V1.14.4 Configuration Architecture

Requirement:

Verify that the build pipeline contains a build step to automatically build and verify the secure deployment of the application, particularly if the application infrastructure is software defined, such as cloud environment build scripts.

Explanation:

Требование определяет важность автоматизации безопасного развертывания приложений, особенно если инфраструктура приложения определяется программными средствами. К примеру во время сборки приложения должны проверяться как код, так и его инфраструктура, в  частном примере - IaC, когда проверяется  docker файл, K8S или json  того же  AWS или Azure.  Это требование указывает на необходимость создания pipeline, который не только создает код приложения, но и обеспечивает его безопасное развертывание. 

Build Pipeline:

• Совокупность автоматизированных действий по преобразованию исходного кода в развертываемое приложение.
• Обычно этот pipeline включает такие задачи, как компиляция, тестирование, подготовка пакета и развертывание.

Automatically Build and Verify Secure Deployment:

• Pipeline должен включать этап, который не только обеспечивает сборку приложения, но и его безопасное развертывание.
• Автоматизация является ключевым моментом для последовательного и надежного развертывания приложений без ручного вмешательства.

Software Defined Infrastructure:

• Элементы инфраструктуры (например, виртуальные машины, сети, хранилища), которые задаются и управляются с помощью кода или сценариев.
• Применяется в облачных средах, где инфраструктура создается с помощью таких инструментов, как Terraform, AWS CloudFormation или манифесты Kubernetes.

Автоматизация безопасного развертывания в рамках pipeline в ходе сборки в дополнение к обеспечению безопасности снижает вероятность ошибок конфигурации, несогласованности или уязвимостей, возникающих при ручном развертывании.

Remediation:

Чтобы выполнить это требование и создать безопасный pipeline для сборки, необходимо реализовать следующие этапы:

Infrastructure as Code (IaC):

• Создайте инфраструктуру приложения с помощью кода или сценариев (например, Terraform, CloudFormation).
• Это обеспечивает контроль версий, согласованность и автоматизацию при развертывании инфраструктуры.

Automated Deployment Scripts:

• Создайте сценарии развертывания, автоматизирующие инициализацию компонентов инфраструктуры и приложений.
• Эти сценарии должны включать конфигурации безопасности и меры по повышению уровня защиты.

Incorporate Security Checks:

• Включите в процесс развертывания такие проверки безопасности, как сканирование уязвимостей, проверка конфигурации на соответствие требованиям безопасности.

Immutable Infrastructure:

• Внедрите неизменяемую инфраструктуру, которая не может быть изменена после развертывания.

Continuous Integration/Continuous Deployment (CI/CD):

• Внедрите практику CI/CD для автоматизации всего жизненного цикла разработки ПО, включая безопасное развертывание.

Automated Testing:

• Включите в свой pipeline автоматизированное тестирование и проверку безопасности, например статический анализ, динамический анализ и сканирование инфраструктуры.

Version Control and Auditing:

• Сценарии и конфигурации развертывания должны находиться под версионным контролем для отслеживания изменений и обеспечения безопасности.

Documentation:

• Документируйте процесс развертывания, включая конфигурации и методы обеспечения безопасности.

Additional: