Kontrolü geri bildirime dönüştürelim
CI/CD hattına bir güvenlik aracı eklemek kolaydır; çıktısını günlük işin parçası yapmak daha fazla düşünce ister. Bir bulgu hangi değişiklikten geldi, kimi etkiliyor ve kim değerlendirecek? Bu cevaplar yoksa uyarılar zamanla arka plan gürültüsüne dönüşür.
Kod, bağımlılık ve gizli bilgi kontrollerini uygun aşamalara yerleştirin. Hızlı kontroller değişikliği hazırlayan kişiye erken geri bildirim verebilir; daha kapsamlı incelemeler ayrı aşamalarda çalışabilir. Bütün kontrollerin aynı anda devreye alınması gerekmez. Başlangıçta ekibin gerçekten takip edebileceği bir kapsam seçin.
Hattın kendisini de koruyalım
Teslimat hattı kodu çalıştırır ve dağıtım ortamlarına erişebilir. Bu nedenle yalnızca uygulamayı taramak yeterli değildir. OWASP’ın CI/CD rehberi, kod deposundan derleme ve dağıtım bileşenlerine kadar bu zinciri birlikte ele alır.
- Yetkileri sınırlayın: Derleme ve dağıtım adımlarına yalnızca gereken erişimleri verin; güvenilmeyen değişiklikleri üretim sırlarından ayırın.
- Sırları koruyun: Parola ve anahtarları depoya yazmayın, günlüklerde açığa çıkarmayın. Uygunsa kısa ömürlü kimlik bilgileri kullanın.
- Akışı gözden geçirin: Hat yapılandırmasını sürümleyin; değişiklikleri incelemeye alın ve çalıştırıcıları güncel tutun.
Bir taramanın başarılı olması, bütün bu alanların güvenli olduğunu kanıtlamaz. Aracın kapsamını ve göremediği noktaları ekipçe bilin.
Yayını durdurma kararını netleştirelim
Hangi bulgunun yayını durduracağını önceden kararlaştırın. Önem derecesinin yanında açığın ilgili sistemde sömürülebilir olup olmadığını, dışa açıklığı ve iş etkisini de değerlendirin. Her uyarıya aynı tepkiyi vermek, önemli bulguları görünmez kılabilir.
İstisna gerekiyorsa gerekçesini, sorumlusunu ve yeniden değerlendirme tarihini kaydedin. Düzenli kısa bir gözden geçirmede sonuçsuz kalan uyarıları ele alın. Böylece güvenlik kontrolü, yalnızca ekrandaki bir işaret olmaktan çıkar ve takip edilen bir karara dönüşür.
Teknik kaynak: OWASP — CI/CD Security Cheat Sheet.