DevSecOps : intégrer la sécurité dans CI/CD

Dans le monde du développement .NET moderne, la sécurité ne peut plus être une réflexion après-coup. L'approche DevSecOps représente un changement fondamental dans la façon dont nous intégrons la sécurité au sein de nos pipelines CI/CD. Pour les développeurs .NET, cela signifie adopter des pratiques de sécurité dès les premières étapes du développement, tout en maintenant l'agilité et l'efficacité de nos processus de déploiement continu.

Fondamentaux du DevSecOps dans l'écosystème .NET

Le DevSecOps fusionne trois aspects essentiels : le développement, la sécurité et les opérations. Dans le contexte .NET, cela se traduit par l'intégration de contrôles de sécurité automatisés à chaque étape du pipeline CI/CD.

Principales composantes de sécurité pour .NET

• Analyse statique du code (SAST)
• Analyse des dépendances
• Tests de sécurité automatisés
• Scanning des conteneurs Docker
• Validation des configurations

Implémentation pratique dans un projet .NET

Voici un exemple concret d'intégration de sécurité dans une application ASP.NET Core :

// Program.cs
public class Program
{
    public static void Main(string[] args)
    {
        var builder = WebApplication.CreateBuilder(args);

        // Configuration de la sécurité
        builder.Services.AddSecurityHeaders();
        builder.Services.AddSecureConfiguration();
        
        // Ajout des middlewares de sécurité
        app.UseSecurityHeaders();
        app.UseHttpsRedirection();
        app.UseHsts();
    }
}
// SecurityExtensions.cs
public static class SecurityExtensions
{
    public static IServiceCollection AddSecurityHeaders(this IServiceCollection services)
    {
        services.Configure(options =>
        {
            options.Headers["X-Frame-Options"] = "DENY";
            options.Headers["X-XSS-Protection"] = "1; mode=block";
            options.Headers["X-Content-Type-Options"] = "nosniff";
        });
        
        return services;
    }
}

Automatisation des contrôles de sécurité

Dans Azure DevOps, voici un exemple de pipeline YAML intégrant des contrôles de sécurité :

trigger:
- main

pool:
  vmImage: 'windows-latest'
steps:
- task: DotNetSecurityCheck@0
  inputs:
    projectName: '$(Build.Repository.Name)'
    
- task: WhiteSource@1
  inputs:
    cwd: '$(System.DefaultWorkingDirectory)'
    
- task: SonarCloudPrepare@1
  inputs:
    SonarCloud: 'SonarCloud'
    organization: 'your-org'
    scannerMode: 'MSBuild'
    projectKey: 'your-project-key'
    
- task: DotNetCoreCLI@2
  inputs:
    command: 'build'
    projects: '/.csproj'

public class SecurityTests
{
    [Fact]
    public async Task Api_Should_Use_Secure_Headers()
    {
        // Arrange
        var client = _factory.CreateClient();

        // Act
        var response = await client.GetAsync("/api/values");
        // Assert
        Assert.Equal("DENY", response.Headers.GetValues("X-Frame-Options").First());
        Assert.Equal("1; mode=block", response.Headers.GetValues("X-XSS-Protection").First());
    }
}

{
  "SecuritySettings": {
    "MinimumTlsVersion": "1.2",
    "EnableHeaderValidation": true,
    "AllowedHosts": "",
    "CorsPolicy": {
      "AllowedOrigins": ["https://trusted-domain.com"],
      "AllowedMethods": ["GET", "POST"],
      "AllowedHeaders": ["Authorization", "Content-Type"]
    }
  }
}

public static class LoggingExtensions
{
    public static IHostBuilder ConfigureSecureLogging(this IHostBuilder builder)
    {
        return builder.UseSerilog((context, services, configuration) => 
        {
            configuration
                .MinimumLevel.Information()
                .Enrich.FromLogContext()
                .WriteTo.ApplicationInsights(services.GetRequiredService(), 
                    TelemetryConverter.Traces)
                .Filter.ByExcluding(Matching.FromSource("Microsoft.AspNetCore.StaticFiles"))
                .Enrich.WithProperty("Environment", context.HostingEnvironment.EnvironmentName);
        });
    }
}