La Security by design come approccio corretto di una strategia DevOps

A cura di Salvatore Marcis Technical Director Trend Micro Italia 

I DevOps stanno diventando sempre più importanti in azienda, coinvolgendo i processi di business e tutte le aree, dalle risorse umane al finance, passando per le vendite.

Realizzare le applicazioni migliori, farlo con rapidità per accrescere il time to market è una prassi di successo per i DevOps, ma lo spostamento sempre crescente dei flussi di lavoro in cloud, l’acquisizione di container, l’integrazione automatizzata e la pipeline di comunicazione necessitano controlli di sicurezza efficaci e affidabili, per difendere i processi anche dalle tecniche di attacco più sofisticate. 

L’utilizzo di cloud ibridi o del multicloud, da parte di manager non tecnici, che attivano servizi senza consultare il dipartimento IT, crea rischi alla sicurezza.È quindi fondamentale avere la flessibilità per lavorare su ambienti ibridi e multicloud, per questo abbiamo creato Deep Security Smart Check, che rileva le criticità di sicurezza prima della messa in esercizio di una applicazione.

Questa soluzione effettua una continua scansione dell’immagine del container, ovvero il software virtuale che contiene l’applicazione e, in genere, tutto quello che occorre per utilizzarla, dati compresi, migliorando così la protezione in runtime. Per riconoscere le vulnerabilità e i malware in maniera più efficace, la scansione viene realizzata prima della messa in produzione dell’applicazione. Così facendo, i problemi di sicurezza possono più facilmente essere risolti nel ciclo di sviluppo e non, come tipicamente accade, dopo averla rilasciata in produzione.

Smart Check può essere richiamato dai tool di orchestrazione, il che è molto utile per quelle aziende che hanno basato lo sviluppo applicativo su task automatizzati. In questo modo, infatti, è possibile richiamare la piattaforma per lanciare un’analisi del codice e identificare eventuali malware o vulnerabilità. Terminata l’analisi viene inviato un report all’orchestratore e il cliente può decidere se mandare l’applicativo in produzione o se rispedirlo agli sviluppatori con le indicazioni necessarie a ristabilire le vulnerabilità riscontrate in base al punteggio di rischio definito.

Il team degli sviluppatori e delle operation potranno avere visibilità immediata di quelle che possono essere piccole modifiche o aggiornamenti da fare al software e poter correggere problemi di malware con grande rapidità già nella fase di sviluppo. In questo contesto, gli altri strumenti più tradizionali da adottare (che continueranno a essere indispensabili) come il firewall, potranno adottare politiche di sicurezza meno rigide e avere un peso minore sulle performance dei sistemi e degli applicativi stessi.

Si calcola che il controllo preventivo delle applicazioni, prima del loro rilascio, permette di risparmiare fino all’80% dei costi di sistemazione eventuali, in seguito al rilascio dell’app. Questo approccio porta al concetto di DevSecOps, in una logica di Security by Design, la security diventa parte del processo.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Questo sito usa Akismet per ridurre lo spam. Scopri come i tuoi dati vengono elaborati.