Application Security - 自動化とモニタリング

モニタリング

Application Security チームは、GitLab のセキュリティを確保するために多数の自動化イニシアチブを活用しています。すべてが AppSec チームの作成によるものではありませんが、いずれも私たちにとって有用です。項目に特定の順序はありません。

• Security MR Reviewer Flow は、GitLab プロジェクトのマージリクエストに対して AI 駆動のセキュリティコードレビューを実行できる実験的な自動アプリケーションセキュリティレビューフローです。
• Gem Checker は、GitLab で使用している gem に関する RubyGems.org 上の不審なアクティビティを監視します
• sec-appsec-mr-alerts は、私たちのプロジェクトで使用している依存関係を変更する MR を特定します
• Public MR Confidential Issue Detector は、本来 security ミラーで作成されるべきだったパブリックなマージリクエストを監視します
• 既知の脆弱なコードパターンを検出し、MR 上で AppSec チームにアラートを出すカスタム SAST ルール（関連 MR）
• ロックファイルの改ざんを防止するために CI に含まれる untamper-my-lockfile
• Package Hunter は、ランタイム時に依存関係の不審なアクティビティを検出します（関連 runbook）
• GitLab Inventory は、私たちのプロジェクトとセキュリティのベストプラクティス・標準への違反を監視します
• GitLab 自身のアプリケーションセキュリティ機能が CI で稼働しています
• Tokinator は、漏洩した認証情報を監視します
• AppSec Escalator は、以下を行うツールです…
  • セキュリティ Issue に適切なラベルが付いていることを監視します
  • セキュリティ Issue に適切な期日を設定します
  • 期限切れの Issue をエスカレーションします
  • パブリックな Issue に投稿された潜在的に機密性の高いファイルを検出します
• depSASTer は、GitLab が使用している依存関係に対して SAST を実行します
• Maintainer Watcher は、侵害される可能性のある依存関係のメンテナーアカウントを監視します
• depscore は、gitlab-org/gitlab プロジェクトの新規・更新された依存関係に対して依存関係レビューチェックを実行します。

ページのソースコードを見る - ページの編集 - please contribute.