Odlišnosti SOAR a DevSecOps aneb jak na automatizaci IT bezpečnosti

Automatizace patří v oblasti výrobních, procesních a IT technologií k nejskloňovanějším výrazům dnešní doby. Zejména pak v oblasti IT bezpečnosti nabírá na síle. Pro dosažení cílů automatizace je zde ale zásadní pochopení podobností a rozdílů mezi SOAR a DevSecOps.

Bezpečnostní týmy touží po automatizaci. V posledních letech se jejich možnosti v této oblasti zlepšily i díky řešením typu SOAR (Security Orchestration, Automation and Response) a dalším bezpečnostním řešením, jako jsou SIEM (Security Information and Event Management), IAM (Identity and Access Management), EDR (Endpoint Detection and Response), XDR (Extended Detection and Response) a CDR (Cloud Detection and Response), která nabízejí automatizaci v dílčím rozsahu.

Vzhledem k tomu, že ve hře jsou všechny tyto různé možnosti, je pochopení podobností a rozdílů mezi SOAR a DevSecOps zásadní, mají-li týmy dosáhnout svých cílů. Ačkoli v SOAR existují prvky automatizace pracovních postupů, DevSecOps se od SOAR odlišuje spoluprací mezi týmy Dev, Sec a Ops, hyperzávislostí na open source, schopností být proaktivní a reaktivní a také agilním přístupem.

Co je SOAR?

Společnost Gartner definuje SOAR jako „technologie, které organizacím umožňují shromažďovat vstupy monitorované týmem bezpečnostních operací“. Nástroje SOAR přijímají data ze systémů SIEM a definují postupy analýzy incidentů a reakce na ně ve formátu digitálního pracovního postupu.

Co je DevSecOps?

DevSecOps je moderní procesní metodika, která před více než deseti lety rozšířila vývoj softwaru o agilní infrastrukturu a nedávno do procesu DevOps přidala i prvek bezpečnosti. Cílem DevSecOps je zvýšit rychlost vydávání nových verzí softwaru, odstranit bariéry mezi týmy, snížit četnost a dopad chyb v produkčních verzích a posunout zabezpečení do dřívější fáze procesu dodávání softwaru. DevSecOps přesahuje rámec vývoje aplikací, neboť organizace se modernizují, když se vše v IT stává kódem, tzv. IT-as-Code.

Cílů DevSecOps lze dosáhnout dvěma způsoby. Zaprvé kulturní změnou, kdy týmy spolupracují na jedné platformě a vytvářejí a rozvíjejí opakovatelná řešení pomocí produktů a nástrojů od více dodavatelů, což lze nazvat softwarovou či DevSecOps továrnou. Za druhé, využíváním kontinuální integrace a kontinuálního dodávání (CI/CD, continuous integration and continuous delivery). CI/CD je kategorie softwarových nástrojů, které často integrují a odesílají kód, aby se ujistily, že nové verze aplikace fungují. CI/CD umožňuje u vytvářeného kódu testování a automatizaci všech aspektů vývojového procesu, včetně zabezpečení, ještě předtím, než je kód poslán do produkce.

Proč se SOAR liší od DevSecOps

Někdo by si mohl zaměnit mechaniku SOAR s DevSecOps, protože bezpečnostní týmy používající nějaký nástroj SOAR se ve velmi dobrém slova smyslu hlásí k duchu DevSecOps, který spočívá v tom, že k automatizaci své práce používají tzv. low-code přístup. Zde však podobnost začíná i končí. Tři základní, níže uvedené rozdíly, jsou tím, co skutečně odlišuje DevSecOps od SOAR.

