DevSecOps é sobre automatizar SAST e DAST dentro da pipeline de desenvolvimento para encontrar vulnerabilidades de segurança e erros de tempo de execução antes de implantar o código. O documento fornece links para ferramentas open source como Clair e GitLab para varredura de imagem do Docker e análise de código e também dá dicas sobre como melhorar a segurança, como testes, HTTPS, gerenciamento de dependências e chaves.

1. DevSecOps
Camilla Martins (Rob te amoooo)

2. SOBRE NÓS
Punk, paulista, santista. Docker
Community Leader. Sou DevOps
Engineer e atualmente trabalho
na Rede Globo e pós-graduanda
em Forense Computacional.

3. Onde a gente se perde: por que é tão difícil
conciliar a segurança com desenvolvimento
seguro?

4. DEVSECOPS TÁ AÍ PRA SALVAR
SAST e DAST
automatizados
dentro da pipeline
Scan de imagens
do Docker para
antes de entrar
em uso
Tudo Open Source!!
SAST and DAST are often used in tandem
because SAST isn’t going to find runtime
errors and DAST isn’t going to flag coding
https://github.com/arminc/clair-scanner
https://docs.gitlab.com/ee/user/application_security/dast/
https://docs.gitlab.com/ee/user/application_security/sast/

5. DEVSECOPS TÁ AÍ PRA SALVAR

6. MAIS DICAS PRA NÃO SE PREOCUPAR
- Wordpress Scan e a web em WP (XSS é “xatão”)
- Relatório OWASP e como se proteger dos problemas de segurança mais comuns
- Status Report 2019 - DevSecOps
- Patrick Debois - We’re doing DevSecOps
- Usem vaaaaults! AAAAAAAAAAAAAAAaaaaaa
- Não utilizem ferramentas não homologadas!
- NÃO MISTURE seu código com o do trabalho. “Vou subir rapidão no github pessoal”
- Ambientes diferentes para objetivos diferentes.
- TEEEEEEEEEEEEEESTEEEEEEEEEEEEEEEEEEEEEEEES (vai pa onde expondo StackTrace?)
- https (obrigada Patrick Estrela) - Cloudflare - Umbler com Let’s Encrypt
- Cuide das vulnerabilidades de seus repositórios E DEPENDÊNCIAS (Snyk) (depende)
- Encapsular ERROS
- Mandar o código pra trás, não pra frente!
- CI/CD
- Package manager e módulos confiáveis
- Deletar não é o suficiente quando falamos de git history
- Não root / Gerenciamento de chaves SSH e tokens de git
- Dicas de conteúdos (talks) sobre: Michelle, Protheus, Fernando Silva, Icaro Caldeira

7. CONTATINHO
Twitter: @WonderlandOuts
Usuário: @punkdodevops
Canal do Youtube:
https://www.youtube.com/c/punkdodevops
Site: https://punkdodevops.com

8. Obrigada!
@punkdodevops
@WonderlandOuts