intègre des contrôles de sécurité automatisés à chaque étape du développement et de la livraison : analyse du code, des dépendances, des secrets et des conteneurs, puis protection du pipeline lui-même. L’objectif est de détecter les défauts au moment où ils sont introduits, quand ils coûtent le moins à corriger.
DevSecOps, en détail
Le pipeline d’intégration et de livraison continues (CI/CD) construit, teste et déploie le code. On y branche des contrôles à des moments choisis : avant le commit pour les secrets, à la revue de modification pour l’analyse statique (SAST) et l’analyse des dépendances (SCA), à la construction pour les images de conteneurs et l’infrastructure as code, avant le déploiement pour les tests dynamiques. L’expression « shift left » désigne ce déplacement des contrôles vers le début du cycle.
Le pipeline lui-même est une cible : il détient des secrets de déploiement, tire des dépendances externes et pousse en production. Les attaques sur la chaîne d’approvisionnement logicielle : définition l’exploitent. Le durcir passe par des jetons à droits minimaux, des identités fédérées plutôt que des secrets de longue durée, la protection des branches, des exécuteurs isolés et la signature des artefacts. Les cadres de référence sont le SSDF du NIST (SP 800-218), OWASP SAMM et SLSA pour la provenance.
Qu’est-ce que cela change pour vous ?
Un défaut trouvé à la relecture d’une modification se corrige en quelques minutes ; le même, trouvé en production par un attaquant ou un client, mobilise une équipe et expose des données. Un pipeline compromis donne à l’attaquant la même confiance qu’à vos développeurs.
Exemple illustratif (fictif)
Imaginons une équipe qui active la détection de secrets sur ses dépôts et découvre un jeton de déploiement cloud, valide, commité dix-huit mois plus tôt. Il est révoqué, remplacé par une identité fédérée, et un contrôle empêche désormais ce type de commit.
La confusion fréquente
Brancher dix outils d’un coup et bloquer les livraisons sur chaque alerte. Les développeurs contournent alors le contrôle. On démarre en observation, avec quelques règles qui trouvent de vrais défauts, puis on bloque.
Quelles prestations s’appuient sur ce terme ?
- DevSecOps : la prestationFaire de la sécurité une étape du pipeline plutôt qu’un contrôle de fin de projet.
- Audit Kubernetes : la prestationSavoir ce qu’un conteneur compromis permet d’atteindre dans votre cluster.
Aller plus loin
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ArticleComparer des devis de test d’intrusion : la grille en neuf pointsPérimètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- ComparatifTest d’intrusion ou bug bounty : faut-il ouvrir un programme de primes ?Une mission cadrée et un programme de primes ont des modèles économiques opposés et des couvertures différentes. Ce que chacun apporte, ce qu’il suppose en interne, et quand l’un ne se justifie pas encore.
Termes liés
- AttaqueChaîne d’approvisionnement logicielle : définitionL’attaque qui vise un composant, un outil ou un fournisseur dont dépend un logiciel, plutôt que le logiciel lui-même.
- TechniqueOWASP Top 10 : définitionLe classement, publié par la fondation OWASP, des dix catégories de risques de sécurité les plus critiques pour les applications web.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- MéthodeDéveloppement sécurisé : définitionL’intégration de la sécurité à chaque étape de la conception et de la production d’un logiciel : exigences, modélisation des menaces, règles de codage, revue de code, tests automatisés, gestion des dépendances et des secrets, déploiement.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début