Tutorijal: Sigurnost (DevSecOps)

Uvod u Sigurnost (DevSecOps) za DevOps inženjere

Tradicionalno, sigurnost je često bila naknadna misao u životnom ciklusu razvoja softvera, implementirana na kraju procesa, što je dovodilo do kašnjenja i skupih popravki. DevSecOps menja ovu paradigmu integrišući sigurnosne prakse i razmatranja u svaku fazu DevOps pipeline-a, od planiranja i razvoja, preko testiranja i deploymenta, do monitoringa u produkciji. Cilj DevSecOps-a je da se sigurnost tretira kao zajednička odgovornost celog tima, a ne samo izolovanog sigurnosnog tima. Za DevOps inženjera, razumevanje DevSecOps principa i alata je ključno za izgradnju sigurnih i otpornih aplikacija. Ovaj tutorijal će vas provesti kroz ključne koncepte DevSecOps-a, alate i najbolje prakse.

Zašto je DevSecOps ključan u DevOps-u?

Principi DevSecOps-a

DevSecOps se zasniva na nekoliko ključnih principa:

  1. Shift Left: Integracija sigurnosti što je ranije moguće u životnom ciklusu razvoja softvera. To znači da se sigurnosna razmatranja uključuju već u fazi dizajna i planiranja, a ne samo pre deploymenta.
  2. Automatizacija sigurnosti: Automatizacija sigurnosnih testova i provera unutar CI/CD pipeline-a kako bi se obezbedila brza i konzistentna povratna informacija.
  3. Kontinuirana sigurnost: Sigurnost nije jednokratni događaj, već kontinuirani proces koji se primenjuje kroz ceo životni ciklus aplikacije, uključujući i produkciju (kontinuirani monitoring).
  4. Kultura i saradnja: Podsticanje saradnje između razvojnih, operativnih i sigurnosnih timova. Svi su odgovorni za sigurnost.
  5. Bezbednost kao kod: Definisanje sigurnosnih politika i konfiguracija kao koda, što omogućava verzionisanje, automatizaciju i ponovljivost.

Sigurnost u CI/CD pipeline-u

Integracija sigurnosnih alata u CI/CD pipeline je ključna za automatizaciju DevSecOps-a. Evo nekih uobičajenih tipova sigurnosnih testova:

1. Statička analiza sigurnosti aplikacija (SAST)

SAST alati analiziraju izvorni kod, bajtkod ili binarni kod aplikacije bez njenog pokretanja. Cilj je pronaći ranjivosti kao što su SQL Injection, Cross-Site Scripting (XSS), nebezbedna upotreba kriptografije, itd.

2. Dinamička analiza sigurnosti aplikacija (DAST)

DAST alati testiraju aplikaciju dok je pokrenuta, simulirajući napade na nju. Oni traže ranjivosti koje se manifestuju u runtime okruženju, kao što su problemi sa autentifikacijom, sesijama, logičke greške.

3. Analiza sastava softvera (SCA)

SCA alati identifikuju open-source komponente (biblioteke, frejmvorke) koje se koriste u aplikaciji i proveravaju poznate ranjivosti u tim komponentama. Većina modernih aplikacija koristi veliki broj open-source zavisnosti, koje mogu sadržati sigurnosne propuste.

4. Testiranje sigurnosti infrastrukture

Ovo uključuje skeniranje ranjivosti servera, mrežnih uređaja, baza podataka i cloud resursa.

Praktičan primer: Integracija sigurnosnih alata u GitLab CI/CD

GitLab nudi ugrađene mogućnosti za DevSecOps. Evo primera .gitlab-ci.yml koji uključuje SAST, DAST i Dependency Scanning:

include:
  - template: Security/SAST.gitlab-ci.yml
  - template: Security/DAST.gitlab-ci.yml
  - template: Security/Dependency-Scanning.gitlab-ci.yml

stages:
  - build
  - test
  - deploy
  - dast

build_job:
  stage: build
  script:
    - echo "Building application..."

test_job:
  stage: test
  script:
    - echo "Running unit tests..."

# DAST zahteva pokrenutu aplikaciju, pa se pokreće nakon deploya
dast_job:
  stage: dast
  variables:
    DAST_WEBSITE: http://your-deployed-app.com # Promenite URL

Ovaj primer pokazuje kako se lako mogu integrisati sigurnosni skenovi u GitLab CI/CD pipeline. Rezultati skenova će biti prikazani direktno u GitLab UI.

Upravljanje tajnama (Secrets Management)

Tajne (secrets) su osetljive informacije kao što su lozinke, API ključevi, sertifikati i tokeni. Sigurno upravljanje tajnama je kritično za bezbednost aplikacija.

Problemi sa tajnama

Rešenja za upravljanje tajnama

Praktičan primer: Korišćenje AWS Secrets Manager-a

  1. Kreiranje tajne u AWS Secrets Manager-u:

    • U AWS konzoli, idite na Secrets Manager.
    • Kliknite na Store a new secret.
    • Odaberite tip tajne (npr. Credentials for RDS database).
    • Unesite korisničko ime i lozinku.
    • Dajte tajni ime (npr. my-app/database-credentials).

  2. Pristup tajni iz aplikacije (Python primer):

    import boto3
import json

def get_secret():
    secret_name = "my-app/database-credentials"
    region_name = "us-east-1" # Promenite region

    # Kreiranje Secrets Manager klijenta
    session = boto3.session.Session()
    client = session.client(
        service_name=\'secretsmanager\',
        region_name=region_name
    )

    try:
        get_secret_value_response = client.get_secret_value(SecretId=secret_name)
    except Exception as e:
        raise e

    # Tajna je vraćena kao string, potrebno je parsirati je kao JSON
    if \'SecretString\' in get_secret_value_response:
        secret = get_secret_value_response[\'SecretString\']
        return json.loads(secret)
    else:
        # Ako je tajna binarna, dekodirajte je
        return get_secret_value_response[\'SecretBinary\']

if __name__ == "__main__":
    db_credentials = get_secret()
    print(f"Korisničko ime: {db_credentials[\'username\']}")
    print(f"Lozinka: {db_credentials[\'password\']}")

Sigurnost kontejnera i Kubernetes-a

Kontejneri i Kubernetes donose nove sigurnosne izazove, ali i moćne mehanizme za njihovo rešavanje.

Sigurnost kontejnera

Sigurnost Kubernetes-a

Praktičan primer: Kubernetes Network Policy

Ova Network Policy dozvoljava samo saobraćaj sa Podova sa labelom app: frontend da pristupi Podovima sa labelom app: backend na portu 80.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: backend-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes:
    - Ingress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: frontend
      ports:
        - protocol: TCP
          port: 80

Zaključak

DevSecOps je neophodan pristup za izgradnju sigurnih i otpornih softverskih sistema u modernom DevOps okruženju. Integracijom sigurnosti u svaku fazu životnog ciklusa softvera, automatizacijom sigurnosnih provera i podsticanjem kulture sigurnosti, timovi mogu značajno smanjiti rizik od ranjivosti i incidenata. Kao DevOps inženjer, vaša uloga u implementaciji DevSecOps principa i korišćenju odgovarajućih alata je ključna za uspeh vaše organizacije. Kontinuirano učenje o novim pretnjama, alatima i najboljim praksama u oblasti sigurnosti je od vitalnog značaja.

Reference

Autor: Manus AI Datum: 27. jul 2025.