Posílení zabezpečení skrze Secure SW Development Lifecycle
Pro Thermo Fisher Scientific jsme nastavili bezpečnostně orientované prostředí pro vývoj webových aplikací v souladu s korporátními standardy. Projekt posílil kontrolu bezpečnosti napříč celým vývojovým procesem.
Zákazník
Kompetence
Technologie
O projektu _
Benefity pro zákazníka:
- Ušetření času zákazníka díky přenesení analytické části na Edhouse,
- získané know-how nyní uplatňujeme v dalších projektech, které zákazník u nás realizuje.
Pro našeho dlouholetého zákazníka Thermo Fisher Scientific jsme se aktivně podíleli na procesu nastavení bezpečnostně orientovaného prostředí pro vývoj webových a dalších aplikací. Účastnili jsme se posouzení zranitelností v aplikaci i vývojovém toolchainu.
V Edhouse jsme zpracovali bezpečnostní audit aplikace SW Library. Tato webová aplikace slouží pro správu softwarových balíčků a je dlouhodobě vyvíjená týmem v Edhouse.
Prvním krokem byla analýza současného stavu a nastavení platformy pro správu zdrojového kódu (GitLab). Na základě provedené analýzy jsme se rozhodli využít platformu GitHub, kde jsou obsaženy nástroje pro pokročilé zabezpečení.
Řešili jsme způsob vývoje a nasazení aplikace, nahlédli do správy uživatelů, nastavili jsme a vyhodnotili výstupy analýz zdrojového kódu pomocí CodeQL. Aktivovali jsme secret scanning a Dependabot. Následovalo automatické generování dokumentu SBOM pro popis komponent aplikace v mezinárodně podporovaném formátu CycloneDX. Platforma nyní upozorní vývojáře, když použijí interní či externí komponentu bez uvedení její licence a tedy i původu. Po zdokumentování komponent, kryptografických algoritmů a výstupů ze statické analýzy (SAST) následovala analýza dynamická (DAST), kde jsme uplatnili komplexní služby platformy Qualys.
Vývojový tým získal výstupy ze statické a dynamické analýzy kódu i doporučení na opravné akce ve formátu odpovídajícím interním standardům zákazníka. Opravné akce budou postupně zařazeny do dalších fází vývoje produktu. Automatické spouštění statické a dynamické analýzy zajistí kontinuální kontrolu bezpečnosti zdrojového kódu dnes i do budoucna.
Řešení jsme průběžně konzultovali s bezpečnostními odborníky z Thermo Fisher Corporate Infrastructure & Security týmu. Díky tomu jsme prohloubili naši spolupráci se Security týmem a posílili naše zkušenosti s realizací CyberSec projektů.
