DevSecOps - Sécuriser les pipelines CI/CD

Objectif : Comprendre les principes de la culture DevSecOps et du cycle Shift Left. Identifier et corriger les vulnérabilités de code (SAST) et fuites de secrets. Mettre en œuvre des hooks de pré-commit pour bloquer les données sensibles en local.

• Introduction aux enjeux de la sécurité applicative (OWASP Top 10).
• Analyse statique de code (SAST) : principes et outils (SonarQube, Semgrep).
• Détection automatisée de secrets (Gitleaks, Trufflehog) dans l'historique Git.
• Automatisation locale : configuration de Git hooks (pre-commit).

Atelier pratique : Déploiement d'un hook de pre-commit et configuration d'un analyseur SAST sur un projet de développement.

Cas métier : Sécurisation du code d'une API web (détection de failles d'injection SQL et de clés d'API AWS codées en dur).

Compétence acquise : Être capable d'intercepter les vulnérabilités logicielles et les fuites de secrets avant qu'elles ne quittent le poste de travail du développeur.

Livrable : Dépôt Git configuré avec hooks locaux et pipeline de validation de code initial (SAST).

Objectif : Analyser et sécuriser l'arbre des dépendances logicielles (SCA). Automatiser la détection des vulnérabilités tierces (CVE) dans les pipelines. Générer un SBOM (Software Bill of Materials) pour assurer la conformité logicielle.

• Problématique des dépendances open-source et attaques sur la chaîne d'approvisionnement (Supply Chain Attacks).
• Analyse de composition logicielle (SCA) : outils d'analyse (Snyk, OWASP Dependency-Check).
• Gestion des licences logicielles et conformité juridique.
• Génération de rapports de conformité SBOM (format CycloneDX ou SPDX).

Atelier pratique : Intégration d'un scanner de dépendances dans un pipeline de build et génération d'un rapport de conformité logicielle.

Cas métier : Audit de dépendances sur une application Node.js/Python contenant des bibliothèques obsolètes ciblées par des exploits connus.

Compétence acquise : Savoir cartographier, auditer et valider la conformité de l'ensemble des briques logicielles externes utilisées dans un produit.

Livrable : Pipeline de build enrichi d'un module d'analyse SCA avec blocage de sécurité et extraction de SBOM.

Objectif : Durcir et sécuriser les configurations d'images de conteneurs (Docker). Analyser et valider la sécurité des scripts d'infrastructure (Terraform, Ansible, Kubernetes). Automatiser le scan de conformité de l'infrastructure d'accueil.

• Risques liés aux conteneurs : privilèges root, packages inutiles, vulnérabilités de l'OS de base.
• Scan d'images de conteneurs dans la registry avec Trivy ou Clair.
• Sécurisation de l'Infrastructure as Code (IaC) : identification des mauvaises configurations (Checkov, ou Trivy qui a repris les fonctions de tfsec).
• Principes du moindre privilège appliqué aux fichiers de configuration cloud et d'orchestration.

Atelier pratique : Durcissement d'un Dockerfile et écriture de règles de validation automatiques sur des scripts Terraform/Kubernetes.

Cas métier : Sécurisation du déploiement d'une stack applicative conteneurisée sur un cluster Kubernetes, correction de configurations réseau trop permissives.

Compétence acquise : Savoir garantir que l'environnement d'exécution (conteneur) et l'infrastructure d'accueil (IaC) sont exempts de failles de configuration majeures.

Livrable : Dockerfile durci et scripts Terraform validés, associés à un pipeline d'analyse IaC & d'image.

Objectif : Centraliser et sécuriser la distribution des identifiants et clés de sécurité. Intégrer un coffre-fort de secrets dynamique dans un pipeline automatisé. Supprimer définitivement les variables d'environnement persistantes et non chiffrées.

• Concepts de coffre-fort numérique et cycle de vie des secrets.
• Déploiement et principes d'HashiCorp Vault (moteurs de stockage, authentification, politiques d'accès).
• Récupération dynamique de secrets depuis un pipeline CI/CD de manière sécurisée (tokens éphémères).
• Mécanismes de rotation automatique des identifiants d'accès.

Atelier pratique : Configuration de politiques de sécurité dans HashiCorp Vault et interfaçage avec un runner CI/CD pour l'injection dynamique d'identifiants de base de données.

Cas métier : Automatisation du déploiement d'une application nécessitant des accès sécurisés à une base de données de production sans stocker d'identifiants dans le code ou l'outil CI/CD.

Compétence acquise : Maîtriser les architectures modernes de gestion de secrets applicatifs et d'infrastructure de manière dynamique.

Livrable : Pipeline CI/CD connecté à un coffre-fort pour s'authentifier de manière éphémère et sécurisée.

Objectif : Déployer des tests de sécurité applicative dynamiques (DAST) en environnement de staging. Automatiser des scénarios d'attaque applicative (fuzzing, injections) sur l'application en cours d'exécution. Analyser les comportements applicatifs anormaux lors de l'exécution.

• Différence entre SAST (statique) et DAST (dynamique) : pourquoi associer les deux méthodes.
• Automatisation de scans DAST légers avec OWASP ZAP au sein du pipeline.
• Interprétation des rapports de vulnérabilités web dynamiques (XSS, CSRF, Broken Auth).
• Introduction aux tests de conformité de sécurité (Inspec, Goss).

Atelier pratique : Lancement automatisé d'un scan OWASP ZAP à la fin d'un build de staging et génération d'un rapport de menaces applicatives.

Cas métier : Audit de pénétration automatisé sur une application de e-commerce déployée temporairement dans le pipeline de validation.

Compétence acquise : Être capable de tester la robustesse d'un logiciel en situation réelle d'exécution face à des charges utiles d'attaque courantes.

Livrable : Pipeline de déploiement continu intégrant une étape d'exécution et d'analyse dynamique DAST.

Objectif : Centraliser les logs de sécurité des pipelines de déploiement et des environnements d'exécution. Configurer des alertes de sécurité intelligentes en cas d'anomalie détectée en production. Définir des barrières de sécurité (Quality Gates) globales pour industrialiser la conformité.

• Journalisation et auditabilité des pipelines : qui a déployé quoi, quand et comment ?
• Intégration des métriques de sécurité dans des tableaux de bord centralisés.
• Définition de seuils de qualité stricte (Quality Gates) bloquants dans GitLab CI / GitHub Actions.
• Retours d'expérience sur la gouvernance de sécurité à grande échelle.

Atelier pratique : Construction d'une Quality Gate globale bloquant le passage en production si plus d'une vulnérabilité moyenne (Medium) est détectée, couplé à une alerte automatique.

Cas métier : Structuration de la console de supervision d'un Responsable Sécurité (RSSI) pour piloter la conformité en temps réel de 10 pipelines de livraison simultanés.

Compétence acquise : Savoir gouverner la sécurité des chaînes de déploiement à l'échelle d'une entreprise et réagir immédiatement aux incidents.

Livrable : Pipeline CI/CD complet, sécurisé de bout en bout (SAST, SCA, IaC, Secrets, DAST), doté d'une barrière de sécurité bloquante et d'une notification de conformité.