Sécuriser son code source : le volet DevSecOps

Introduction

La sécurité est un élément clé du développement logiciel et GitLab facilite l’intégration de scans de sécurité directement dans les pipelines CI/CD. L’ajout de ces tests permet de détecter les vulnérabilités de manière automatisée, sans autre impact qu’une légère augmentation du temps d’exécution du pipeline.

Ce chapitre explore le volet DevSecOps de GitLab dont nous avons déjà parlé dans le chapitre Comprendre le cycle de développement logiciel de cet ouvrage. Il présente les sept principaux types de tests disponibles : l’analyse statique du code (Static Application Security Testing, SAST), la détection de secrets, les tests dynamiques (Dynamic Application Security Testing, DAST), l’analyse des dépendances, la sécurité des conteneurs, la conformité des licences et l’analyse des fichiers de configuration issus de l’IaC.

Nous verrons comment activer et configurer ces analyseurs pour s’adapter aux besoins spécifiques de vos projets. Nous aborderons également trois fonctionnalités essentielles qui simplifient leur utilisation : la lecture des rapports de scan, le suivi des vulnérabilités et l’intégration de scanners tiers.

À l’issue...

Le fonctionnement des analyseurs de sécurité

Lors de la configuration des analyseurs de sécurité, il est important de savoir que la plupart d’entre eux offrent de nombreuses options que nous ne pourrons pas couvrir entièrement dans ce chapitre. Nous allons donc nous concentrer sur leur activation de base, en présentant quelques paramètres essentiels à leur fonctionnement.

La plupart des scanners sont réservés à l’abonnement GitLab Ultimate, mais certains d’entre eux sont accessibles dans les éditions Premium ou « community ». En date de rédaction de cet ouvrage, les scans de type SAST, la détection des secrets, l’analyse des conteneurs et celle de l’IaC sont disponibles pour tous les types de licences, bien que certaines fonctionnalités avancées restent limitées.

L’illustration suivante montre la différence entre les menus Sécurisation des abonnements community et Ultimate. Bien que des onglets existent pour Capacités de sécurité et Événements d’audit dans la version gratuite, si vous les ouvrez, vous verrez que GitLab vous invite à mettre à niveau votre forfait pour les activer…

Dans ce chapitre, nous avons activé notre essai gratuit de GitLab Ultimate de 60 jours pour faire une présentation plus complète des outils de sécurité offerts par la plateforme. Nous tenterons le plus possible de donner des exemples qui s’appuient sur la version gratuite de GitLab.

L’analyse de type SAST

Le SAST examine le code source d’un projet sans l’exécuter. Cette approche, souvent appelée white box testing, permet d’identifier les vulnérabilités potentielles en analysant le code source, les fichiers de configuration et la logique interne de l’application sans l’exécuter.

La détection de secrets

La détection de secrets permet d’identifier des informations sensibles qui ne devraient pas être présentes dans un dépôt Git. Ce scanner recherche des éléments tels que des clés API, des jetons d’accès et des identifiants stockés accidentellement dans le code source.

L’analyse de type DAST

Le DAST évalue la sécurité des applications web en testant leurs URL ou points de terminaison (endpoints) API.

L’analyse des dépendances

L’analyse des dépendances examine les bibliothèques et frameworks utilisés dans un projet afin de détecter des vulnérabilités connues. Cet outil est disponible seulement pour l’abonnement GitLab Ultimate.

L’analyse des conteneurs

L’analyse des conteneurs permet de détecter des vulnérabilités dans les images Docker et les distributions Linux sous-jacentes.

L’analyse de l’Infrastructure as Code

Comme nous l’avons déjà mentionné précédemment, l’IaC est une approche qui consiste à gérer et provisionner des composants d’infrastructure informatique de manière programmatique plutôt que par des configurations manuelles. Des outils comme Terraform, OpenTofu, Ansible, Azure Resource Manager (ARM) ou AWS CloudFormation permettent d’automatiser le déploiement et la gestion d’environnements.

Cependant, cette flexibilité introduit des risques de sécurité. Une mauvaise configuration peut exposer des données sensibles, ouvrir des accès non sécurisés ou rendre un composant ou un environnement vulnérables. C’est pourquoi GitLab propose un scanner IaC qui analyse les fichiers de configuration pour détecter les mauvaises pratiques et les failles de sécurité avant d’effectuer des déploiements.

