Bonnes résolutions 2022 pour la sécurité des développeurs

Le début de l’année 2022 est le moment idéal pour prendre de bonnes résolutions pour l’année à venir. Pas d’inquiétude, nous ne vous demandons pas de devenir un as du CrossFit ni de battre des records sur votre Peloton. Et si vous vous fixiez plutôt des objectifs pour renforcer vos compétences en développement sécurisé ?

Trop souvent, nous prenons des résolutions vouées à l’échec. Mieux vaut se fixer des objectifs réalistes. Dans cette optique, nous vous proposons des résolutions en matière de sécurité des développeurs que vous pourrez toutes tenir sans quitter votre chaise de bureau.

Poursuivez votre lecture pour découvrir cinq de nos bonnes résolutions 2022 en matière de sécurité des développeurs.

1. Je signerai mes images de conteneur !

En matière de sécurité des conteneurs, de nombreuses images de conteneur sont exposées aux attaques de l’homme du milieu (MITM) : une image récupérée dans un registre peut être modifiée avant d’arriver au client Docker. C’est pourquoi l’une de nos 10 bonnes pratiques de sécurité Docker consiste à signer et à vérifier chaque image Docker.

cosign, un outil simple de Sigstore, est une excellente solution pour signer des images. Il est « suffisamment sûr pour être stocké dans un dépôt GitHub à côté de votre code, afin de pouvoir déchiffrer ou signer avec un mot de passe conservé dans un gestionnaire de secrets et utilisé dans votre système CI ». Autre possibilité : si l’éditeur signe son image de conteneur avec Docker Notary, les utilisateurs peuvent avoir l’assurance que l’image conserve son intégrité lors de son transfert depuis un registre public ou privé. Les équipes de développement peuvent alors activer Docker Content Trust pour exiger que chaque image soit signée et vérifiée avant d’être utilisée dans leurs projets. Cela permet, au final, de prévenir les attaques MITM contre les applications conteneurisées.

N’oubliez pas : Snyk Container vous aide à analyser les conteneurs à la recherche de vulnérabilités, directement dans votre workflow de développement existant, afin d’améliorer leur sécurité. L’analyse des conteneurs vous aidera à tenir cette résolution haut la main !

2. J’exécuterai tous mes conteneurs avec un système de fichiers racine en lecture seule !

L’exécution sécurisée de conteneurs sur Kubernetes peut représenter un défi pour de nombreuses équipes. Kubernetes propose un outil puissant : le securityContext, qui regroupe les paramètres de sécurité utilisables dans chaque manifeste de Pod et de conteneur. Mais le securityContext doit être correctement configuré pour garantir une sécurité adéquate.

Une mauvaise configuration aux conséquences désastreuses consiste à exécuter des conteneurs avec des systèmes de fichiers racine accessibles en écriture. Des acteurs malveillants pourraient ainsi élever leurs privilèges et altérer votre application. En configurant le système de fichiers racine en lecture seule dans le securityContext, vous pouvez protéger vos conteneurs contre les attaques.

Besoin d’aide pour tenir cette résolution ? Snyk Infrastructure as Code peut analyser vos configurations Kubernetes afin de détecter toute mauvaise configuration ou autre risque de sécurité.

3. Je n’installerai pas de packages npm qui exécutent des commandes arbitraires !

Les packages npm open source aident les développeurs à créer des applications beaucoup plus rapidement, mais ils peuvent aussi introduire des vulnérabilités de sécurité. Parmi les vecteurs d’attaque spécifiques identifiés par Snyk, on trouve les packages npm qui intègrent des scripts de préinstallation ou de post-installation exécutant des commandes arbitraires.

En ignorant les scripts d’exécution, vous pouvez empêcher l’exécution de scripts arbitraires lors de l’installation de packages et protéger votre chaîne d’approvisionnement logicielle contre les manipulations. Vous réduisez ainsi la surface d’attaque dont pourraient tirer parti des acteurs malveillants.

Snyk Open Source peut vous aider à détecter les dépendances open source vulnérables dans vos applications. Snyk peut même repérer les problèmes dans les dépendances indirectes, qui sont à l’origine de l’impact de la récente vulnérabilité Log4j sur la plupart des organisations. L’analyse des dépendances permet donc de repérer les packages malveillants dans des projets utilisant de nombreux langages, et pas seulement JavaScript.

4. Je ne fusionnerai que les PR ayant fait l’objet d’une revue de code automatisée !

Pour la plupart des organisations, il est essentiel de développer et de déployer rapidement des logiciels. Cela ne signifie pas pour autant qu’elles doivent faire l’impasse sur la sécurité des applications. En examinant tout le code avant sa fusion dans le dépôt central, les équipes de développement peuvent considérablement renforcer la sécurité de leurs applications.

Le problème, c’est que les revues de code manuelles prennent du temps et que les évaluateurs peuvent passer à côté de certains problèmes de sécurité. C’est pourquoi l’analyse automatisée du code à chaque modification est essentielle à une sécurité efficace des applications.

Grâce aux intégrations de Snyk avec les gestionnaires de code source comme GitHub et Bitbucket, vous pouvez analyser automatiquement le code à la recherche de vulnérabilités lors de chaque pull request (PR), avant sa fusion.

5. J’appliquerai toujours les pratiques de programmation sécurisée !

Les entreprises qui souhaitent intégrer la sécurité plus tôt dans le cycle de développement peuvent commencer par adopter des normes de programmation sécurisée. En appliquant les bonnes pratiques de programmation sécurisée, les développeurs peuvent repérer et éliminer les vulnérabilités avant qu’elles ne s’introduisent dans le code source d’une application.

Quoi de mieux pour renforcer vos compétences en programmation sécurisée cette année que Snyk Learn ? Notre nouvelle plateforme de formation à la sécurité aide les développeurs à approfondir ces compétences grâce à des contenus sélectionnés en fonction de leurs propres projets de programmation.

La sécurité doit être intégrée aux workflows de développement existants. Il nous semble donc logique que les formations à la sécurité soient également accessibles là où les développeurs travaillent. Avec Snyk Learn, vous pouvez vous former et appliquer immédiatement les pratiques de programmation sécurisée pendant que vous écrivez votre code.

À une année 2022 plus sûre !

Contrairement aux joggeurs pleins d’enthousiasme qui abandonnent avant la fin janvier, nous espérons que vous tiendrez ces résolutions pendant des années ! Vous renforcerez ainsi considérablement la sécurité de vos applications à l’avenir.

Bonne année et restez en sécurité !

Les équipes DevRel et SecRel de Snyk