О нас

Услуги

DevSecOps

Получить консультацию

Построим процесс безопасной разработки
в вашей компании

Безопасная разработка

Внедрение подхода безопасной разработки, или DevSecOps,
требует активного участия команд разработки, DevOps и отдела кибербезопасности. Поэтому очень важно, чтобы взаимодействие между этими подразделениями было налажено, а используемые инструменты корректно настроены.

Мы проанализируем ваши бизнес-задачи и инфраструктуру и предложим оптимальные решения для обеспечения кибербезопасности как кода приложения, так и его окружения. Внедрение методологии DevSecOps позволит не только снизить стоимость закрытия уязвимости, но и повысить прозрачность разработки.

Повысить прозрачность разработки

Сократить количество киберинцидентов

Снизить стоимость исправления уязвимости

Выявить недекларированные возможности

Соответствовать требованиям регуляторов

Определить уровень доверия к подрядчику

Зачем строить DevSecOps?

Услуги по внедрению DevSecOps

Аудит уровня зрелости кибербезопасности в процессе разработки и разработка Roadmap по повышению защищенности

Оценим безопасность вашего процесса разработки на соответствие ведущим мировым практикам DevSecOps. На базе этого, проанализируем текущее состояние циклов разработки приложений и создадим дорожную карту повышения уровня кибербезопасности и построения DevSecOps процесса. Услуга базируется на методологии OWASP SAMM v2.

Этапы работы:

Изучим вашу инфраструктуру для определения границ проекта
Разработаем стратегию построения и эксплуатации безопасного CI/CD конвейера на базе внедряемого ПО
Внедрим и настроим ПО в инфраструктуру разработки
Построим DevSecOps процесс на базе используемых технологий
Предоставим подробную документацию по разработанному DevSecOps процессу

Построение процессов DevSecOps на базе российского ПО и open-source инструментов

Для построения процесса безопасной разработки DevSecOps мы используем технологии, находящиеся в реестре российского ПО, и свободно распространяемые инструменты(open-source).

Этапы работы:

Исследуем инфраструктуру и определим границы проекта по построению DevSecOps процессов
Проведем аудит безопасности ваших процессов разработки и интервью команды
Сформируем подробный отчет о текущем состоянии безопасности процессов разработки
Разработаем рекомендации по построению DevSecOps процессов и дорожную карту развития защищенности процесса разработки с указанием узких мест и планом по устранению выявленных недостатков

Аудит и безопасная настройка инфраструктуры DevOps

В рамках услуги мы проведем аудит конфигурации вашей DevOps-инфраструктуры, например, Kubernetes, Docker, Openshift, Nginx, и внедрим инструмент Hardening Framework. Это позволит настроить правильную конфигурацию компонентов инфраструктуры в соответствии с внутренними требованиями и международными рекомендациями кибербезопасности, а также корректно выстроить DevSecOps процесс.
Hardening Framework представляет собой набор модулей, содержащих различные международные рекомендации CIS Benchmark, а также шаблоны по распространению сконфигурированных настроек на всю инфраструктуру.

Этапы работы:

Проведем исследование и анализ вашей DevOps-инфраструктуры для обозначения границ проекта
Оценим соответствие конфигураций компонентов инфраструктуры международным рекомендациям CIS Benchmark
Встроим процесс автоматизированного аудита в конвейере CI/CD
Разработаем «золотой шаблон» DevSecOps-конфигураций для аудируемых технологических платформ
Настроим технологические платформы в соответствии с «золотым шаблоном»

Внедрение комплексной платформы защиты среды контейнеризации

Неотъемлемой частью методологии DevSecOps является защита окружения программного кода. Мы построим защиту среды контейнеризации для ваших микросервисов на базе продукта Aqua Security Platform. Платформа представляет собой комплексное решение, обеспечивающее эшелонированную киберзащиту ваших микросервисов на протяжении всего жизненного цикла их работы.
Платформа позволяет повысить уровень кибербезопасности контейнерных приложений, обеспечить защиту микросервисов на сетевом уровне и их соответствие международным требованиям на всем цикле эксплуатации.

