Sécuriser ses pipelines et applications (DevSecOps)

🎯 Objectifs

• Intégrer la sécurité dans le cycle de développement
• Gérer les secrets de manière sécurisée
• Scanner les images Docker et les dépendances
• Sécuriser les pipelines CI/CD
• Connaître les principes de la supply chain security

📖 Prérequis

• CI/CD niveau introduction
• Docker niveau intermédiaire
• Notions de Git et GitHub

🤔 Pourquoi DevSecOps ?

Shift Left Security

Intégrer la sécurité le plus tôt possible dans le cycle de développement.

💡 La sécurité n'est pas la responsabilité d'une seule équipe - c'est l'affaire de tous.

🔐 Gestion des Secrets

Règle n°1

⚠️ Ne jamais stocker de secrets dans le code source ou les images Docker.

Où stocker les secrets ?

Détecter les secrets leakés

# Installation de gitleaks
brew install gitleaks  # ou via binaire GitHub

# Scanner un dépôt
gitleaks detect --source=. --verbose

# Scanner avant chaque commit (pre-commit hook)
gitleaks protect --staged

⚠️ Si un secret a été commité, changez-le immédiatement. L'historique Git conserve tout.

🐳 Sécurité des Images Docker

Bonnes pratiques

• ✅ Utilisez des images officielles et vérifiées
• ✅ Spécifiez un tag précis (pas :latest)
• ✅ Utilisez des images minimales (alpine, distroless)
• ✅ Exécutez en non-root
• ✅ Utilisez le multi-stage build

Dockerfile sécurisé

FROM node:20-alpine AS build
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production
COPY . .
RUN npm run build

FROM node:20-alpine
RUN addgroup -S app && adduser -S app -G app
USER app
WORKDIR /app
COPY --from=build /app/dist ./dist
COPY --from=build /app/node_modules ./node_modules
CMD ["node", "dist/index.js"]

Scanner les vulnérabilités

# Avec Trivy (recommandé)
trivy image mon-app:latest

# Avec Docker Scout
docker scout cves mon-app:latest

🔍 Analyse de Code

Types d'analyse

Outils recommandés

GitHub Dependabot

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    open-pull-requests-limit: 10

💡 Activez Dependabot sur tous vos dépôts GitHub - c'est gratuit et automatique.

🏗️ Sécurité des Pipelines CI/CD

Règles essentielles

• ✅ Pinnez les versions des actions (SHA, pas @main)
• ✅ Privilèges minimaux pour les tokens CI
• ✅ Audit trail : loggez tous les déploiements
• ✅ Branch protection : reviews obligatoires, tests requis
• ✅ Commits signés (GPG)

Exemple : action pinnée

# ❌ Dangereux - l'action peut changer
- uses: actions/checkout@main

# ✅ Sécurisé - version pinnée
- uses: actions/checkout@v4

# ✅✅ Encore mieux - SHA pinnée
- uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11

Permissions minimales

permissions:
  contents: read
  packages: write

⚠️ Ne donnez jamais permissions: write-all à un workflow.

📦 Supply Chain Security

SBOM (Software Bill of Materials)

Liste complète de tous les composants de votre application.

# Générer un SBOM avec Trivy
trivy sbom --format cyclonedx mon-app:latest

Signature de conteneurs

# Signer une image avec cosign
cosign sign mon-registry/mon-app:latest

# Vérifier la signature
cosign verify mon-registry/mon-app:latest

Attestation de provenance

Prouve qui a construit l'image et comment. GitHub Actions génère automatiquement des attestations SLSA.

🌐 Réseau et Infrastructure

• ✅ Principe du moindre privilège : accès minimum nécessaire
• ✅ TLS partout : chiffrez toutes les communications
• ✅ Network Policies (Kubernetes) : isolez les pods
• ✅ Firewall : n'exposez que les ports nécessaires

# Kubernetes NetworkPolicy - isoler un namespace
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress

🛡️ OWASP Top 10 (2021)

💡 Consultez owasp.org/Top10 pour les détails.

✅ Checklist Sécurité DevOps

• ✅ Secrets dans un vault, jamais dans le code
• ✅ Images scannées et minimales
• ✅ Dépendances mises à jour et auditées
• ✅ Actions CI/CD pinnées (version ou SHA)
• ✅ Branch protection activée
• ✅ TLS sur tous les endpoints
• ✅ Audits de sécurité réguliers
• ✅ SBOM généré pour chaque release
• ✅ Logs centralisés et monitoring actif
• ✅ OWASP Top 10 connu de l'équipe

🔑 Points Clés

📚 Ressources

• OWASP Top 10
• Trivy Documentation
• HashiCorp Vault
• GitHub Security Features
• SLSA Framework

🚀 Prochaines étapes

Félicitations ! Vous avez terminé le parcours DevOps complet. Pour aller plus loin :

1. Voir tous les modules - Revenez sur les modules qui vous intéressent
2. Parcours de formation - Retrouvez votre progression dans le parcours complet