Construction d'un Pipeline DevSecOps avec GitLab CI
Présentation
GitLab fournit une plateforme DevSecOps intégrée qui intègre les tests de sécurité directement dans le pipeline CI/CD. En exploitant les scanners de sécurité intégrés de GitLab — SAST, DAST, analyse de conteneurs, analyse de dépendances, détection de secrets et conformité des licences — les équipes peuvent décaler la sécurité vers la gauche, capturant les vulnérabilités pendant le développement plutôt qu'après le déploiement. L'IA GitLab Duo assiste à la détection des faux positifs pour les vulnérabilités SAST, aidant les équipes de sécurité à se concentrer sur les problèmes réels.
Quand Utiliser
- Lors du déploiement ou de la configuration des capacités de pipeline DevSecOps avec GitLab CI dans votre environnement
- Lors de l'établissement de contrôles de sécurité alignés sur les exigences de conformité
- Lors de la construction ou de l'amélioration de l'architecture de sécurité pour ce domaine
- Lors de la réalisation d'évaluations de sécurité nécessitant cette implémentation
Prérequis
- Licence GitLab Ultimate (requise pour la suite complète de scanners de sécurité)
- Runner GitLab configuré (partagé ou auto-hébergé)
- Connaissance de la configuration du pipeline
.gitlab-ci.yml - Docker-in-Docker (DinD) ou Kaniko pour les builds de conteneurs
- Application déployée dans un environnement de staging pour le scan DAST
Étapes de Scan de Sécurité Principales
Test de Sécurité Statique des Applications (SAST)
SAST analyse le code source à la recherche de vulnérabilités avant la compilation. GitLab prend en charge 14+ langages en utilisant des analyseurs tels que Semgrep, SpotBugs, Gosec, Bandit et NodeJsScan. L'inclusion la plus simple utilise les modèles gérés de GitLab.
Test de Sécurité Dynamique des Applications (DAST)
DAST teste les applications en cours d'exécution en simulant des charges utiles d'attaque contre des points de terminaison HTTP. Il détecte XSS, SQLi, CSRF et d'autres vulnérabilités d'exécution que l'analyse statique ne peut pas trouver. DAST nécessite une URL cible déployée et accessible.
Analyse de Conteneurs
Utilise Trivy pour scanner les images Docker à la recherche de CVE connues dans les paquets OS et les dépendances applicatives. S'exécute après l'étape de build Docker pour filtrer les images avant qu'elles n'atteignent un registre.
Analyse de Dépendances
Inspecte les manifestes de dépendances (package.json, requirements.txt, pom.xml, Gemfile.lock) pour des versions vulnérables connues. Opère au niveau du code source, complétant l'analyse de conteneurs.
Détection de Secrets
Scanne les commits pour les informations d'identification accidentellement commitées, les clés API, les jetons et les clés privées en utilisant la correspondance de motifs et l'analyse d'entropie. S'exécute sur chaque commit pour empêcher les secrets d'atteindre le dépôt.
Implémentation
Configuration Complète du Pipeline
# .gitlab-ci.yml
stages:
- build
- test
- security
- deploy-staging
- dast
- deploy-production
variables:
DOCKER_IMAGE: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA
SECURE_LOG_LEVEL: "info"
# Inclure les modèles de sécurité gérés par GitLab
include:
- template: Security/SAST.gitlab-ci.yml
- template: Security/Secret-Detection.gitlab-ci.yml
- template: Security/Dependency-Scanning.gitlab-ci.yml
- template: Security/Container-Scanning.gitlab-ci.yml
- template: DAST.gitlab-ci.yml
- template: Security/License-Scanning.gitlab-ci.yml
build:
stage: build
image: docker:24.0
services:
- docker:24.0-dind
variables:
DOCKER_TLS_CERTDIR: "/certs"
script:
- docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
- docker build -t $DOCKER_IMAGE .
