Bilan du premier jour de SnykCon : Snyk Code, neutralité carbone et temps forts des sessions
Ravi Maira
22 octobre 2020
0 minutes de lectureLe premier jour de SnykCon 2020 est déjà derrière nous. Dans cet article, nous vous proposons un récapitulatif de toutes les actualités à retenir, ainsi qu’un aperçu de quelques sessions marquantes auxquelles nous avons assisté aujourd’hui. Bonne lecture, et retrouvez-nous demain pour le deuxième jour.
Snyk Code, l’analyse SAST pensée pour les développeurs, enrichit la plateforme Snyk
Aujourd’hui, nous avons lancé Snyk Code, une solution d’analyse statique de la sécurité des applications (SAST) pensée pour les développeurs. Cet ajout enrichit notre plateforme de sécurité des applications cloud-native en offrant aux développeurs une visibilité sur tous les composants essentiels des applications modernes et des moyens de remédier aux problèmes. Du code applicatif aux bibliothèques open source, en passant par les conteneurs et l’infrastructure as code (IaC), il est désormais possible de bénéficier d’une visibilité complète et de corriger les problèmes depuis une seule plateforme.
Pourquoi lancer Snyk Code ? Franchement, bon nombre des outils SAST déjà disponibles sur le marché ne sont pas adaptés aux développeurs. Ils ralentissent la mise en production du code. Ils génèrent souvent beaucoup de faux positifs et nécessitent une expertise approfondie en sécurité pour en tirer parti. À l’inverse, Snyk Code donne aux développeurs une visibilité automatisée et en temps réel sur les problèmes et les vulnérabilités de leurs applications.
Cette approche globale simplifie le quotidien des équipes de développement tout en renforçant la posture de sécurité de l’ensemble de l’organisation.
Pour en savoir plus sur Snyk Code et sur la façon dont il enrichit la plateforme Snyk,lisez l’article complet ici.
Snyk obtient le statut CarbonNeutral®
Nous sommes fiers d’annoncer que nous avons obtenu le statut CarbonNeutral® en suivant The CarbonNeutral Protocol, la principale référence internationale en matière de développement durable. En combinant des initiatives d’efficacité organisationnelle, des projets externes de réduction des émissions et des investissements dans les énergies renouvelables, nous allons compenser notre empreinte carbone de 2 400 tonnes métriques. Cet objectif se concrétisera grâce à des actions réfléchies et délibérées, menées par les employés et l’équipe dirigeante, au travail comme à la maison, conformément à la culture de Snyk.
Pour en savoir plus sur notre engagement en faveur de la neutralité carbone,lisez le communiqué de presse ici.
Mises à jour des fonctionnalités et autres actualités produits
Améliorations de Snyk CLI pour les tests de conteneurs et l’automatisation
Nous proposons des fonctionnalités de sécurité des conteneurs depuis plus d’un an et nous en avons régulièrement ajouté de nouvelles, comme notre intégration Kubernetes. Nous améliorons également sans cesse notre offre principale pour qu’elle s’intègre facilement aux processus de développement.
Snyk CLI prend désormais en charge de nouvelles fonctionnalités de test, notamment :
tester des images directement depuis n’importe quel registre
exécuter les tests Snyk dans le contexte de la génération d’images Docker
analyser d’autres types de conteneurs
afficher l’arbre des dépendances
générer des résultats au format JSON pour permettre le filtrage personnalisé
et bien plus encore
Découvrez comment utiliser ces nouvelles améliorations de Snyk Container dans ladocumentation Snyk ici.
L’intégration de Snyk à SCM pour les Dockerfiles
Aujourd’hui, nous avons annoncé une autre amélioration de Snyk Container : la détection des Dockerfiles directement dans les dépôts Git. Les équipes peuvent ainsi intégrer la sécurité plus tôt dans les processus de développement en analysant facilement et rapidement les Dockerfiles, avant même la création de l’image. Cette nouvelle fonctionnalité facilite le choix de la meilleure image de base et permet de repérer les vulnérabilités le plus tôt possible.
À mesure que l’adoption des conteneurs progresse, il n’a jamais été aussi important de faciliter l’application des bonnes pratiques de sécurité. Vous éviterez ainsi les mauvaises surprises, plus tard, dues à une image de base obsolète ou non sécurisée, qui pourrait être difficile à corriger, voire interrompre les applications.
Envie de l’essayer ?
SnykCon, premier jour : temps forts des sessions
Comme vous pouvez l’imaginer, cette première journée de SnykCon a été riche en événements. Voici quelques temps forts de panels, de conférences plénières et d’autres sessions, où des experts du développement et de la sécurité ont partagé leurs pratiques et les ont fait évoluer pour mieux s’accorder sur les méthodes de développement modernes.
Mettre fin au théâtre de la sécurité
Nous avons commencé cette première journée par une conférence stimulante de Kelly Shortridge, vice-présidente produit chez Capsule 8, sur la manière de mettre fin au théâtre de la sécurité. Les développeurs et les équipes DevOps veulent livrer des logiciels sécurisés, mais savent qu’ils sont évalués sur la livraison, et non sur la sécurité. Cela crée un conflit de taille entre le développement et la sécurité. Comme le souligne Kelly, la sécurité informatique est souvent perçue comme le « département du non ». Or, cette dynamique ne rend pas nécessairement les logiciels plus sûrs : elle est donc non seulement pénible, mais aussi inefficace.
Certains outils AppSec mettent tellement de temps à vérifier le code qu’ils interrompent les pipelines de build pour signaler des vulnérabilités de faible gravité, générant beaucoup trop de bruit. Intégrer la sécurité dès le début est un concept utile, mais ne suffit pas à résoudre ces problèmes. Cela ne fait que les déplacer plus tôt dans le cycle. Une mauvaise mise en œuvre du DevSecOps peut aussi entraîner davantage de théâtre de la sécurité, sans améliorer les résultats. Selon Kelly, il faut changer cette mentalité du « nous contre eux », ce qui relève davantage d’un changement de culture que de technologie.
La sécurité doit s’adapter pour permettre aux équipes de tester et de corriger les problèmes facilement et rapidement. Dans cette optique, Kelly a formulé plusieurs recommandations, notamment :
Mettre en place l’ingénierie du chaos appliquée à la sécurité pour rendre la reprise après incident plus efficace.
Reconnaître que les défaillances sont inhérentes aux systèmes et s’y préparer.
Favoriser une sécurité collaborative et ouverte ; faire de la sécurité un rôle de conseil et une source de connaissances, plutôt qu’un silo.
Récompenser les améliorations à l’échelle du système plutôt que la rigidité.
Culture de la sécurité : pourquoi en adopter une et comment la créer
La culture déjeune la stratégie.
Peter Drucker
Masha Sedova, cofondatrice d’Elevate Security, a consacré sa carrière à étudier les liens entre la sécurité et les sciences du comportement. Sa grande question : « Comment donner aux gens envie d’adopter de bons réflexes de sécurité ? » Lors de sa session, Masha a approfondi nombre des idées présentées par Kelly Shortridge pendant la session consacrée au théâtre de la sécurité.
Comme le souligne Masha, la confiance des clients est essentielle. Sans elle, impossible pour une entreprise de prospérer. Et cette confiance repose sur la sécurité. Si les clients ne font pas confiance à une entreprise, ils sont peu susceptibles d’y acheter des produits ou d’y revenir. La confiance est donc la raison fondamentale d’investir dans la sécurité. Pour instaurer et préserver cette confiance si précieuse, les entreprises les plus résilientes cultivent une culture de la sécurité positive au sein de leur organisation.
La culture de la sécurité ne se limite pas aux comportements observables : elle englobe aussi les croyances, les valeurs, les postulats et les expériences. Il est utile que chaque employé considère la sécurité comme faisant partie de son travail. Les organisations dotées des cultures de sécurité les plus positives comptent souvent des dirigeants qui ont déjà connu des violations de données. Ces expériences rendent la situation plus concrète et façonnent leurs postulats et leurs croyances. Heureusement, nul besoin de subir une violation pour instaurer une culture de sécurité positive, mais il faut aborder les changements culturels avec détermination.
Pour découvrir les autres réflexions de Masha sur la culture de la sécurité, regardez la vidéo complète ci-dessous :
Panel « Beyond the DevOps Handbook »
Ce panel était animé par Sasha Rosenbaum, chef de produit senior chez Github, avec la participation de :
Gene Kim (fondateur et auteur chez IT Revolution)
John Willis (directeur principal, Global Transformation Office, Red Hat), et
Patrick Debois (directeur de la stratégie de marché chez Snyk)
Cinq ans se sont écoulés depuis la parution de The DevOps Handbook, et beaucoup de choses ont changé. Le premier Handbook évoquait déjà le DevSecOps, mais les pratiques ont beaucoup évolué depuis. Lors de ce panel, les participants ont discuté de l’évolution du DevOps et des raisons pour lesquelles le DevSecOps en découle naturellement.
Tous les intervenants ont convenu que l’adoption du DevOps a été massive et généralisée, au point de surprendre les experts, et que le DevSecOps lui a emboîté le pas. Les conférences DevOps, autrefois modestes, attirent désormais des foules immenses, et ces pratiques sont devenues courantes.
Quelques points à retenir :
Le DevOps — et le DevSecOps — ne sont plus réservés aux très grandes entreprises.
Même des secteurs qui ne sont généralement pas à l’avant-garde du changement et de l’adoption des technologies, comme le secteur bancaire, ont adopté le DevOps et des pratiques telles que l’ingénierie du chaos.
Les outils ont beaucoup évolué depuis la parution de DevOps Handbook, rendant plus facile que jamais de réellement mettre en pratique le DevSecOps dans le monde réel.
Pour regarder le panel en entier, visionnez la rediffusion ci-dessous :
Retrouvez-nous demain
Merci de nous avoir lus ! Nous espérons vous retrouver demain pour le deuxième jour de SnykCon, avec d’autres annonces en direct et des conférences passionnantes sur des sujets allant de la quantification du DevSecOps à la démocratisation de la sécurité.
Rejoignez SnykCon !
