Beyond Identity en GitLab Inc. hebben een nieuwe samenwerking en integratie aangekondigd die klanten in staat stelt om te voorkomen dat opzettelijke kwetsbaarheden in DevOps-omgevingen worden geïntroduceerd en om het risico op aanvallen op de toeleveringsketen drastisch te verminderen. De integratie tussen Beyond Identity en GitLab stelt bedrijven in staat om ervoor te zorgen dat alleen geautoriseerde gebruikers die werken vanaf door het bedrijf goedgekeurde en beveiligde computers toegang hebben tot code repositories of broncode kunnen ondertekenen tijdens commit-activiteiten. Beyond Identity breidt de voortdurende beveiligingsverbeteringen en API hooks die het GitLab team heeft vrijgegeven, uit met de unieke mogelijkheid om een SSH of GPG sleutel te associëren met een bekende bedrijfsidentiteit.

Deze mogelijkheden zijn beschikbaar. Het One DevOps Platform van GitLab ondersteunt essentiële beveiligingsmogelijkheden, waaronder de mogelijkheid om cryptografische sleutels te gebruiken om de toegang te controleren en broncode te ondertekenen die de repository binnenkomt. Deze geavanceerde mogelijkheden zijn van cruciaal belang om de kwetsbaarheden te verminderen die de meeste organisaties, zelfs geavanceerde shops, momenteel in hun DevOps-omgevingen hebben.

Zo kunnen organisaties de toegang tot de bron- en infrastructuurcode in repositories streng controleren en zicht krijgen op wie er precies code vastlegt. In het verleden hadden DevOps teams dit meestal niet nodig, en in de zeldzame gevallen waarin dat wel het geval was, waren de SSH- en GPG-sleutels die gebruikt werden om toegang te krijgen tot repos en commits te ondertekenen, niet gebonden aan een geautoriseerde bedrijfsidentiteit. Verder is er geen manier om te garanderen dat ingenieurs werken vanaf een geautoriseerde en voldoende beveiligde computer.

Deze problemen zetten de deur wijd open voor aanvallen door injectie van kwaadaardige code. De Secure DevOps oplossing van Beyond Identity is ontworpen om inbreuken op basis van credentials te voorkomen door de digitale toegang voor ontwikkelaars te automatiseren en te beveiligen, en veilige toegang tot repositories en check-ins mogelijk te maken. GitLab's focus op beveiliging en essentiële integratiehaken stellen Beyond Identity in staat om SSH- en GPG-sleutels te slaan die cryptografisch gebonden zijn aan een bekende en geautoriseerde bedrijfsidentiteit en aan een geautoriseerde computer.

Deze integratie stelt DevSecOps teams in staat om de repo te vergrendelen en ervoor te zorgen dat een geldige bedrijfsidentiteit elk stukje code ondertekent dat in de repo wordt vastgelegd. De integratie stelt DevSecOps teams ook in staat om te valideren dat elk stuk code dat de CI/CD pijplijn ingaat gecontroleerd wordt om er zeker van te zijn dat geautoriseerde gebruikers het ondertekend hebben – meestal als de eerste stap in de CI pijplijn. De Secure DevOps integratie met GitLab kan helpen met het volgende: Stop kwaadwillende actoren of malafide insiders van het injecteren van malware in broncode en bescherm SaaS, PaaS, en IaaS diensten en apps tegen backdoors.

Controleer de toegang tot repository's en stop met het introduceren van ongeoorloofde kwaadaardige code bij klanten (bijv. SolarWinds). Voorkom dat slechte actoren en insiders netwerk-/systeeminfrastructuurinstellingen maken en moeilijk op te sporen kwetsbaarheden en backdoors introduceren door infrastructuur te manipuleren als code die nu in repositories is opgeslagen. Bevestig dat elk stukje broncode of infrastructuurcode ondertekend en cryptografisch gebonden is aan een geautoriseerde gebruiker, zodat organisaties perfect zicht hebben op wie aan elke commit heeft bijgedragen – zodat problemen die door code scanning tools worden gevonden, onwrikbaar naar een specifieke identiteit kunnen worden getraceerd.

Zorg ervoor dat technici en contractanten geautoriseerde en bewezen veilige computers gebruiken om code te openen of vast te leggen – verijdel aanvallen van tegenstanders die azen op slecht beveiligde eindpunten.