- docker push $DOCKER_IMAGE
rules:
- if: $CI_COMMIT_BRANCH
unit-tests:
stage: test
image: $DOCKER_IMAGE
script:
- npm ci
- npm run test:coverage
coverage: '/Lines\s*:\s*(\d+\.?\d*)%/'
artifacts:
reports:
junit: junit-report.xml
coverage_report:
coverage_format: cobertura
path: coverage/cobertura-coverage.xml
# Surcharger SAST pour s'exécuter dans l'étape de sécurité
sast:
stage: security
variables:
SAST_EXCLUDED_PATHS: "spec,test,tests,tmp,node_modules"
SEARCH_MAX_DEPTH: 10
# Surcharger l'analyse de conteneurs
container_scanning:
stage: security
variables:
CS_IMAGE: $DOCKER_IMAGE
CS_SEVERITY_THRESHOLD: "HIGH"
# Surcharger l'analyse de dépendances
dependency_scanning:
stage: security
# Surcharger la détection de secrets
secret_detection:
stage: security
# Analyse de conformité des licences
license_scanning:
stage: security
deploy-staging:
stage: deploy-staging
image: bitnami/kubectl:latest
script:
- kubectl set image deployment/app app=$DOCKER_IMAGE -n staging
- kubectl rollout status deployment/app -n staging --timeout=300s
environment:
name: staging
url: https://staging.example.com
rules:
- if: $CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH
# DAST s'exécute contre le déploiement de staging
dast:
stage: dast
variables:
DAST_WEBSITE: https://staging.example.com
DAST_FULL_SCAN_ENABLED: "true"
DAST_BROWSER_SCAN: "true"
needs:
- deploy-staging
rules:
- if: $CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH
deploy-production:
stage: deploy-production
image: bitnami/kubectl:latest
script:
- kubectl set image deployment/app app=$DOCKER_IMAGE -n production
- kubectl rollout status deployment/app -n production --timeout=300s
environment:
name: production
url: https://app.example.com
when: manual
rules:
- if: $CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH
Politiques d'Approbation de Sécurité
Configurez les politiques d'exécution de scan pour imposer des scans de sécurité obligatoires :
- Accédez à Security & Compliance > Policies
- Créez une "Scan Execution Policy" exigeant SAST et la détection de secrets sur toutes les branches
- Créez une "Merge Request Approval Policy" exigeant l'approbation de l'équipe de sécurité lorsque des vulnérabilités critiques sont détectées
Configuration de Règles SAST Personnalisées
Créez .gitlab/sast-ruleset.toml pour personnaliser le comportement de l'analyseur :
[semgrep]
[[semgrep.ruleset]]
dirs = ["src"]
[[semgrep.passthrough]]
type = "url"
target = "/sgrep-rules/custom-rules.yml"
value = "https://semgrep.dev/p/owasp-top-ten"
[[semgrep.passthrough]]
type = "url"
target = "/sgrep-rules/java-rules.yml"
value = "https://semgrep.dev/p/java"
Tableau de Bord de Sécurité et Gestion des Vulnérabilités
Rapport de Vulnérabilités
GitLab consolide tous les résultats des scanners dans un Rapport de Vulnérabilités unique accessible à Security & Compliance > Vulnerability Report. Chaque vulnérabilité comprend :
- Niveau de gravité (Critique, Élevé, Moyen, Faible, Info)
- Source du scanner (SAST, DAST, Conteneur, Dépendance, Secret)
- Emplacement dans le code source ou la couche d'image
- Conseils de correction et correctifs suggérés
- Suivi d'état (Détecté, Confirmé, Ignoré, Résolu)
Widget de Sécurité des Demandes de Fusion
Chaque demande de fusion affiche un widget de scan de sécurité montrant :
- Nouvelles vulnérabilités introduites par la MR
- Vulnérabilités corrigées résolues par la MR
- Comparaison avec la base de référence de la branche cible
Optimisation du Pipeline
- Exécution parallèle : Les scanners de sécurité s'exécutent simultanément dans l'étape de sécurité
- Mise en cache : Utilisez le cache CI pour les téléchargements de dépendances afin d'accélérer les scans
- Scannage incrémental : SAST peut scanner uniquement les fichiers modifiés en utilisant
SAST_INCREMENTAL: "true" - Conditions d'échec : Définissez
allow_failure: falsesur les scanners critiques pour imposer des portes de qualité
Surveillance et Métriques
| Métrique | Description | Cible |
|---|---|---|
| Couverture de sécurité du pipeline | Pourcentage de projets avec tous les scanners activés | > 95% |
| MTTR des vulnérabilités critiques | Temps moyen de détection à la résolution pour les constats critiques | < 48 heures |
| Taux de faux positifs | Pourcentage de constats ignorés comme faux positifs | < 15% |
| Taux de blocage de détection de secrets | Pourcentage de commits de secrets bloqués par les règles de push | > 99% |