28 documentos marcados com "cicd"

Ameaças mitigadas pelas práticas de segurança de CI/CD descritas neste capítulo

Regras formais para permitir exceções no pipeline, com registo, aprovação, prazo de validade e visibilidade por função.

Exemplo completo de pipeline CI/CD com execução de *containers* em ambiente seguro e validado

Lista de verificação objetiva da adoção das práticas de segurança em pipelines CI/CD

Práticas de segurança para pipelines de integração e entrega contínua, com foco em automação, rastreabilidade e controlo proporcional ao risco

Como aplicar as práticas de CI/CD seguro ao longo do ciclo de vida da aplicação, com proporcionalidade por risco, user stories normalizadas e evidências auditáveis

Princípios, práticas e controlos para construir, validar e executar imagens de forma segura, auditável e rastreável

Princípios, práticas e controlos para garantir gestão segura de dependências, geração de SBOM e análise automatizada de composição de software

Regras de construção e revisão segura de pipelines como código, com triggers controlados e ambientes previsíveis.

Responsabilidades de DevOps/SRE no SbD-ToE

Regras formais para permitir exceções no pipeline, com registo, aprovação, prazo de validade e visibilidade por função.

Especificidades da gestão de excepções no contexto de pipelines CI/CD - bypass de gates, visibilidade e métricas

Estratégias para proteger segredos em pipelines, evitar hardcoded e garantir injeção segura via vaults ou variáveis.

Práticas para proteger branches, controlar alterações e garantir versionamento rastreável do código usado em pipelines.

Técnicas para gerar, assinar e validar artefactos com proveniência confiável, garantindo rastreabilidade de build até produção.

Medidas para segregar runners por aplicação, evitar persistência e garantir ambientes de execução efémeros e controlados.

Indicadores técnicos e operacionais para avaliação da eficácia dos controlos de segurança em pipelines de integração e entrega contínua, com thresholds por nível de risco e mapeamento para dimensões transversais de governação SbD-ToE.

Conjunto de políticas recomendadas para sustentar e legitimar as práticas de segurança CI/CD descritas no capítulo

Definição de políticas automáticas no pipeline com gates de segurança que variam segundo o nível de risco da aplicação.

Rastreabilidade das práticas de segurança de pipeline face a frameworks normativos com pilot formal

Garantir que cada execução de pipeline e cada artefacto podem ser rastreados até ao commit, origem e responsável associado.

Recomendações para organizações com maior maturidade em formação contínua, automação e segurança comportamental.

Práticas de maturidade elevada para proteção de pipelines, com foco em governação, ataque simulado e Zero Trust

Identificação e mitigação dos riscos introduzidos pela automação na cadeia de build, validação e execução de imagens de container

Riscos introduzidos pela automação pervasiva no pipeline de CI/CD e respetivas medidas de controlo, validação e evidência

Garantia de execução segura e controlada de containers em pipelines e ambientes partilhados

Validações do próprio código do pipeline (YAML, scripts, linters), incluindo controlo de lógica, permissões e uso de componentes externos.

Integração de validadores de segurança (SAST, secrets, IaC, containers) diretamente na pipeline, com execução obrigatória.