🔒 S2E06 — DevSecOps Pipeline Security Guardrails Automatisés

Intégration native de la sécurité
Public cible : DevSecOps Engineers, Security Architects, Platform Engineers

Synopsis

Intégrer la sécurité dès le code et tout au long du pipeline. Passer des gates bloquantes à des guardrails automatisés. Security-as-Code partout.

Anti-pattern → Pattern

Pipeline réactif (à éviter)

flowchart TD
    A["Dev Code"] --> B["Build"]
    B --> C["Tests Unitaires"]
    C --> D["Package"]
    D --> E["Security Scan"]
    E --> F{"Vulnérabilités ?"}
    F -- "Oui" --> G["Blocage & Rework"]
    F -- "Non" --> H["Déploiement"]

Pipeline natif sécurisé (recommandé)

flowchart TD
    A["Pre-commit hooks rapides"] --> B["Feedback IDE"]
    B --> C["Policy-as-Code par défaut"]
    C --> D["Scans intégrés CI/CD"]
    D --> E["Sécurité runtime + observabilité"]

5 Anti-patterns et correctifs

1) Gates fin de chaîne → Guardrails continus

À éviter : unique scan bloquant en fin de pipeline
À faire : hooks, templates sécurisés, policies par défaut

2) Scanner tout → Prioriser par le risque

À éviter : scans exhaustifs lents et bruyants
À faire : profondeur selon criticité, chemins métiers critiques

3) Silos sécurité → Security Champions

À éviter : dépendance à une équipe centrale
À faire : champions formés et mandatés dans chaque squad

4) Compliance snapshot → Continuous compliance

À éviter : audits ponctuels et dérive entre deux dates
À faire : GitOps + OPA + tableaux de bord en continu

5) Security theater → Security engineering

À éviter : empilement d’outils, métriques de façade
À faire : intégration, automatisation, métriques orientées risque

Architecture cible

flowchart TD
  subgraph IDE["IDE & Pré-commit"]
    P1["Plugins sécurité"]
    P2["Hooks pré-commit"]
    P3["Templates sécurisés"]
  end
  subgraph CI["Pipeline CI/CD"]
    C1["SAST rapide"]
    C2["Scan dépendances"]
    C3["Détection secrets"]
    C4["Policy validation"]
    C5["Scan images"]
    C6["Signature artefacts"]
  end
  subgraph RUN["Production"]
    R1["Runtime security"]
    R2["Monitoring sécurité"]
    R3["Réponse incidents"]
  end
  IDE --> CI --> RUN

Implémentation prête à l’emploi

Pré-commit (Security Foundations)

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/zricethezav/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks
        args: ["--verbose"]
  - repo: https://github.com/returntocorp/semgrep
    rev: v1.45.0
    hooks:
      - id: semgrep
        args: ["--config=auto","--error","--skip-unknown-extensions"]

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/zricethezav/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks
        args: ["--verbose"]
  - repo: https://github.com/returntocorp/semgrep
    rev: v1.45.0
    hooks:
      - id: semgrep
        args: ["--config=auto","--error","--skip-unknown-extensions"]

CI GitHub Actions (Security-as-Code)

# .github/workflows/devsecops.yml
name: DevSecOps Pipeline
on: [push, pull_request]

jobs:
  security-left-shift:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: SAST (Semgrep)
        run: semgrep --config=auto --error .

      - name: Dépendances (npm + Python)
        run: |
          if [ -f package.json ]; then npm audit --audit-level=critical || true; fi
          if [ -f requirements.txt ]; then pipx run safety check -r requirements.txt || true; fi

      - name: Secrets (GitLeaks)
        run: |
          gitleaks detect --source . --report-path gitleaks.json
          test ! -s gitleaks.json

      - name: Build image
        run: |
          docker build -f Dockerfile.secure -t $IMAGE_NAME .

      - name: Scan image (Trivy)
        run: |
          trivy image --exit-code 1 --severity HIGH,CRITICAL $IMAGE_NAME
          trivy image --ignore-unfixed $IMAGE_NAME

      - name: Signature (Cosign)
        run: cosign sign --yes $IMAGE_NAME

# .github/workflows/devsecops.yml
name: DevSecOps Pipeline
on: [push, pull_request]

jobs:
  security-left-shift:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: SAST (Semgrep)
        run: semgrep --config=auto --error .

      - name: Dépendances (npm + Python)
        run: |
          if [ -f package.json ]; then npm audit --audit-level=critical || true; fi
          if [ -f requirements.txt ]; then pipx run safety check -r requirements.txt || true; fi

      - name: Secrets (GitLeaks)
        run: |
          gitleaks detect --source . --report-path gitleaks.json
          test ! -s gitleaks.json

      - name: Build image
        run: |
          docker build -f Dockerfile.secure -t $IMAGE_NAME .

