DevSecOps и безопасные пайплайны

SAST читает исходный код, не запуская его, и находит небезопасные пути в коде. DAST опрашивает запущенный экземпляр и видит поведение в рантайме, но не исходники. SCA проверяет объявленные зависимости на известные уязвимые версии. Каждый закрывает свой класс дефектов.

Сканеры ищут известные шаблоны учётных данных и строки с высокой энтропией — как pre-commit-хук, в CI и по всей истории. Pre-commit ловит рано, но его можно обойти, поэтому заслоном служит проверка в CI. Новые форматы он пропускает и ничего не ротирует.

Отчёт сканера — список гипотез, а не багов: статический анализ переоценивает пути, поэтому многие находки недостижимы или уже закрыты. Триаж подтверждает эксплуатируемость, назначает критичность и владельца. Шум приучает игнорировать инструмент.

Lockfile фиксирует точную версию и хеш каждой зависимости, прямой и транзитивной, поэтому пересборка тянет те же байты, а перевыпущенный пакет не проходит проверку. Подписи дают происхождение, а прокси-реестр блокирует похожие имена.

Нет. Считайте его скомпрометированным с момента попадания — клоны, форки, логи CI и зеркала уже его держат, и force-push оттуда ничего не убирает. Сначала ротация, затем аудит использования за окно экспозиции. Чистка истории — уборка, а не устранение.

Блокировать только высокоуверенные критичные классы — подтверждённый секрет, достижимую критическую зависимость — остальное в warn. Break-glass — метка самообслуживания: релиз идёт, но security уведомлён и заводится тикет со сроком. Подавления истекают.

Начать в режиме warn и забаселайнить существующие находки, чтобы команды видели только новые. Сканирование — наследуемый центральный шаблон пайплайна: включено по умолчанию, снятие заметно. Подключать по риску. Отчитываться временем устранения и долей обходов.

Приоритет — это риск, а не одна оценка критичности: сочетайте критичность с сигналами эксплуатации, достижимостью и экспозицией актива. Уровни сроков привязаны к композитной оценке, а отсчёт идёт с триажа. Находки базовых образов уходят платформенной команде по метаданным владения. Срыв срока — принятие риска со сроком.

Скан не может уронить сборку — continue-on-error: true глотает его код возврата, а шаг Gate жёстко делает exit 0. Плюс токен печатается в лог, а write-all работает на незапиненном экшене. Гейтить по реальному коду возврата, убрать echo, ротировать токен, сузить permissions, запинить по SHA.

Сканировать не только исходники, но и вывод plan — в pull request и повторно на apply. Правила — версионируемый policy-as-code со своими тестами и разной областью для sandbox и production. Выкатывать в режиме warn с истекающим базовым исключением, а право apply оставить только идентичности пайплайна.

Сначала оцените экспозицию — по описи найдите затронутые артефакты и те, что смотрят в интернет. Патча нет, поэтому выигрывайте время компенсирующими мерами: отключить функцию, фильтровать вход на периметре, сузить egress. Патч — как выйдет релиз.

«Существует» и «достижима» — не одно и то же. SCA помечает версию, но уязвимая функция может ни разу не вызываться из вашего кода. Анализ достижимости идёт по графу вызовов от точек входа; нет пути до стока — риск латентный, приоритет ниже, но патч ставится.

SBOM — машиночитаемая опись всех компонентов и их версий, реально попавших в сборку, включая транзитивные, снятая с разрешённого дерева зависимостей. Скан даёт находки на сегодня; SBOM отвечает позже, в каких выпущенных артефактах есть компонент.

Объявить инцидент с одним руководителем и одной описью-истиной. Сначала имеющиеся описи, затем скан работающих артефактов. Очередь — по экспозиции, сначала смотрящие в интернет. Вендорские образы — сетевые митигации и давление на поставщика. После — обязательные описи на сборке.