Диплом «Cоздать безопасный пайплайн для open-source проекта»,
Информационная безопасность и защита информации, программирование в Краснодаре

Track DevSecOps Задача Ваша задача — создать безопасный пайплайн для open-source проекта. Он должен включать в себя статический анализатор, динамический анализатор, чекеры безопасности, Security Gateway и документацию процесса. Вы должны сами выбрать проект, для которого будет выстроен пайплайн. Платформа для организации CI/CD тоже на ваш выбор. Рекомендуем взять за основу GitLab CI/CD, GitHub Actions, CircleCI. Сервер для разворачивания даёт дипломный руководитель или методист в виде VPS. Исходные данные 1. Требования к проекту. Проект должен быть с открытым исходным кодом, представлять из себя веб-сервис или сайт с функционалом, использованием баз данных или кеша. Например, можно взять за основу Defect Dojo или CMS, Netlify-CMS. 2. Требования к покрытию проекта тестами безопасности. Проект должен проверяться на наличие уязвимостей в коде. Ни один язык программирования или фреймворк не должны быть пропущены для конкретного проекта. Весь процесс должен быть задокументирован и описан с аналитикой выбора инструментов и зон роста. Этапы проектирования Этап 1. CI/CD Критерии достижения: 1. Настроенный пайплайн по сборке и доставке программного обеспечения. 2. Использование облачных сервисов для раскатки. 3. Хорошо задокументированный процесс. Этап 2. SAST Критерии достижения: 1. Покрытие кода проверками. 2. Успешные проверки во время сборки. 3. Выгрузка результатов в CI или систему менеджмента уязвимостей. Этап 3. DAST Критерии достижения: 1. Покрытие сервиса проверками. 2. Успешные сканы по всем имеющимся методам. 3. Выгрузка результатов в CI или систему менеджмента уязвимостей. Этап 4. Security Checks Критерии достижения: 1. Проверка репозиториев на секреты. 2. Проверка конфигурации или образов. Этап 5. Security Gateway * Критерии достижения: 1. Имеется триггер на остановку релиза при наличии уязвимостей. 2. Сделаны дополнительные триггеры - оставление комментариев в MR, выгрузка рекомендаций по исправлению уязвимостей.