L’analyse de conformité des licences

GitLab permet d’analyser automatiquement les licences logicielles des dépendances d’un projet pour s’assurer de leur compatibilité avec la licence du logiciel développé.

Les bibliothèques (libraries) open source sont publiées sous différentes licences logicielles qui définissent les conditions d’utilisation, de modification et de distribution. Il est donc important de s’assurer que les licences des dépendances de votre projet sont compatibles avec celle sous laquelle vous publiez votre propre logiciel. L’utilisation de bibliothèques sous une licence logicielle incompatible peut poser des problèmes juridiques ou commerciaux qui nécessitent le remplacement de ces dépendances.

Certaines licences sont permissives, comme les licences MIT (Massachusetts Institute of Technology) ou BSD (Berkeley Software Distribution) qui autorisent une utilisation et une redistribution sans restriction majeure. D’autres sont plus limitatives, comme GPL (General Public License) ou AGPL (Affero General Public License), car elles obligent tout projet utilisant les bibliothèques d’un produit qu’elles protègent à adopter la même licence logicielle. D’autres encore imposent des restrictions plus spécifiques comme des limitations pour certains pays.

Les autres types d’analyseurs de sécurité

Jusqu’à présent, nous avons travaillé avec les analyseurs les plus populaires de GitLab, mais il y en a d’autres que nous proposons de présenter brièvement. N’hésitez pas à en faire l’essai s’ils sont pertinents pour vos projets !

L’intégration d’analyseurs de sécurité tiers

Bien que GitLab propose une suite complète de scanners, il peut arriver que vous souhaitiez intégrer vos propres analyseurs de sécurité dans vos pipelines.

Les deux principales conditions pour que vous puissiez exécuter un outil tiers dans un pipeline sont qu’il soit disponible sous forme d’image Docker et qu’il puisse être lancé en ligne de commande.

Exemple simple d’intégration

Un exemple simple d’intégration pourrait ressembler à ceci :

my_sast_scanner: 
  stage: test 
  image: my_sast_scanner-image:latest 
  script: 
    - sast-scanner-cli --scan ./src --output results.json 
  artifacts: 
    reports: 
      sast: my_sast_scanner/scanner-results.json 

Vous pouvez aussi ajouter allow_failure: true pour éviter l’échec du pipeline si des vulnérabilités sont détectées.

Pour que GitLab affiche les résultats d’un analyseur externe dans ses rapports de sécurité, les résultats doivent être formatés en JSON selon un schéma spécifique. 

Comme nous le voyons dans l’exemple précédent, pour générer un rapport avec un analyseur...

Les outils de surveillance des vulnérabilités

L’abonnement Ultimate de GitLab fournit certains outils et rapports de sécurité pour regrouper et présenter les résultats des analyseurs dans l’interface utilisateur. Ces derniers permettent d’identifier et de suivre les vulnérabilités détectées à différentes étapes du développement.

Chaque outil propose une perspective unique sur la sécurité du projet de manière à faciliter le suivi des problèmes détectés selon leur contexte d’apparition. À l’exception des onglets des pipelines qui peuvent être consultés sous le menu Compilation, puis Pipeline, les différents outils de surveillance que nous allons présenter font tous partie du menu Sécurisation d’un projet ou d’un groupe.

Conclusion

Dans ce chapitre, nous avons exploré les principales fonctionnalités des scanners de sécurité de GitLab en couvrant l’analyse statique du code source (SAST), les tests dynamiques d’applications (DAST) ainsi que la détection des secrets, des dépendances, de l’IaC et des licences.

Chaque analyseur apporte une protection complémentaire en renforçant la sécurité à différents niveaux dans les projets. L’intégration de ces outils dans un pipeline CI/CD a un impact minimal sur les performances et elle offre une meilleure visibilité sur les vulnérabilités.

À travers notre présentation des différents analyseurs, nous avons également abordé les rapports de sécurité et le suivi des vulnérabilités en montrant comment GitLab centralise ces informations.

Grâce à ces fonctionnalités, les équipes de développement peuvent identifier et corriger les failles de sécurité plus efficacement, sans perturber l’avancement de leurs projets. La maîtrise de ces outils permet d’adopter une approche DevSecOps, laquelle  s’appuie sur le principe « shift left » qui se concrétise par l’ajout d’étapes de sécurisation dans la partie CI des pipelines. Dans le prochain...