DevSecOps: Security als integraler Bestandteil der CI/CD-Pipeline

Shift Left: Security von Anfang an

Das traditionelle Modell — erst entwickeln, dann testen, dann Security-Audit — ist zu langsam und zu teuer. DevSecOps integriert Security-Checks direkt in den Entwicklungsprozess.

SAST: Static Application Security Testing

SAST-Tools analysieren den Quellcode, ohne ihn auszuführen. Sie finden SQL Injection, XSS, unsichere Deserialisierung und andere Schwachstellen direkt im Code.

• Tools: Semgrep, SonarQube, PHPStan mit Security-Rules.
• Integration: Als Pipeline-Stage nach den Unit Tests — blockiert den Merge bei kritischen Findings.
• False Positives: Pflegen Sie eine Ausnahmeliste für bekannte False Positives, um Alert Fatigue zu vermeiden.

Dependency Scanning

Über 80% des Codes in modernen Anwendungen stammt aus Dependencies. Ein verwundbares Package kann die gesamte Anwendung kompromittieren.

• Composer Audit: composer audit prüft PHP-Dependencies gegen bekannte CVEs.
• npm Audit: npm audit für JavaScript-Dependencies — automatisierbar in der Pipeline.
• Container Scanning: Trivy oder Grype scannen Docker-Images auf verwundbare OS-Packages.

DAST: Dynamic Application Security Testing

DAST-Tools testen die laufende Anwendung von außen — wie ein automatisierter Pentester. Ideal als letzte Stage vor dem Production-Deployment.

Praxis-Setup

In unseren Pipelines läuft SAST bei jedem Commit, Dependency Scanning täglich, und DAST auf der Staging-Umgebung vor jedem Release. So finden wir Schwachstellen, bevor sie in Production landen.