Aqua Security, le spécialiste de la sécurité cloud native, annonce une solution CNAPP qui intègre la protection de la chaîne d’approvisionnement logicielle de bout en bout. La solution propose une protection à chaque étape du cycle de vie du développement logiciel (SDLC). « Elle permet aux organisations de prévenir et de stopper proactivement les attaques visant la chaîne d’approvisionnement logicielle sur leurs applications cloud natives », affirme l’éditeur.
La nouvelle solution fait partie de la plateforme CNAPP totalement intégrée d’Aqua, dédiée à la protection des applications cloud natives. Parmi les fonctions annoncées, la solution propose le scan du code en quelques minutes sans quitter le flux de travail du développeur, alimenté par Trivy Premium — le scanner de vulnérabilités et de mauvaises configurations pour les applications et l’infrastructure cloud natives d’Aqua. Les développeurs peuvent détecter et remédier aux vulnérabilités et autres risques de sécurité au sein du code.
La gestion CI/CD permet de protéger la chaîne d’outils CI/CD (Intégration continue/Distribution continue) pour créer un environnement DevOps Zero-trust. Le Principe du Moindre Privilège est appliqué pour réduire les risques de sécurité et répondre aux exigences de conformité. Les erreurs de configuration dangereuses de la plateforme DevOps (GitHub, Jenkins, Nexus) peuvent, quant à elles, être rapidement repérées et corrigées. La solution détecte également les menaces internes inhérentes à la suppression des contrôles de sécurité, aux modifications en masse de l’accès aux comptes utilisateurs ou à la modification d’un dépôt de code sensible.
Délivrer plus rapidement un code sain
La sécurité des pipelines est assurée grâce à l’identification des pipelines d’Intégration continue nouveaux ou non conformes et application de politiques de sécurité personnalisables en un seul clic. Par exemple, la définition de mesures de renforcement spécifiques sur le pipeline de production pour valider que chaque artefact nouvellement créé soit bien signé et analysé afin de détecter les vulnérabilités, les secrets et les configurations erronées liés à l’Infrastructure-as-Code (IaC).
Le SBOM (Software Bill of Materials)permet la création d’une nomenclature logicielle avec l’opportunité d’enregistrer chaque étape et action depuis le moment où un développeur a engagé la dernière modification d’un code lors du build jusqu’à la génération du nouvel artefact final. Grâce à la signature du code, les utilisateurs peuvent également vérifier l’historique de ce dernier et être assurés que le code créé soit identique à celui dans la tool chain de développement.
Enfin, l’évaluation du code open source permet de jauger la santé et la réputation d’un code open source. Aqua note chaque paquet open source selon la qualité, la maintenabilité, la popularité et le risque d’incidents au sein de la chaîne d’approvisionnement. La solution peut automatiquement empêcher l’entrée du code à risque dans la base de code. Les développeurs sont également avertis en temps réel des paquets potentiellement dangereux.
