Bonjour, pour cette nouvelle Newsletter, nous avons décidé de parler sécurité et conformité des Pipelines…
Maudrux A. — Directeur Général France | Le futur du recrutement | Cyberr.ai
Bonjour,
pour cette nouvelle Newsletter, nous avons décidé de parler sécurité et conformité des Pipelines CI/CD. D'abord, parce que l'ANSSI vient de sortir une étude sur le sujet, ensuite parce que c'est l'un de nos chevaux de bataille depuis deux ans.
1. L'étude de L'ANSSI
Le point le plus important de cette étude est de mettre en évidence qu'une supply chain logicielle (SDLC) est très vulnérable par ses pipelines CI/CD. Les attaques sur les Pipelines se multiplient et celles qui réussissent sont souvent dévastatrices. En effet, les pipelines CI/CD téléchargent des images, exécutent des scripts, accèdent à l'infrastructure, au code, à la production, souvent avec un accès à privilèges élevés. Il est donc critique de leur appliquer des pratiques de sécurité & conformité fortes, et surtout monitorer leur bonne mise en oeuvre.
2. Où en sont les entreprises sur le sujet?
Les résultats parlent d'eux-mêmes:
- 98,3% des pipelines codés en dur, sans composants ni templates réutilisables
- 55,4% utilisent encore des tags d'images mutables (latest, main, ...)
- 19,8% run du Docker-in-Docker, l'évasion de sandbox la plus puissante en CI
3. D'où sortent ces chiffres?
La société Plumber a analysé plus de 240 Repo open source, excellent reflet des pratiques actuelles. Voilà pour les sources. Cette même société a eu la très bonne idée de donner accès à sa solution en mode Open Source (via une CLI) afin que chaque organisation puisse évaluer son niveau de maturité sur le sujet. Ils ont même créé un PlumberScore (le Nutriscore des Pipelines CI/CD). Pour une raison qu'on ignore, ils se positionnent uniquement sur GitLab, mais nous on l'a testé également sur GitHub et le résultat est très probant.
Call to Action: Calculez votre PlumberScore....pour cela, n'hésitez pas à demander à votre partenaire de référence sur le sujet (par exemple CyberR 😊), c'est 100% gratuit, et ça marche aussi bien sur vos Pipelines GitLab/GitHub On-Premise que Cloud.
On espère que cette mise en lumière d'un sujet encore peu connu et peu traité vous sera utile.
Pour info, la prochaine Newsletter parlera d'un sujet dont personne ne parle: le sécurité des Agents IA 😂😂😂
4 reactions · 0 comments