DevSecOps framework focused on continuous security testing

December 14, 2023

DevSecOps é uma metodologia de desenvolvimento de software derivada do DevOps que está em crescimento. Esta metodologia foca-se em quebrar as barreiras entre as equipas de desenvolvimento, segurança e operações, e em introduzir a segurança desde o início do processo de desenvolvimento de software, criando assim as práticas “shift-to-the-left” e “security-by-design”. Nesta dissertação é desenvolvida uma nova framework de DevSecOps, focada na prática Continuous Security Testing, que é depois aplicada a um caso de estudo. Esta framework foi desenvolvida de maneira a ser fácil de compreender e fácil de aplicar em diversos setores da indústria de desenvolvimento de software. A framework desenvolvida é composta por uma pipeline CI/CD, um conjunto de atividades, e uma lista de ferramentas. Dado que esta framework deve ser fácil de adotar houve um foco em software open-source, de modo a tornar a framework mais acessível. Para avaliar a utilidade desta framework, esta foi aplicada a um projeto baseado em DevOps. Neste projeto foi adicionada uma nova fase Test, e adicionadas novas atividades às fases já existentes. Foram utilizadas ferramentas para automatizar estas atividades, de modo a minimizar o impacto para os developers. Devido às características deste projeto, não foi possível aplicar a framework de DevSecOps na sua totalidade. Contudo, os resultados obtidos foram positivos. Ao adicionar estas novas atividades e ferramentas foi possível detetar novas vulnerabilidades e defeitos que os developers se podem agora focar em tratar. Os developers gostaram das ferramentas; acharam-nas úteis, pouco intrusivas e não acharam que influenciasse negativamente a sua produtividade. DevSecOps is an emerging software development methodology that is derived from DevOps. This methodology focuses on breaking the silos between development, security, and operations, and on introducing security from the beginning of the software development process, creating the principles of “shift-to-the-left” and “security-by-design”. In this dissertation, a new DevSecOps framework, focused on the principle of Continuous Security Testing, was developed and applied to a case study. It developed so that it would be easy to understand and adopt in various sectors of the software development industry. The developed framework consists of a CI/CD pipeline, a set of activities and a list of recommended tools. Since this framework should be easy to adopt there was a focus on open-source software to minimise the inherent costs of this transformation, making the framework more accessible. To assess the validity of this framework, it was applied to an project based on DevOps. In this project, a new Test phase was added to the pipeline and new activities were added to existing phases. Tools were used to automate these new activities to minimise the impact for developers. Due to the nature of the project, it was not possible to fully apply the DevSecOps framework. Nevertheless, the results obtained were positive. By adding these new security activities and tools, it was possible to detect unknown vulnerabilities and defects that developers can now address. The developers enjoyed the tools; they found them useful, not intrusive, and did not find them to negatively impact their productivity.

Authors in the community:

• 

  C

  Clarisse Rita Afonso Feio

  ist1102102

Supervisors of this institution:

• 

  N

  Nuno Miguel Carvalho dos Santos

  ist14261

203842545

Mestrado em Segurança de Informação e Direito no Ciberespaço

computer-and-information-sciences - Computer and information sciences

Keywords

• DevSecOps framework
• DevSecOps pipeline
• Continuous Security Testing
• Open-source software

eng - English

Instituto Superior Técnico