Was ist CI/CD-Sicherheit?

URL kopieren

CI/CD-Sicherheit dient dem Schutz von Code-Pipelines durch automatisierte Prüfungen und Tests, um Schwachstellen bei der Softwarebereitstellung zu vermeiden. Die Integration von Sicherheitsaspekten in Ihre Pipeline trägt zum Schutz des Codes vor Angriffen, zur Vermeidung von Datenlecks, zur Compliance mit Richtlinien und zur Qualitätssicherung bei.

CI/CD (Continuous Integration, Continuous Delivery und Continuous Deployment) ist eine Folge von oft als Pipeline visualisierten Schritten, die durchgeführt werden müssen, um eine neue Version einer Software zu liefern. CI/CD führt Automatisierung und kontinuierliches Monitoring in die App-Entwicklung ein, mit dem Ziel, menschliche Fehler zu minimieren und einen Prozess zum schnelleren Entwickeln von hochwertigem Code aufrechtzuerhalten.

In der Regel enthalten die zentralen Phasen der CI/CD-Pipeline keine Sicherheitsmaßnahmen, sodass zusätzliche Schritte zur Absicherung des Entwicklungsprozesses unternommen werden müssen.
Cloudnative CI/CD-Pipelines erstellen

Red Hat Ressourcen

Die schnelle Entwicklung und Bereitstellung ohne angemessene Sicherheitsvorkehrungen kann die Pipeline Risiken aussetzen, wie etwa den folgenden:

  • Offenlegen sensibler Daten gegenüber externen Quellen
  • Verwenden von unsicherem Code oder Komponenten von Drittanbietern
  • Unbefugter Zugriff auf Quellcode-Repositories oder Build Tools

Das Identifizieren und Beheben von Schwachstellen während des gesamten Entwicklungszyklus stellt sicher, dass Codeänderungen gründlich getestet werden und den Sicherheitsstandards entsprechen, bevor sie in der Produktion bereitgestellt werden.

 

DevSecOps (Development, Security und Operations) ist ein Konzept für Unternehmenskultur-, Automatisierungs-, und Plattformdesign, das Sicherheit als gemeinsame Verantwortlichkeit im gesamten IT-Lifecycle integriert. Eine wichtige Komponente von DevSecOps ist das Einführen einer sicheren CI/CD-Pipeline. 

CI/CD ist für DevSecOps von zentraler Bedeutung, da es Sicherheitsprüfungen automatisiert und frühzeitig in den Entwicklungsprozess einbindet. So wird ein schnelles Feedback über potenzielle Schwachstellen und ein proaktiver Sicherheitsansatz im gesamten Anwendungs-Lifecycle ermöglicht.

Das Konzept der „Linksverschiebung“ ist ein grundlegendes Prinzip in CI/CD und DevSecOps. Dabei geht es darum, bestimmte sicherheitsorientierte Aufgaben und Aktivitäten früher in den Softwareentwicklungsprozess zu integrieren. Zur Praxis der frühzeitigen Implementierung von Sicherheitsmaßnahmen gehören das Automatisieren von Testverfahren, die nach Sicherheitslücken suchen, das Überprüfen von Codeänderungen, sobald sie vorgenommen werden, und das Fördern einer allgemeinen Kultur des proaktiven Sicherheitsbewusstseins bei Entwicklungs- und Operationsteams.

DevSecOps-Kultur fördern

Planungsphase: Es ist wichtig, in den einzelnen Phasen der Pipeline Sicherheitsprüfungen durchzuführen, damit Ihr Code sicher ist und die Sicherheitsstandards einhält. Der erste Schritt besteht darin, eine Produkt-Roadmap zu entwickeln, anhand derer potenzielle Sicherheitsbedrohungen ermittelt werden können. Dies wird als Bedrohungsmodellierung (Threat Modeling) bezeichnet. Beim Threat Modeling werden potenzielle Schwachstellen ermittelt und Gegenmaßnahmen ergriffen, um diese Risiken zu mindern. 

Programmierung: Wenn die Entwicklerinnen und Entwickler mit dem Schreiben des Codes beginnen, stellen Sie sicher, dass der Code entsprechend den vordefinierten Standards und Designrichtlinien geschrieben wird. Verwenden Sie Quellcode-Scanner, um diejenigen Teile des Codes aufzuspüren, die für Sicherheitsbedrohungen anfällig sein könnten.

