Conférence CodeSecDays et couverture de sécurité plus complète avec GitGuardian

Les secrets étant impliqués dans la plupart des incidents de sécurité, Snyk est ravi de s’associer à GitGuardian pour aider les équipes de développement et de sécurité à déployer leurs programmes de sécurité à grande échelle et à réduire davantage la surface d’attaque des applications à chaque étape du cycle de vie, du code au cloud.

Nous sommes récemment intervenus lors de la première conférence numérique de GitGuardian, CodeSecDays, aux côtés de responsables de la sécurité de Chainguard, Doppler, Kondukto et d’autres entreprises. Ils ont partagé leurs réflexions sur la signature des logiciels, la sécurité des logiciels open source et la gestion des secrets. 

Les intervenants imaginent un monde où la sécurité de la chaîne d’approvisionnement logicielle est résolue 

Parmi les sessions les plus populaires figurait la table ronde animée par Rachel Stephens, analyste chez RedMonk. Sonya Moisset, Senior Security Advocate chez Snyk, a souligné l’importance de décloisonner les équipes de développement et de sécurité afin de créer des chaînes d’approvisionnement logicielles plus sûres. Selon elle, il est essentiel d’expliquer comment les nouveaux outils de sécurité s’intègrent aux workflows et aux pipelines des équipes de développement afin de réduire les obstacles et les frictions.  Elle a également insisté sur l’importance d’accompagner les développeurs dès le départ pour favoriser l’adoption des nouveaux outils. 

Nic Manoogian, ingénieur logiciel senior chez Doppler, a insisté sur la nécessité de simplifier le quotidien des développeurs. Selon lui, les entreprises recrutent des personnes compétentes et à l’aise avec l’informatique. Alors, si vous leur mettez des bâtons dans les roues, elles trouveront une solution de contournement.  Tous les ingénieurs de Doppler sont formés à la sécurité, et l’équipe de sécurité sait aussi que le travail doit avancer côté développement. Il pense que les équipes de développement et de sécurité peuvent entretenir une relation mutuellement bénéfique.

Nous devons rendre l’apprentissage de la sécurité ludique et motiver les développeurs à s’y intéresser. La ludification, les hackathons et les sessions de chasse aux bugs, où l’on corrige des vulnérabilités lors d’un sprint, contribuent à sensibiliser les équipes et à corriger les failles en entreprise. »

- Sonya Moisset, Senior Security Advocate chez Snyk

Les intervenants ont également abordé la création de programmes de formation à la sécurité efficaces, les moyens de tirer le meilleur parti de ses outils de sécurité et les mesures les plus importantes pour améliorer la posture de sécurité de son entreprise. 

Pour commencer à sécuriser votre chaîne d’approvisionnement logicielle, Kayssar Daher, Staff Security Engineer chez GitGuardian, recommande de procéder par étapes. Vous pouvez, par exemple, configurer un registre pour vos packages Python afin d’analyser les problèmes de sécurité. Sonya a suggéré de commencer avec une ou deux équipes avant d’étendre la démarche à des centaines d’équipes. Eddie Zane, Staff Developer Relations chez Chainguard, a ajouté qu’un bon point de départ consiste à répertorier les dépendances utilisées.

« Je participe à beaucoup d’événements. Au cours de l’année passée, j’ai vu des entreprises que l’on n’aurait jamais imaginées dans le domaine de la chaîne d’approvisionnement logicielle. J’ai l’impression que beaucoup vendent une simple case à cocher. De nouvelles réglementations et décrets présidentiels voient le jour, mais il n’existe pas de solution miracle à ce problème. »

- Eddie Zane, Staff Developer Relations chez Chainguard

Alors que l’intelligence artificielle est de plus en plus utilisée dans les workflows de développement, Sonya rappelle que le code généré par l’IA peut lui aussi introduire des vulnérabilités, tout comme le code que nous écrivons au sein d’une entreprise. Il est donc essentiel d’appliquer les mêmes outils et workflows pour analyser le code généré par l’IA et vérifier qu’il ne comporte aucune vulnérabilité.  

L’iceberg : votre surface d’attaque vient de s’étendre

L’intervention de Sonya portait sur la réduction des risques liés aux projets open source. Elle a présenté les principaux défis de cybersécurité, les outils disponibles sur GitHub Marketplace pour sécuriser votre pipeline et les bonnes pratiques pour renforcer la sécurité de vos logiciels open source. Elle s’est appuyée sur l’analogie de l’« iceberg » pour décrire les différentes couches d’une application moderne : le code applicatif, les bibliothèques open source, les conteneurs et l’infrastructure as code. Si seule la pointe est visible au-dessus de l’eau, les applications modernes comportent de nombreuses couches invisibles au premier abord, mais indispensables à leur fonctionnement. 

L’analogie de l’iceberg met en évidence la complexité des applications modernes et l’importance d’adopter une approche globale pour les sécuriser. Pour garantir la sécurité d’une application, vous devez prendre en compte et sécuriser chacune de ces couches : le code propriétaire, les bibliothèques open source, les conteneurs et l’infrastructure as code.

Dans son intervention, Sonya commence par présenter certaines des attaques les plus courantes contre les logiciels open source, comme le typosquatting et l’insertion de code malveillant dans les logiciels. L’accessibilité des logiciels open source les rend également vulnérables aux attaques visant la chaîne d’approvisionnement. Dans le cas des projets open source, des acteurs malveillants peuvent introduire des vulnérabilités dans les logiciels produits et ainsi propager facilement de nouvelles menaces aux entreprises qui les utilisent.

Sécurisez votre pipeline à chaque étape du SDLC

Pour lutter contre ces attaques et d’autres menaces, les applications et actions de sécurité disponibles sur GitHub Marketplace vous aident à sécuriser votre pipeline à chaque étape du cycle de développement logiciel. Sonya recommande aux mainteneurs et aux contributeurs d’envisager un pipeline de base comprenant :

• Un outil d’analyse de la composition logicielle permettant d’identifier les composants open source d’une base de code, afin que les mainteneurs et les contributeurs puissent gérer leur exposition aux risques de sécurité et aux problèmes de conformité des licences.

• Un outil pour empêcher la prolifération des secrets, c’est-à-dire leur diffusion indésirable dans plusieurs systèmes, qu’il s’agisse de clés API ou d’identifiants.

• Un outil d’analyse statique du code, une méthode de débogage qui consiste à examiner le code source avant l’exécution d’un programme et à le comparer à un ensemble de règles de codage.

Elle explore ensuite des stratégies efficaces de gestion des secrets, comme le chiffrement des informations sensibles, et explique comment utiliser l’analyse statique du code à différentes étapes du cycle de développement logiciel, de la conception et du développement aux tests et au déploiement. Pour approfondir le sujet, consultez le guide de Sonya : « Open Source Software Security Handbook – Best Practices for Securing Your Projects. »

Si vous partagez l’objectif de CodeSecDays et imaginez un monde sans vulnérabilités de sécurité, découvrez la playlist complète de l’événement ici.  

Lancez-vous avec Snyk et GitGuardian

Pour en savoir plus sur la façon dont GitGuardian et Snyk peuvent vous aider à développer des logiciels plus sûrs, écrivez-nous à tapp@snyk.io ou prenez rendez-vous pour une démo avec notre équipe.