Как начать проверки безопасности в CI/CD: подход «Нетологии»

Проверку секретов автор публикации блога «Нетологии» на Habr предлагает ставить в самое начало: перед коммитом на компьютере разработчика либо первым шагом при открытии запроса на слияние. При этом блокирующие проверки в предложенной схеме появляются постепенно — после аудита и этапа Baseline. Здесь разделены два решения: когда запускать проверку и когда её результат должен останавливать дальнейшую работу.

Из чего состоит минимум

В публикации названы три слоя: поиск секретов с Gitleaks, проверка зависимостей — SCA с Trivy — и базовый SAST с Semgrep. Каждый слой занимает своё место в CI/CD, то есть в процессе непрерывной интеграции и доставки изменений.

Для команды это конкретная отправная точка: обсуждать можно состав проверок и порядок их включения. При этом слово «минимум» описывает рекомендацию автора. Оно не означает, что трёх перечисленных инструментов достаточно для любых требований безопасности проекта.

Поиск секретов — в начало процесса

Для этой проверки автор указывает два варианта запуска. Первый — локальный хук перед коммитом, второй — самый первый шаг при открытии запроса на слияние, или PR.

Разница здесь в моменте: в первом случае проверка предшествует коммиту, во втором привязана к открытию PR. Команда, которая следует этому подходу, может выбрать один из предложенных вариантов для раннего запуска.

Когда вводить блокировки

Последовательность внедрения автор описывает отдельно: сначала аудитный режим, затем Baseline, после него — жёсткие блокирующие проверки, или Hard Gates, для критичных триггеров. Поэтому выбор инструментов ещё не решает, какие результаты станут основанием для остановки процесса.

Baseline — это фиксация текущего списка найденных проблем проекта. Накопленные проблемы команда разбирает планово, а проверки изменений сосредоточивает на новых находках. Старый технический долг при таком подходе не блокирует текущую работу над новыми функциями.

Если команда берёт эту схему за основу, ей предстоит определить критичные условия для своего проекта и отладить правила. Только после фиксации Baseline и настройки правил автор рекомендует включать блокировки.