Этапы работы:

Изучим вашу инфраструктуру для определения границ проекта
Разработаем подробную документацию по встраиванию платформы защиты среды контейнеризации
Развернем платформу в вашей инфраструктуре
Интегрируем платформу защиты среды контейнеризации со смежными системами и настроим политики безопасности в соответствии с DevSecOps-методологией
Выполним тонкую настройку платформы защиты среды контейнеризации в соответствии с вашими потребностями и с учетом внутренних требований по безопасности микросервисов.

Обеспечение композиционной защиты программного кода

Использование в коде свободно распространяемого ПО несет ряд рисков для проектов – от угроз кибербезопасности и реализации хакерских атак до невозможности дальнейшего развития проектов в силу нарушения лицензионных соглашений.
В рамках услуги мы внедрим в вашу DevOps-инфраструктуру инструмент композиционного анализа кода – CodeScoring. Он позволяет вести реестр компонентных связей проектов (SBoM), выявляет уязвимости на базе статического анализа кода, определяет используемые лицензии, проверяет лицензионную совместимость компонент и многое другое.

Этапы работы:

Соберем ваши требования к решению и проанализируем вашу инфраструктуру для определения границ проекта
Спроектируем и внедрим продукт в вашу инфраструктуру разработки
Разработаем подробную документацию по проекту
Проведем тонкую настройку продукта и осуществим интеграции с вашими ИТ-системами

Анализ исходного кода и пентест приложения

В процессе безопасной разработки DevSecOps мы предлагаем подойти к поиску уязвимостей в коде комплексно:

провести статический анализ кода – проверить исходный код сканером, который подходит именно вашему приложению;
вручную верифицировать весь перечень найденных уязвимостей и дефектов.

Результатом анализа исходного кода приложения станет список реально-существующих проблемных мест и подробные инструкции по их исправлению.

Оптимизация набора инструментов анализа кода под ваш технологический стек

Пентест приложений

Ручная верификация результатов сканирования

Контроль соблюдения нормативных сроков устранения уязвимостей

Статический анализ кода приложения (сканирование SAST)

Формирование отчета и рекомендаций по исправлению проблем приложения

Композиционный анализ кода приложения (сканирование SCA)

Выявление секретов в коде приложения

Сертифицированная команда экспертов
Нашу квалификацию подтверждают такие сертификаты как EC-Council Certified Application Security Engineer и Microsoft Certified Azure Security Engineer
Ручной анализ кода
Вручную проверяем все выявленные сканером уязвимости и дефекты, предоставляем вашему отделу разработки только критичные уязвимости и опасные дефекты
с подробными инструкциями по их исправлению
Пентест приложений
Проводим пентест вашего приложения методом белого ящика для выявления уязвимостей в бизнес-логике приложений

Проведем первоначальное сканирование на уязвимости и настроим профили сканирования для регулярного анализа кода

Сформируем скоуп на базе полученной информации о разрабатываемом приложении

Проведем анализ исходного кода на уязвимости с заданной периодичностью или в рамках CI/CD процесса

Этапы анализа исходного кода

1

2

3

Вручную проверим выявленные сканером уязвимости и дефекты

Сформируем отчет об обнаруженных уязвимостях и дефектах с подробными рекомендациями по исправлению

Актуализируем профили сканирования приложения на уязвимости

Получить консультацию

4

6

5

Партнеры и технологии

Почему Angara Security

В ходе работы мы опираемся на ваши цели и специфику отрасли. Это позволяет нам предложить те методы и инструменты безопасной разработки, которые будут подходить именно вашей компании.

Индивидуальный подход

На всех этапах работы мы тесно сотрудничаем с вашими специалистами, чтобы лучше понять и решить поставленные задачи. Мы подробно объясняем каждый этап работы и отвечаем на всех вопросы.

Ориентированность на результат