Security-integratie (DevSecOps)
Security ingebouwd in elke fase van de pipeline. Geautomatiseerde kwetsbaarheidsscans, detectie van secrets en compliancecontroles. Shift left: problemen vroeg opsporen. Security as code, geen bijzaak.
Security gate in de pipeline
a1c4e07feat: export invoices to ERP
- Secret scanningWacht
- Statische codeanalyseWacht
- Dependency scanWacht
- InfrastructuurscanWacht
Release gate
Wacht op de securitycontroles
$ dotnet list package --vulnerable --include-transitive
Illustratief voorbeeld
Security in elke fase
Shift left betekent problemen vinden waar ze het goedkoopst op te lossen zijn, zonder de controles verderop te schrappen.
Tijdens het coderen
Analyzers in de IDE, detectie van secrets vóór een commit en branch policies die een gereviewde pull request vereisen.
In de build
Statische codeanalyse zoals CodeQL, scanning van dependencies op gekende kwetsbaarheden en licenties, en secret scanning bij elke push.
Vóór de deployment
Infrastructuurtemplates gecontroleerd tegen policy, containerimages gescand en goedkeuringen voor productie geregistreerd.
In productie
Microsoft Defender for Cloud voor de securityhouding en dreigingsdetectie, met alerts die in hetzelfde wachtdienstproces terechtkomen.
De pipeline zelf beveiligen
Een pipeline die naar productie kan uitrollen, is een waardevol doelwit voor aanvallers. We behandelen ze als een productiesysteem.
- Geen secrets in code of YAML. Secrets staan in Azure Key Vault en worden tijdens de run opgehaald; secret scanning vangt alles op wat per vergissing gecommit wordt.
- Workload identity federation. Service connections naar Azure gebruiken federated credentials in plaats van opgeslagen client secrets die verlopen of uitlekken.
- Minimale rechten. Elke pipeline-identiteit kan alleen uitrollen naar de resource groups en omgevingen die ze nodig heeft.
- Beschermde omgevingen. Deployments naar productie vereisen goedkeuringen en controles, en elke run wordt gelogd voor audit.
- Betrouwbare, vastgezette dependencies. Packages komen uit betrouwbare feeds zoals Azure Artifacts, versies liggen vast en updates worden automatisch voorgesteld door tools zoals Dependabot of Renovate.
Auditbewijs als bijproduct
Omdat elke wijziging door dezelfde pipeline gaat, krijgt u een traceerbaar overzicht van wie wat wijzigde, welke controles liepen en wie de release goedkeurde. Dat overzicht ondersteunt audits onder kaders zoals ISO 27001 of NIS2, met veel minder manueel verzamelwerk.