01Sorun ve çözüm
DevSecOps danışmanlığında güvenlik kontrollerini geliştirme hattınızın içine, sorunun en düşük maliyetle düzeltildiği ana taşıyoruz: geliştirici birleştirme isteği açtığında, imaj derlendiğinde, altyapı kodu değiştiğinde. Hangi aracın hangi aşamada çalışacağına, hangi bulgunun hattı durduracağına ve kimin onaylayacağına ekibinizle birlikte karar veriyoruz. Amaç bir araç yığını kurmak değil, ekibin sahiplendiği ve yıllar sonra da çalışan bir düzen bırakmaktır.
02Kimler için
DevSecOps danışmanlığı hangi ekiplere uygun
Danışmanlık, sürekli entegrasyon kurmuş ama güvenliği henüz bu hattın parçası yapmamış ekipler için tasarlandı.
- Günde birden çok kez birleştirme yapan, ama güvenlik kontrolünü yılda bir yapılan teste bırakmış yazılım ekipleri
- Konteyner ve Kubernetes'e geçmiş, imajlarının içinde ne olduğunu bilmeyen platform ekipleri
- Kurumsal müşterilerden gelen güvenlik anketlerinde güvenli geliştirme sürecini kanıtlaması istenen SaaS firmaları
- Birkaç farklı tarama aracı satın almış, ama sonuçlarını kimsenin okumadığı geliştirme organizasyonları
- ISO 27001 hazırlığında güvenli geliştirme yaşam döngüsü kontrollerini somut uygulamaya dökmek isteyen şirketler
03İhtiyaçlar
Geliştirme hattına güvenlik eklerken çıkan engeller
Araçların kurulması işin kolay kısmıdır; zorluk ekibin bu araçlarla yaşamayı kabul etmesindedir.
- 01
Gürültüden kaynaklanan yorgunluk
İlk kez çalıştırılan bir kod tarayıcısı yüzlerce uyarı üretir ve geliştiriciler hızla uyarıları görmezden gelmeye başlar. Başlangıçta yalnızca yeni koddaki yüksek önemli bulgulara odaklanmak bu yorgunluğu önler.
- 02
Hattın yavaşlaması
Her birleştirme isteğinde uzun süren tam taramalar geri bildirimi geciktirir. Hızlı kontroller isteğe, ağır taramalar gece çalışmasına ayrılır.
- 03
CI içindeki gizli bilgiler
Bulut ve kayıt deposu anahtarları çoğu zaman CI değişkenlerinde süresiz durur; hattın kendisi en değerli hedeflerden birine dönüşür.
- 04
Sahipsiz bulgular
Bir bulgunun hangi ekibe ait olduğu belli değilse düzeltilmez. Sorumluluk depolara ve servislere göre baştan tanımlanır.
04Özellikler
DevSecOps danışmanlığı kapsamında yaptıklarımız
Çalışma mevcut hattınızın ve ekip alışkanlıklarınızın değerlendirilmesiyle başlar, adım adım ilerler.
- 01
Olgunluk değerlendirmesi
OWASP SAMM veya DSOMM gibi açık çerçevelere dayanarak bugünkü durumunuzu ve bir sonraki gerçekçi hedefi belirliyoruz; tüm kontrolleri aynı anda kurmaya çalışmıyoruz.
- 02
Aşama aşama kontrol yerleşimi
Statik kod analizi, bağımlılık taraması, gizli anahtar taraması, altyapı kodu kontrolü, imaj taraması ve test ortamında DAST, hangi tetikleyiciyle çalışacaklarıyla birlikte hatta yerleştirilir.
- 03
Kalite kapısı politikası
Hangi önem derecesinin birleştirmeyi engelleyeceği, hangisinin yalnızca kayıt açacağı ve istisnaların kim tarafından, ne gerekçeyle onaylanacağı yazılı bir politikaya bağlanır.
- 04
Yazılım malzeme listesi ve imza
Her derlemede CycloneDX veya SPDX biçiminde bileşen listesi üretilir; imajların Sigstore cosign gibi araçlarla imzalanıp yalnızca imzalı imajların dağıtılması sağlanabilir.
- 05
Güvenlik temsilcileri
Her ekipte güvenlik konularında ilk muhatap olacak bir geliştirici belirlenir; bu kişilerle bulgu ayıklama ve tehdit modelleme pratiği yapılır.