Entwicklung: Sobald Entwicklerinnen und Entwickler ihren Quellcode in ein gemeinsames Repository übertragen, stellen Sie sicher, dass automatisierte Tests ausgelöst werden, um die Builds auf ihre Übereinstimmung mit den Anforderungen zu überprüfen. 

Tests: Sobald ein Build erfolgreich ist, testen Sie die Software auf Fehler. Bei neuen Funktionen werden weitere automatische Tests durchgeführt.

5 Wege zu mehr Sicherheit

Red Hat® OpenShift® ermöglicht Unternehmen den Einsatz von CI/CD zur Automatisierung der Entwicklungs-, Test- und Deployment-Phasen von Anwendungen auf On-Premise- und Public Cloud-Plattformen. Red Hat OpenShift und Red Hat Ansible® Automation Platform sowie Partnertechnologien bilden eine Basis für DevSecOps und unterstützen Sie beim Lösen von Sicherheitsfragen im gesamten Lifecycle Ihrer Container-Anwendung, einschließlich Entwicklung, Deployment und Runtime.

Für einen reibungslosen Geschäftsbetrieb ist es entscheidend, die Softwarelieferkette vor potenziellen Schwachstellen zu schützen. Die Sicherheit der Softwarelieferkette für cloudnative Anwendungen erfordert jedoch häufig einen monatelangen Aufwand für große Engineering- und Entwicklungsteams. Red Hat Trusted Software Supply Chain ist ein Angebot von Cloud Services, mit dem Unternehmen ihren Softwareentwicklungszyklus um zusätzliche Sicherheitsstufen erweitern können, indem sie kritische Schwachstellen bereits am Eintrittspunkt abfangen. 

Red Hat Advanced Cluster Security (ACS) für Kubernetes ist die innovative Kubernetes-native Sicherheitsplattform, mit der Unternehmen cloudnative Anwendungen noch sicherer entwickeln, bereitstellen und ausführen können. Die Lösung trägt zum Schutz von containerisierten Kubernetes-Workloads in den meisten Clouds und hybriden Plattformen bei, darunter Red Hat OpenShift, Amazon Elastic Kubernetes Service (EKS), Microsoft Azure Kubernetes Service (AKS) und Google Kubernetes Engine (GKE).

Red Hat Trusted Application Pipeline (im Service Preview) bietet Standard-Pipeline-Definitionen und automatisierte Sicherheitsprüfungen, um SLSA-Level-3-Build-Images (Supply Chain Levels for Software Artifacts) aus Anwendungscode in einer Vielzahl von Programmiersprachen zu erzeugen. Der Build umfasst das Erstellen einer bescheinigten, unveränderlichen Software Bill of Materials (SBOM), die automatisch eine Vertrauenskette für Ihre Open Source-Komponenten und transitive Abhängigkeiten erstellt.

E-Book: DevSecOps mit OpenShift automatisieren

Hub

Der offizielle Red Hat Blog

Lernen Sie mehr über unser Ökosystem von Kunden, Partnern und Communities und erfahren Sie das Neueste zu Themen wie Automatisierung, Hybrid Cloud, KI und mehr.

Red Hat Testversionen

Unsere kostenlosen Testversionen unterstützen Sie dabei, praktische Erfahrungen zu sammeln, sich auf eine Zertifizierung vorzubereiten oder zu bewerten, ob ein Produkt die richtige Wahl für Ihr Unternehmen ist.

Weiterlesen

Was ist SELinux (Security-Enhanced Linux)? - Red Hat

SELinux ist eine Sicherheitsarchitektur für Linux-Systeme, die strikte Zugangskontrollen definiert und den Zugriff auf das Betriebssystem beschränkt.

Was ist Role-based Access Control (RBAC)

Role-based Access Control ist eine Methode zum Managen des Benutzerzugriffs auf Systeme, Netzwerke oder Ressourcen auf der Basis der jeweiligen Rolle innerhalb eines Teams oder einer größeren Organisation.

Shift Left im Vergleich zu Shift Right

Ein Shift Left- oder Shift Right-Ansatz bezeichnet die Implementierung kontinuierlicher Tests in den verschiedenen Phasen des Softwareentwicklungs-Lifecycles.

Ressourcen zu Sicherheit

Verwandte Artikel