      - name: Scan image (Trivy)
        run: |
          trivy image --exit-code 1 --severity HIGH,CRITICAL $IMAGE_NAME
          trivy image --ignore-unfixed $IMAGE_NAME

      - name: Signature (Cosign)
        run: cosign sign --yes $IMAGE_NAME

Dockerfile sécurisé

# Dockerfile.secure
FROM node:18-alpine AS builder
RUN addgroup -S nodejs && adduser -S nodejs -G nodejs
USER nodejs
WORKDIR /app
COPY --chown=nodejs:nodejs package*.json ./
RUN npm ci --only=production && npm cache clean --force
COPY --chown=nodejs:nodejs . .
RUN npm run build

FROM gcr.io/distroless/nodejs18-debian11:nonroot
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
USER nonroot
EXPOSE 3000
CMD ["dist/index.js"]

# Dockerfile.secure
FROM node:18-alpine AS builder
RUN addgroup -S nodejs && adduser -S nodejs -G nodejs
USER nodejs
WORKDIR /app
COPY --chown=nodejs:nodejs package*.json ./
RUN npm ci --only=production && npm cache clean --force
COPY --chown=nodejs:nodejs . .
RUN npm run build

FROM gcr.io/distroless/nodejs18-debian11:nonroot
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
USER nonroot
EXPOSE 3000
CMD ["dist/index.js"]

Policy-as-Code OPA (Rego)

package kubernetes.security

deny[msg] {
  input.kind == "Pod"
  input.spec.securityContext.privileged == true
  msg := "Containers privilégiés interdits"
}

deny[msg] {
  input.kind == "Pod"
  container := input.spec.containers[_]
  not container.resources.limits.memory
  msg := sprintf("Container %s: limites mémoire requises", [container.name])
}

deny[msg] {
  input.kind == "Pod"
  container := input.spec.containers[_]
  not startswith(container.image, "registry.company.com/")
  msg := sprintf("Container %s: image non approuvée", [container.name])
}

package kubernetes.security

deny[msg] {
  input.kind == "Pod"
  input.spec.securityContext.privileged == true
  msg := "Containers privilégiés interdits"
}

deny[msg] {
  input.kind == "Pod"
  container := input.spec.containers[_]
  not container.resources.limits.memory
  msg := sprintf("Container %s: limites mémoire requises", [container.name])
}

deny[msg] {
  input.kind == "Pod"
  container := input.spec.containers[_]
  not startswith(container.image, "registry.company.com/")
  msg := sprintf("Container %s: image non approuvée", [container.name])
}

Sécurité runtime Kubernetes (extrait)

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: falco
  namespace: security-system
spec:
  template:
    spec:
      containers:
        - name: falco
          image: falcosecurity/falco:latest
          env:
            - name: FALCO_GRPC_ENABLED
              value: "true"

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: falco
  namespace: security-system
spec:
  template:
    spec:
      containers:
        - name: falco
          image: falcosecurity/falco:latest
          env:
            - name: FALCO_GRPC_ENABLED
              value: "true"

Maturité et indicateurs

Paliers

Basique : scans pipeline, hooks simples, scan d’images
Intégré : Policy-as-Code, champions, rapports auto
Avancé : sécurité runtime, threat modeling automatisé
Optimisé : insights prédictifs, opérations sans friction

Observabilité

Durée scans sécurité
Taux de violations policies
Dérive de conformité
Incidents sécurité et MTTR
Adhésion développeurs

Références

OWASP DevSecOps Guide
NIST Cybersecurity Framework
CIS Controls v8
CNCF Kubernetes Security Guide
Martin Fowler — Pipeline Patterns
Google Cloud — Container Security Best Practices

Outils : Semgrep, Trivy, Falco, OPA, GitLeaks, Cosign

En savoir plus sur Wet & sea & IA

Subscribe to get the latest posts sent to your email.

Wet & sea & IA

🔒 S2E06 — DevSecOps Pipeline Security guardrails automatisés

Synopsis

Anti-pattern → Pattern

Pipeline réactif (à éviter)

Pipeline natif sécurisé (recommandé)

5 Anti-patterns et correctifs

1) Gates fin de chaîne → Guardrails continus

2) Scanner tout → Prioriser par le risque

3) Silos sécurité → Security Champions

4) Compliance snapshot → Continuous compliance

5) Security theater → Security engineering

Architecture cible

Implémentation prête à l’emploi

Pré-commit (Security Foundations)

CI GitHub Actions (Security-as-Code)

Dockerfile sécurisé

Policy-as-Code OPA (Rego)

Sécurité runtime Kubernetes (extrait)

Maturité et indicateurs

Paliers

Observabilité

Références

J’aime ça :

En savoir plus sur Wet & sea & IA

Synopsis

Anti-pattern → Pattern

Pipeline réactif (à éviter)

Pipeline natif sécurisé (recommandé)

5 Anti-patterns et correctifs

1) Gates fin de chaîne → Guardrails continus

2) Scanner tout → Prioriser par le risque

3) Silos sécurité → Security Champions

4) Compliance snapshot → Continuous compliance

5) Security theater → Security engineering

Architecture cible

Implémentation prête à l’emploi

Pré-commit (Security Foundations)

CI GitHub Actions (Security-as-Code)

Dockerfile sécurisé

Policy-as-Code OPA (Rego)

Sécurité runtime Kubernetes (extrait)

Maturité et indicateurs

Paliers

Observabilité

Références

Partager :

J’aime ça :

En savoir plus sur Wet & sea & IA

En savoir plus sur Wet & sea & IA