DevSecOps: integración de seguridad en el ciclo de desarrollo
Contenido del curso
Pablo Aquino
Santiago Cano Garcés
![Francisco Garcia [C6]](https://static.platzi.com/media/avatars/avatars/garciafran_c845c2fe-2ea4-42db-a305-a7f4ef13b0fd.jpeg)
Francisco Garcia [C6]
Cristian Córdova
Gustavo Saldivia
Alexander Acosta
Jose Almenarez
Jesús Rubén Esparza Soto
Alejandro Olivera
Gustavo Saldivia
Cristian Córdova
Salvador Castro
Jorge Iván Rivera Montaño
Eduard Leandro Correa Avendano
Juan Pablo Lozano
GREGORIO JOSÉ BOLÍVAR BOLIVAR
Jairo Cuartas
Francisco Garcia [C6]
José Hugo Calderón Villanueva
El manifiesto del devsecops
Suelo utilizar herramientas gratuitas para la ejecución de pruebas de seguridad en mis pipelines, ya las he podido implementar con éxito en CI Tools como Gitlab CI, Jenkins y Azure DevOps:
Análisis de dependencias: OWASP Dependency Check Análisis estático de seguridad: Shift Left Scan Análisis de infraestructura de contenedores: Clair Análisis dinámico de seguridad: OWASP ZAP
Este es el caso del FBI
Nooo!! la URL está rota :(
no esta rota, seleccionen con cursor toda la url, despues copien y peguen en nueva pestaña.
herramientas como sonarqube te perminten ver la calidad de codigo y seguridad del mismo , cosas como no exponer el password de la dtb o dejar punteros sin cerrar, sin embargo otro tipo de pruebas como , pruebas de stress ,xss , sqli , ic , no las hace , pero las podemos programar nosotros en scripts y ejecutarlos con ci
++MANIFESTO DEVSECOPS++
Inclinarse sobre Siempre Decir "No"
Ciencia de datos y seguridad por encima del miedo, la incertidumbre y la duda
Contribución abierta y colaboración sobre los requisitos de seguridad únicamente
Servicios de seguridad consumibles con API sobre los controles de seguridad obligatorios y el papeleo
Puntuaciones de seguridad impulsadas por el negocio sobre la seguridad del sello de goma
Equipo rojo y azul Aprovechar las pruebas en lugar de confiar en exploraciones y vulnerabilidades teóricas
Monitoreo de seguridad proactivo 24x7 en lugar de reaccionar después de ser informado de un incidente
Inteligencia de amenazas compartida sobre mantener información para nosotros mismos
Operaciones de cumplimiento en portapapeles y listas de verificación
Usamos sonarqube en los pipeline de Jenkins. Sería interesante combinar GitLab con Jenkins para mejoras las pruebas de seguridad. Ahora solo usamos GitLab como repositorio de código.
GitLab también se puede integrar con Jenkins!
Te dejo aquí la documentación
Happy code!
El sitio funciona si se copia la url y se pega en el navegador. Dando click directamente genera error
como demostrar que tienes conocimiento de seguridad? Hagan un buen scaneo de nmap antes de la entrevista de trabajo y expliquen los resultados
Cuidado con eso. Sin consentimiento expreso de la empresa hacer un escaneo de puertos o filtrar los paquetes puede ser un delito.
Si hacen dicho escaneo que sea contra algún nodo que ustedes controlen o alguna maquina metasploitable. ;)
En mi actual empleo, en la parte de Operaciones, implementamos el UFW la herramienta de configuración por defecto de Ubuntu, y además la herramienta fail2ban, estas se pueden automatizar con DevSecOps, o ¿que herramientas de seguridad existen automatizadas?
Checate la herramienta ZAP de la OWASP.
Te recomiendo esta: https://snyk.io/
En donde trabajo, hacemos escaneo de las imágenes de contenedores con una herramienta que se llama Clair. Y con eso podemos estar siempre al dia de las vulnerabilidades que vayan surgiendo.
Just my two cents!
Es interesante pero puedes usar varias plataformas para hacer esto, tanto gitlab, github y bitbucker puedes implemantarlos.
Estoy en proceso de implementar dependency-check sugerido por OWASP para el analisis de vulnerabilidades en las dependencias de terceros que utiliza el sistema.
Tiene su opción de CLI lo cual lo hace amigable con la integración con Gitlab CI.
Les dejó la info por si quieren darle una mirada:
Interesante !!
