✋ DevSecOps для тех, кто не безопасник: как встроить SAST, SCA и поиск секретов в CI/CD
✋ DevSecOps для тех, кто не безопасник: как встроить SAST, SCA и поиск секретов в CI/CD Типичная сцена из жизни команды разработки: тимлиду или DevOps-инженеру прилетает задача от руководства — «нужно прикрутить безопасность к пайплайну». Вы не безопасник, но задача стоит, и ваш минимум: чтобы не пускало уязвимости в прод. Обычный и логичный путь — взять популярный сканер (Trivy, SonarQube, Semgrep), воткнуть его новым шагом в пайплайн GitLab CI или GitHub Actions с дефолтным конфигом и запустить на мастере. Но спустя десять минут пайплайн с треском падает. Сканеры с гордостью выдают 480 предупреждений: от устаревшей минорной библиотеки пятилетней давности в глубине node_modules до гипотетической уязвимости в тестовом скрипте, который вообще не попадет в прод. 👀 Источник ✋ Secure Books
Канал в каталоге Максиметера
309 подписчиков · Новости