Eksperci DevSecOps i inżynierowie bezpieczeństwa aplikacji

Inżynierowie bezpieczeństwa aplikacji z Digiventi dołączają do zespołów, aby oceniać projektowane funkcje i istniejący kod przed wdrożeniem zmian na produkcję. Warto ich zaangażować przy zmianach uwierzytelniania lub przepływu danych wrażliwych.

• Modelowanie zagrożeń: Opisują granice zaufania i scenariusze nadużyć, a ryzyka przekładają na zadania programistyczne. Stosują STRIDE tam, gdzie odpowiada to zakresowi analizy.
• Przegląd architektury i kodu: Sprawdzają autoryzację i kontrolę dostępu do API względem odpowiednich wymagań OWASP ASVS. Dokumentują sposób odtworzenia podatności oraz konkretne zalecenia naprawcze.

Konsultanci DevSecOps integrują kontrole bezpieczeństwa z GitHub Actions lub GitLab CI. Konfigurują analizę statyczną w CodeQL lub Semgrep i uzgadniają z zespołem progi blokowania wydań, aby każde ostrzeżenie skanera nie zatrzymywało publikacji.

Sprawdzają zależności oraz obrazy kontenerów, między innymi za pomocą Trivy. Mogą wdrożyć wykrywanie sekretów i zestawienia składników oprogramowania (SBOM). Dla każdej kontroli określają właściciela oraz zasady obsługi wyjątków, tak aby nierozwiązane zgłoszenia pozostawały widoczne po wydaniu aplikacji.

Inżynierowie AppSec badają podatności aplikacji internetowych i API, a następnie wspierają programistów przy poprawkach w kodzie. Łączą ręczną weryfikację z testami w Burp Suite lub OWASP ZAP. Potwierdzają wyniki skanowania, zanim powstaną zadania naprawcze.

• Testy aplikacji i API: Sprawdzają możliwość obejścia autoryzacji oraz podatności na wstrzykiwanie kodu lub poleceń. Przygotowują powtarzalne przypadki testowe w uzgodnionym zakresie.
• Wsparcie bezpiecznego programowania: Przeglądają proponowane poprawki i dodają testy regresyjne dla potwierdzonych podatności. Ponownie sprawdzają zmienione działanie przed zamknięciem zgłoszenia.

Inżynier AppSec może na stałe odpowiadać za analizę zgłoszeń, gdy podatności przybywa szybciej, niż programiści mogą je sprawdzać. Ustala priorytety według możliwości wykorzystania błędu i wpływu na działalność, zamiast opierać je wyłącznie na ocenie punktowej.

Sprawdza, czy podatny kod zależności jest osiągalny w środowisku produkcyjnym, i uzgadnia naprawy z właścicielami aplikacji. Prowadzi rejestr wyjątków z terminami ważności oraz weryfikuje poprawki ponownymi testami. Przy nowo ujawnionych podatnościach identyfikuje zagrożone aplikacje i ocenia zabezpieczenia tymczasowe do czasu wdrożenia trwałej poprawki.