Как «Дикси» выстраивает безопасную разработку с CodeScoring

«Дикси» — одна из крупнейших розничных сетей России (входит в группу компаний «Магнит»), активно развивающая собственные ИТ-продукты для управления торговыми процессами, логистикой и клиентскими сервисами.

Создать надежный фундамент для безопасной разработки. Автоматизировать выявление и контроль критических уязвимостей в клиентских приложениях, актуализировать устаревшие библиотеки и воспитать культуру безопасной разработки среди инженеров.

Поэтапное внедрение платформы CodeScoring, начиная с модуля композиционного анализа (SCA). Интеграция с CI/CD-пайплайнами через консольный агент Johnny для автоматического сканирования зависимостей и с GitLab для точечной проверки отдельных проектов. Развитие процесса обучения разработчиков и формирование института security-чемпионов.

Для крупных ритейлеров, которые развивают собственные ИТ-продукты, безопасность компонентов с открытым исходным кодом — критически важная задача. Поэтому «Дикси» идет по пути встраивания проверок безопасности в CI/CD до выхода приложений в рабочее окружение. Так компания не просто вовремя находит и устраняет уязвимости, а создает систему, в которой вредоносные компоненты не могут попасть в финальный продукт.

Базовым инструментом для этого стал CodeScoring: платформа уже использовалась в компании для развития безопасной разработки, но процессы сканирования, триажа и поддержки еще предстояло выстроить.

Тимофей Афанасьев, DevSecOps «Дикси»:

Ключевыми задачами на старте были:

• Закрытие критических уязвимостей в клиентских приложениях;
• Актуализация устаревших библиотек в унаследованном коде;
• Развитие культуры безопасной разработки среди разработчиков.

Для автоматизации процессов компания использует комплексное решение CodeScoring, включающее модуль композиционного анализа (SCA).

Основной инструмент сканирования — консольный агент Johnny, который формирует SBOM и выявляет уязвимости. Johnny интегрирован с CI/CD и автоматически анализирует зависимости при переходе между контурами разработки. Результаты сканирования выгружаются в корпоративную ASOC-систему для дальнейшего триажа и назначения ответственных. Точечные проверки отдельных проектов дополнительно проводятся через интеграцию с GitLab. При обработке результатов сканирования компания ориентируется на метрики критичности и эксплуатируемости уязвимостей и в первую очередь работает с критическими уязвимостями, отдавая приоритет клиентским приложениям.

Благодаря такому подходу у команды безопасности всегда есть прозрачная картина компонентного состава приложений и актуальных рисков. И разработчики получают обратную связь о проблемах до того, как код попадает в продуктивную среду.

Сейчас проверки встроены в CI/CD. Следующие шаги включают в себя внедрение блокирующих Quality Gates, чтобы изменения с критическими уязвимостями не попадали в основную ветку. Такой подход не затягивает релизный цикл и сводит к минимуму риск того, что небезопасный компонент сможет попасть на прод.

Параллельно команда «Дикси» планирует запустить поиск секретов в коде, настроить интеграцию с корпоративным хранилищем артефактов для централизованного контроля зависимостей, внедрить проверку зависимостей в IDE и расширить зону сканирования на новые проекты.

Важный критерий для «Дикси» — стабильность работы платформы. На начальном этапе обеспечить ее было непросто из-за скрытых проблем в унаследованной инфраструктуре. Сервер с уже развернутым CodeScoring нынешняя команда получила без документации, и при попытке обновления процесс блокировался из-за некорректно написанного Docker Compose. Устранить ошибку конфигурации и восстановить цикл обновлений помогла оперативная реакция команды CodeScoring.

Тимофей Афанасьев, DevSecOps «Дикси»:

Выстраивание безопасной разработки — молодое направление в компании. Поэтому в «Дикси» создали стратегию постепенного развития и особую систему мотивации:

• Команда безопасности активно взаимодействует с разработчиками, объясняет причины возникновения уязвимостей и способы их устранения.

• К каждой уязвимости прилагается комментарий: почему она критична и как ее исправить.

• В планах компании создание института security-чемпионов: разработчиков, которые будут брать на себя часть задач по триажу и выступать проводниками культуры безопасности внутри своих команд.

Тимофей Афанасьев, DevSecOps-специалист «Дикси»:

Вот несколько изменений, которые отмечает «Дикси»:

• Система сканирования встроена в пайплайны для ключевых проектов;
• Выстроен процесс приоритизации уязвимостей на основе метрик и рекомендаций CodeScoring;
• Налажен процесс триажа уязвимостей;
• Сформирован запрос на обучение со стороны разработчиков;
• Создана основа для масштабирования процессов безопасной разработки.

Алексей Смирнов, основатель платформы безопасной разработки CodeScoring:

CodeScoring – платформа безопасной разработки программного обеспечения. Компания специализируется на защите цепочки поставки ПО (Supply Chain), композиционном анализе open source компонентов (SCA), анализе качества разработки. CodeScoring устанавливается в инфраструктуре заказчика, интегрируется с популярными инструментами разработки и развертывания ПО и поддерживает все ключевые экосистемы пакетных менеджеров. Продуктами CodeScoring пользуются компании, для которых критически важна кибербезопасность собственных ИТ-продуктов: крупные банки, ритейлеры, ИТ-компании, среди которых OZON, «Газпром нефть», «Ростелеком», «билайн», «Дикси».