1. SOAR má omezenou podporu open source. Nástroje SOAR se jen zřídka integrují s open source nástroji, protože se ze své podstaty integrují především s nástroji třetích stran, jako jsou Cisco, Exabeam, Okta nebo Splunk. Nedostatek integrace s open source je velkou překážkou pro týmy DevOps, které při své práci do značné míry spoléhají na open source nástroje, jako jsou Git, Ansible a Terraform. Tato patová situace izoluje bezpečnostní týmy od produkce a odrazuje týmy DevOps od spolupráce.
2. SOAR neuplatňuje agilní přístup k poskytování automatizace. Když bezpečnostní týmy používající nástroje SOAR mluví o automatizaci, je to v kontextu přijímání dat ze SIEM, správy těchto dat a následné automatizace postupů reakce na incidenty. To se liší od používání CI/CD, jako v případě DevSecOps, které umožňuje vývojářům integrovat jejich nový zdrojový kód, testovat jej, odesílat a poté pravidelně nasazovat do produkce.
3. SOAR bylo vytvořeno jako individuální produkt pro bezpečnostní analytiky, nikoli pro spolupráci. SOAR je podmnožinou DevSecOps, které může pojmout mnoho možností, mimo jiné SOAR, Compliance, Cloud Security, App Security, Network Automation, Infrastructure Automation a Integrations. Cílem DevSecOps je umožnit týmům vytvářet řešení jako stavební bloky a propojit je s CI/CD, kde se každý tým může napojit na své stávající pracovní postupy s produkty a nástroji, které chce používat.

Zejména bezpečnostním a operations týmům umožňuje CI/CD agilní iterace s různými možnostmi použití, skenování kódové základny nebo aplikace na známé bezpečnostní zranitelnosti nebo spouštění infrastruktury a aplikací podle bezpečnostních měřítek, které zlepšují bezpečnost produktů a bezpečnostní pozici celé společnosti.

DevSecOps tedy zahrnuje open source, uplatňuje agilní přístup k automatizaci a umožňuje spolupráci, což SOAR ne ve všech ohledech zvládá. Nicméně možnost využít open source je ve skutečnosti ideální pro bezpečnostní týmy, kterým se líbí podpora a odpovědnost poskytovaná rozsáhlou komunitou. Stejně tak je přístup CI/CD výhodný pro bezpečnostní týmy, které již dlouho chtějí bezpečnost posunout do dřívějších fází vývoje. Jinými slovy, ať je vývoj zavede dříve do procesu vytváření IT-as-Code, aby mohli řešit problémy ještě před tím, než se kód dostane do produkce.

Dosažení agility pomocí CI/CD, zaměření na DevSecOps

SOAR je výhradně bezpečnostní platforma, zatímco DevSecOps komplexně řeší potřeby všech týmů tím, že zahrnuje CI/CD, open source nástroje a spolupráci. Zatímco SOAR nemůže nahradit DevSecOps, DevSecOps řeší problematické aspekty SOAR a přistupuje k němu jako k možnému způsobu použití, přičemž zároveň nabízí všeobecnou automatizaci spolu s uživatelskou zkušeností, která povyšuje roli a práci v oblasti zabezpečení.

Některé bezpečnostní a operations týmy se mohou vůči DevSecOps řešení stavět zdrženlivě, protože CI/CD je tradičně vnímán jako přístup vhodný pouze pro vývoj aplikací. To už ale dávno neplatí. V dnešní době existuje spousta možností low-code/no-code platforem, které organizaci umožňují dosáhnout DevSecOps. V ideálním případě by týmy měly mít platformu DevSecOps, která zahrnuje vše, tedy takovou, která obsahuje vizuální rozhraní, kde mohou spolupracovat všechny úrovně uživatelů, ale která obsahuje i výkonné zázemí, které podporuje vývojáře a požadavky DevOps, jako je podpora stávajících nástrojů a automatizačního obsahu v nativní podobě, např. konfigurace Terraform, playbooky Ansible, skripty atd.

Prostředí hrozeb se neustále mění. Bezpečnostní a ops týmy musí navzdory nedostatku talentů zvládnout více, a proto se musí prosadit automatizace, aby zmírnila tlak, který v oblasti jejich působnosti narůstá. Bezpečnostní týmy mají velký prospěch z CI/CD pipelines, které nejen replikují a zrychlují jejich manuální schopnosti, ale také jim ukrajují drahocenný čas potřebný pro modernizaci každodenních pracovních procesů, které mapují různé případy použití. Přijetím myšlenky a postupů DevSecOps se mohou bezpečnostní a operations týmy stát agilními se svými kolegy z Dev a DevOps díky spolupráci s využitím technologií, které uspokojí celé spektrum technických talentů v každé organizaci.

Autorem textu je Mike Fraser, veterán amerického letectva a viceprezident pro DevSecOps ve společnosti Sophos