YouTube Video Spotlight: DevSecOps tečaj za početnike – API sigurnost

Sigurnost je nekada bila zasebna faza: dizajn, izgradnja, testiranje, a zatim predaja rezultata nekome čiji je posao bio reći “ne”. Taj model propada, a DevSecOps tečaj za početnike na freeCodeCampu objašnjava zašto. U nešto više od dva sata, sigurnosni stručnjak Scott Bly pokazuje što znači tretirati sigurnost kao dio životnog ciklusa isporuke, umjesto kao završnu kontrolnu točku. Za timove koji isporučuju API-je ovo je praktičan uvod u zajedničke sigurnosne navike.

Najjača ideja u tečaju je da DevSecOps nije alat ni titula. To je praksa integriranja sigurnosti u planiranje, kodiranje, testiranje i postavljanje (deployment) tako da se slabosti otkriju dok ih je još jeftino popraviti. Bly utemeljuje teoriju na sigurnosti API-ja, najizloženijoj površini modernih aplikacija, gdje je svaki endpoint potencijalna ulazna točka.

Izdvajaju se tri zaključka. Prvo, “shift-left” pristup funkcionira: automatizirano sigurnosno testiranje rano u ciklusu otkriva probleme koji bi inače čekali izdanje. Drugo, najdosadnije prakse su najvažnije — upravljanje tajnama, skeniranje ovisnosti i sigurne zadane postavke sprječavaju većinu stvarnih incidenata. Treće, inženjerima je potrebna sigurnosna pismenost, a ne samo alati; programer koji razumije modele prijetnji automatski piše sigurniji kod.

Praktična poruka za male timove je ohrabrujuća: za početak vam ne treba stručnjak za sigurnost. Higijena tokena, skeniranje ovisnosti i sigurne zadane postavke CI-a zahtijevaju nekoliko dana usvajanja, a već uklanjaju značajan dio svakodnevnog rizika.

Tečaj je za početnike pa ne ulazi duboko u otvrdnjavanje alata, a neki primjeri naginju prema većim organizacijama. Ostaje i unutar domene API-ja, ostavljajući fizičku sigurnost i rizik dobavljača po strani. To su poštena ograničenja opsega, a ne nedostaci.

Kao uvod koji povezuje sigurnosnu praksu s modernim načinom rada, ovo su dva sata koja vrijedi uložiti. Pogledajte cijeli tečaj.