V1.14.3 Configuration Architecture

Requirement:

Verify that the build pipeline warns of out-of-date or insecure components and takes appropriate actions.

Explanation:

Требование направлено на то, чтобы pipeline в ходе сборки обнаруживал и реагировал на устаревшие или небезопасные компоненты, используемые в приложении. Это требование подчеркивает важность постоянного мониторинга и управления компонентами, на которые опирается приложение.

• Build Pipeline: Pipeline - это серия автоматизированных шагов, которые преобразуют исходный код приложения в артефакт, пригодный для развертывания.
• Out-of-Date or Insecure Components: Относится к библиотекам, фреймворкам, сторонним модулям и другим зависимостям, которые имеют известные уязвимости в системе безопасности или не обновлены последними исправлениями.
• Appropriate Actions: При обнаружении устаревших или небезопасных компонентов pipeline при сборки должен инициировать соответствующие действия, такие как оповещения, уведомления и обновления.

Использование устаревших или небезопасных компонентов может привести к появлению уязвимостей в приложении и сделать его потенциальной мишенью для атак. Проверка и устранение таких компонентов в процессе сборки позволяет снизить риск нарушения безопасности и обеспечить устойчивость приложения к известным уязвимостям.

Remediation:

Чтобы выполнить это требование и обеспечить надлежащую работу конвейера сборки с устаревшими или небезопасными компонентами, выполните следующие действия:

• Dependency Scanning: Интегрируйте средства автоматического сканирования зависимостей в pipeline.  К таким инструментам относятся Snyk, OWASP Dependency Check,  OWASP Dependency Track или WhiteSource. Эти средства позволяют проанализировать зависимости проекта и выявить устаревшие или небезопасные компоненты.
• Alerts and Notifications: Настройте pipeline на генерацию предупреждений и уведомлений при обнаружении уязвимостей.Эти оповещения могут быть отправлены соответствующим членам команды по электронной почте, через платформы обмена сообщениями или системы отслеживания проблем.
• Break the Build: Рассмотрите возможность внедрения политики автоматического отказа от сборки при обнаружении критических уязвимостей.Это гарантирует, что небезопасный код не будет развернут, и побуждает к немедленному исправлению ситуации.
• Automated Remediation: Внедрите механизмы автоматического обновления или исправления уязвимых зависимостей.В этом могут помочь такие инструменты, как менеджеры зависимостей или сценарии автоматизации.
• Vulnerability Database Integration: Интеграция pipeline с базой данных уязвимостей, содержащей информацию об известных уязвимостях.
• Regular Review: Постоянно проверяйте и обновляйте свои зависимости, чтобы убедиться в том, что вы используете самые последние и безопасные версии.

Additional: