CyberGlossary

Безопасность приложений

Shift-Left Security

Также известно как: Shift left, Раннее тестирование безопасности

Определение

Подход, при котором действия по безопасности перемещаются на более ранние стадии жизненного цикла ПО, чтобы выявлять и исправлять уязвимости до выхода в продакшен.

Shift-Left исходит из того, что дефекты, в том числе связанные с безопасностью, тем дешевле исправлять, чем ближе к моменту их появления они обнаружены. На практике это означает моделирование угроз на этапе проектирования, запуск SAST и SCA в IDE и при каждом pull request, анализ Infrastructure-as-Code до apply, проверку зависимостей и контейнерных образов на этапе сборки. Подход дополняет, а не заменяет средства защиты во время выполнения, снижая объём и серьёзность проблем, доходящих до них. Успех зависит от быстрых и точных инструментов, удобства для разработчиков и чёткой ответственности.

Примеры

  • Добавить pre-commit-хук Semgrep, чтобы разработчики видели находки до push.
  • Запускать Checkov по Terraform в CI и блокировать небезопасные облачные конфигурации.

Связанные термины