DevSecOps

Объединение разработки, эксплуатации и безопасности

Услуга по внедрению и сопровождению инструментов разработки и тестирования с применением современных практик информационной безопасности DevSecOps

Рост числа и сложности атак

Быстрее выпуск продуктов - выше уязвимость

Требования к скорости релизов

Бизнес требует часто выпускать обновления

Давление со стороны регуляторов

ФЗ-152, GDPR, PCI DSS, SOC2, и др.

Ускорение релизов при повышении уровня защиты (сокращение цикла релиза)
Единая команда, а не «DevOps vs SecOps» (стандартизация и общий результат)
Снижение рисков и расходов на устранение инцидентов (прозрачность и контроль)
Соответствие регуляторным требованиям (готовность к проверкам)
Гарантированная поддержка 24/7 и SLA

Схема интеграции DevSecOps:

Разработка→ контроль зависимостей (dependency-check), статический анализ кода (SAST))

Тестирование → динамическое тестирование (DAST), анализ контейнеров и инфраструктуры

Релиз → валидация IaC, подпись артефактов, управление доступами

Эксплуатация→ журналирование событий, аудит изменений

Мониторинг → сбор метрик и событий в OpenSearch/Grafana

Обратная связь → автоматическое создание задач на устранение уязвимостей

Организацию безопасной среды и процессов разработки в облаке Yandex Cloud
Внедрение автоматических проверок безопасности на всех этапах: код, зависимости, контейнеры, инфраструктура
Стандартизацию CI/CD для VM и Kubernetes с едиными шаблонами
Централизацию уязвимостей, алертов и отчётности в едином портале
Реализацию принципа минимальных привилегий и GitOps (без прямого доступа в prod)
Безопасное управление секретами и машинными доступами

1. Аудит текущих процессов заказчика (DevOps, безопасность, эксплуатация)

2. Выбор инструментального стека (пример: GitLab/Jenkins, Docker/Kubernetes, SonarQube, OpenSearch, Ansible/Terraform или российские альтернативы)

3. Развёртывание базовой инфраструктуры в Yandex Cloud: IAC, инфраструктурные сервисы, тестовая и продуктивная среды

4. Интеграция SAST/DAST/IaC-сканирования в CI/CD

5. Связка с ITSM и мониторингом (единая панель управления, SLA)

6. Автотесты и контроль изменений (shift-left security, «security as code»)

7. Обучение команд заказчика и передача на сопровождение

Полный цикл: от аудита текущих DevOps-процессов до настройки пайплайна, мониторинга и сопровождения

Широкий инструментальный стек: secret_detection, semgrep-sast, trivy-sca, dast zap/brightseс, SonarQube

Возможность предоставления сервиса в Yandex Cloud. Компания Форайз - действующий партнёр Yandex Cloud со статусом Expert Infrastructure & DevOps

Поддержка 24/7 по SLA и обучение команд заказчика

Команда

Пётр Мазепа

Пресейл менеджер
petr.mazepa@iiii-tech.com

Александр Козлов

Руководитель направления, Ведущий Архитектор

Дмитрий Ерохин

Ведущий инженер DevSecOps

Истории успеха iiii Tech

Задача: В рамках перевода инфраструктуры заказчика на IaC возникло функциональное требование от заказчика: продуктовые команды должны иметь возможность самостоятельно редактировать код для инфраструктуры своих проектов. Соответственно, возникла потребность в предварительной проверке кода (нарушения Code of Conduct, Secret Detection, и т.д.)

Решение: В качестве решения для сканирования были выбраны следующие инструменты: yamllint для проверки валидности yaml файлов (были созданы кастомные схемы для валидации), KICS и Trivy для сканирования кода. В качестве хранилища отчётов клиент использует функционал GitLab Enterprise (виджеты, хранилище отчётов)

Крупная производственная табачная компания

Задача: Заказчику было необходимо сократить количество уязвимостей в прод (в том числе, количество новых уязвимостей)

Решение: был предложен следующий пайплайн:
- Перед сборкой образа сканируется код непосредственно в репозитории (секреты, зависимости, и т.д.), после чего секьюрити репорты отправляются в DefectDojo.
- После сборки образ дополнительно сканируется на уязвимости, которые могли появиться из базового образа. Репорт так же отправляется в DD.
- Параллельно, в тестовой среде поднимается собраный образ и производится DAST сканирование.
- На основании этих отчётов, InfoSec команда принимает решение о возможности использования образа в прод среде.
- После этого, раз в неделю повторяются шаги по сканированию кода и образа, на основании чего InfoSec командой принимается решение о необходимости обновления компонентов.

Задача: После выхода на международный рынок компания столкнулась с требованиями клиентов по соответствию GDPR и SOC2. При этом существующая инфраструктура разработки не обеспечивала: контроль минимальных привилегий, централизованное управление безопасностью, отслеживание изменений в production, единый процесс обработки уязвимостей. Компания также стремилась сократить затраты на устранение инцидентов и повысить прозрачность DevOps-процессов.

Решение: Команда iiii Tech выполнила аудит инфраструктуры и внедрила комплексный DevSecOps-подход в среде Yandex Cloud. В проект вошли: внедрение принципа минимальных привилегий, переход на GitOps-подход без прямого доступа в production, автоматическое создание задач на устранение уязвимостей, интеграция мониторинга и ITSM, настройка централизованной отчётности по безопасности. Также были внедрены автоматические проверки контейнеров, IaC и зависимостей на всех этапах CI/CD