الثغرة تُكتشف مع كل تعديل، لا بعد الإطلاق
نضع فحوص الأمان داخل مسار التطوير عندك، فيُفحص الكود والمكتبات والأسرار والحاويات تلقائيًا، ويتوقف الدمج إذا ظهرت ثغرة تتجاوز الحد الذي تتفق عليه مع فريقك.
آخر تحديث:
النطاق
- SAST وDAST وSCA: تحليل الكود، واختبار التطبيق وهو يعمل، وفحص المكتبات التي يعتمد عليها.
- فحص الأسرار والـ IaC: كلمات مرور ومفاتيح تسرّبت في الكود، وإعدادات بنية تحتية خاطئة.
- فحص الحاويات والصور: ثغرات وإعدادات خاطئة في صور Docker.
- تقوية المسار نفسه: الصلاحيات، والـ runners، والأسرار، وموافقات النشر.
- المنصات: GitHub Actions · GitLab CI · Jenkins
المنهجية
- التقييم: نراجع المسار الحالي والمستودعات والأدوات.
- التصميم: نحدد أي فحص يعمل في أي مرحلة (فحص خفيف وفحص كامل)، وسياسة إيقاف الدمج.
- التنفيذ: ندمج الأدوات في المسار ونضبطها.
- الضبط: نقلل الإنذارات الكاذبة ونعدّل الحدود مع فريقك.
- التسليم والصيانة: توثيق وتدريب، ثم صيانة شهرية.
التسليمات
- إعدادات المسار مع الفحوص، لمنصتك أو منصاتك.
- أدوات مضبوطة مع بوابات نجاح وفشل، بحدود تتفق عليها.
- توثيق ودليل تشغيل لفريقك.
- جلسة تسليم ونقل معرفة.
- لوحة لمتابعة الثغرات.
المعايير
| تطوير آمن | NIST SSDF (SP 800-218) · OWASP SAMM |
| التطبيقات | OWASP ASVS · OWASP Top 10 |
| سلسلة الإمداد | SLSA · OWASP Top 10 CI/CD Security Risks |
| أمن المعلومات | ضوابط ISO/IEC 27001 الخاصة بالتطوير الآمن |
أسئلة
هل سيبطئ هذا عمل المطورين؟
الفحص الخفيف يعمل مع كل تعديل في دقائق، والفحص الكامل يعمل في مواعيد أو قبل الإطلاق. ونضبط الحدود معكم حتى لا يتوقف العمل بسبب إنذارات كاذبة.
هل نحتاج تغيير منصتنا؟
لا. نعمل على GitHub Actions أو GitLab CI أو Jenkins كما هي عندكم.
ماذا بعد التسليم؟
يبقى المسار عندكم بالتوثيق. ومع الصيانة الشهرية نحدّث الأدوات والقواعد ونتابع الثغرات الجديدة.