05Entegrasyonlar
Mevcut araç zincirinize uyum
Yeni bir platform dayatmak yerine kullandığınız depo ve hat araçları üzerinde çalışırız.
- 01
Kod barındırma ve CI
GitHub, GitLab, Bitbucket veya Azure DevOps üzerinde dal koruma kuralları, zorunlu kod incelemesi ve hat adımları yapılandırılır.
- 02
Konteyner kayıt deposu
Harbor, Amazon ECR veya benzeri bir kayıt deposunda imaj taraması ve yalnızca onaylı imajların çekilmesine izin veren kurallar devreye alınır.
- 03
Gizli bilgi kasası
HashiCorp Vault veya bulut sağlayıcınızın anahtar yönetim servisi ile CI'ın kısa ömürlü kimlik bilgisi almasını sağlayan OIDC federasyonu kurulur.
- 04
Bulgu takibi
Farklı araçlardan gelen bulgular DefectDojo gibi bir platformda ya da doğrudan iş takip aracınızda tek listede toplanır, tekrarlar birleştirilir.
06Süreç
DevSecOps danışmanlığı hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
DevSecOps uygulamasında teknik tercihler
Araç seçiminde açık kaynak seçenekler ile ticari ürünleri yan yana değerlendiriyoruz: Semgrep, Trivy, Gitleaks veya Checkov gibi araçlar birçok ekip için yeterli bir başlangıçtır; lisans gerektiren bir ürün ancak somut bir eksikliği kapatıyorsa önerilir. Her aracın yapılandırması depoda kod olarak tutulur, böylece kural değişiklikleri de kod incelemesinden geçer.
Devamını okuDaha az göster
Hattın kendisi de korunması gereken bir sistemdir. Çalıştırıcıların yetkileri daraltılır, üçüncü taraf eylemler sürüm yerine commit karmasıyla sabitlenir, üretime dağıtım yetkisi yalnızca korumalı daldan tetiklenebilir. Bu ayarlar, tedarik zinciri saldırılarına karşı SLSA çerçevesinin önerdiği düzeylerle eşleştirilerek raporlanır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
09Sık sorulan sorular
DevSecOps danışmanlığı hakkında sık sorulan sorular
DevSecOps danışmanlığı geliştirme hızımızı düşürür mü?
Doğru kurulduğunda düşürmez. Birleştirme isteğindeki kontroller hızlı tutulur, ağır taramalar arka plana alınır. Asıl hız kazancı, güvenlik bulgularının sürüm öncesi son günde değil, kod henüz tazeyken gelmesinden doğar.
Hangi aracı kullanacağımıza siz mi karar veriyorsunuz?
Seçenekleri artı ve eksileriyle sunuyoruz, kararı ekibinizle birlikte veriyoruz. Zaten lisansını aldığınız bir araç varsa önce onu verimli kullanmanın yolunu arıyoruz.
DevSecOps danışmanlığı fiyatları neye göre belirlenir?
Depo ve servis sayısı, kullanılan CI platformları, konteyner ve altyapı kodu olup olmadığı, ekip eğitiminin kapsamı ve danışmanlığın tek seferlik kurulum mu yoksa düzenli eşlik mi olacağı belirleyicidir.
Eski bir kod tabanında binlerce bulgu çıkarsa ne yapıyoruz?
Mevcut bulgular bir başlangıç çizgisi olarak kaydedilir ve hat yalnızca yeni eklenen sorunlarda uyarı verir. Eski borç ise önem sırasına göre ayrı bir planla, sprintlere yayılarak eritilir.
Bir DevSecOps danışmanlığı firması sızma testini de kapsar mı?
DevSecOps sürekli ve otomatik kontrolleri kurar; elle yapılan sızma testi ise iş mantığı gibi araçların göremediği alanları sınar. İkisi birbirinin yerine geçmez, test bulgularının hattaki kurallara geri beslenmesini planlıyoruz.
Danışmanlık bittikten sonra düzeni kim sürdürür?
Kurduğumuz her kural belgelenir ve ekibinizdeki güvenlik temsilcilerine devredilir. İsterseniz belirli aralıklarla hattı ve bulgu eğilimlerini birlikte gözden geçirdiğimiz bir danışmanlık takvimi de oluşturulabilir.
10İlgili hizmetler