Безопасный релиз на практике: SAST, SCA, контейнеры и security gates

Почему тема важна? Проверки безопасности часто подключают формально. Разберем, как встроить их в CI/CD, чтобы уязвимый код и образы не дошли до релиза. Описание На открытом уроке разберем практический сценарий безопасного релиза: встроим автоматические проверки в CI/CD-пайплайн и посмотрим, как они влияют на решение о выпуске продукта. На примере Semgrep, OWASP Dependency-Check и Trivy проверим исходный код, сторонние зависимости и контейнерный образ. Разберём результаты сканирования и настроим security gates, которые смогут остановить pipeline при обнаружении критичных проблем. Открытый урок проходит в рамках курса «Внедрение и работа в DevSecOps». О чем поговорим - Разберем, на каких этапах CI/CD-пайплайна следует запускать SAST, SCA и проверку контейнерных образов. - Подключим Semgrep для анализа исходного кода, OWASP Dependency-Check для проверки зависимостей и Trivy для сканирования контейнеров. - Посмотрим, какие результаты выдают инструменты и как определить, какие находки действительно требуют реакции. - Настроим условия прохождения pipeline и security gates, блокирующие релиз при критичных уязвимостях. - Проверим весь сценарий на практике: от запуска автоматических проверок до остановки небезопасного релиза. Кому будет полезно DevOps- и SRE-инженерам, backend-разработчикам, специалистам AppSec и информационной безопасности, а также platform-инженерам, которые уже работают с CI/CD и хотят встроить автоматические проверки безопасности в процесс релиза. «Внедрение и работа в DevSecOps» - https://otus.pw/KKWL/ Преподаватель: Максим Чащин - директор по информационной безопасности (ГК «Девелоника») Пройдите опрос по итогам мероприятия - https://otus.pw/kumx/ Следите за новостями проекта: → Telegram: https://t.me/Otusjava → Хабр: https://otus.pw/S0nM/ → Макс: https://otus.pw/wVga/ → VK: https://vk.com/otusru