24 documentos marcados com "cicd"

Ameaças mitigadas pelas práticas de segurança de CI/CD descritas neste capítulo

Regras formais para permitir exceções no pipeline, com registo, aprovação, prazo de validade e visibilidade por função.

Exemplo completo de pipeline CI/CD com execução de *containers* em ambiente seguro e validado

Lista de verificação objetiva da adoção das práticas de segurança em pipelines CI/CD

Práticas de segurança para pipelines de integração e entrega contínua, com foco em automação, rastreabilidade e controlo proporcional ao risco

Como aplicar as práticas de CI/CD seguro ao longo do ciclo de vida da aplicação, com proporcionalidade por risco, user stories normalizadas e evidências auditáveis

Princípios, práticas e controlos para construir, assinar, validar e executar imagens de forma segura e rastreável

Regras formais para permitir exceções no pipeline, com registo, aprovação, prazo de validade e visibilidade por função.

Princípios, práticas e controlos para garantir gestão segura de dependências, geração de SBOM e análise automatizada de composição de software

Regras de construção e revisão segura de pipelines como código, com triggers controlados e ambientes previsíveis.

Responsabilidades de DevOps/SRE no SbD-ToE

Regras formais para permitir exceções no pipeline, com registo, aprovação, prazo de validade e visibilidade por função.

Estratégias para proteger segredos em pipelines, evitar hardcoded e garantir injeção segura via vaults ou variáveis.

Práticas para proteger branches, controlar alterações e garantir versionamento rastreável do código usado em pipelines.

Técnicas para gerar, assinar e validar artefactos com proveniência confiável, garantindo rastreabilidade de build até produção.

Medidas para segregar runners por aplicação, evitar persistência e garantir ambientes de execução efémeros e controlados.

Conjunto de políticas recomendadas para sustentar e legitimar as práticas de segurança CI/CD descritas no capítulo

Definição de políticas automáticas no pipeline com gates de segurança que variam segundo o nível de risco da aplicação.

Garantir que cada execução de pipeline e cada artefacto podem ser rastreados até ao commit, origem e responsável associado.

Mapeamento entre as práticas do capítulo e os requisitos normativos de segurança em CI/CD

Recomendações para organizações com maior maturidade em formação contínua, automação e segurança comportamental.

Práticas de maturidade elevada para proteção de pipelines, com foco em governação, ataque simulado e Zero Trust

Validações do próprio código do pipeline (YAML, scripts, linters), incluindo controlo de lógica, permissões e uso de componentes externos.

Integração de validadores de segurança (SAST, secrets, IaC, containers) diretamente na pipeline, com execução obrigatória.