DevSecOps для самых маленьких: 10\n. Как разобрать почту и не утонуть

Каждый день приходит куча писем: реклама, счета, письма от коллег, рассылки, спам. Если не разбирать, ящик лопается, и ты уже не понимаешь, где важное, а где мусор. С управлением уязвимостями то же самое: сканеры шлют находки постоянно, и если их не сортировать, ты утонешь.

Если совсем коротко, это не про то, чтобы найти CVE. Это про то, чтобы не сойти с ума от количества находок. Trivy, Grype, Semgrep, Dependency-Check — каждый принесёт свой мешок писем. Чинить всё сразу ты не закончишь, игнорировать нельзя. Смысл в том, чтобы приоритизировать, назначать ответственных, отслеживать и не тонуть.

В обычной команде сканеры либо не настроены, либо отчёт уходит в никуда. Раз в месяц кто-то смотрит на дашборд, вздыхает и закрывает. Если сканеры шлют, то обычно одним списком на 5000 строк, без приоритетов, ответственных и статусов. Это как ящик, в который свалено всё: счета, спам, письма от мамы, уведомления от банка. Ты открываешь его и закрываешь, потому что невозможно.

Я как-то вернулся из отпуска и открыл рабочий ящик. Десятки писем. Я смотрел на это минут пять и закрыл. Потом сел и понял: проблема не в том, что писем много, а в том, что они лежат одной кучей. Как только я разложил их по папкам и назначил, что срочно, а что потом, картина стала обозримой. Писем не стало меньше, но появился порядок. С отчётом сканера у меня было так же.

Как разложить по папкам
По критичности: Critical, High, Medium, Low. Это папки «срочно», «важное», «потом», «мусор».
По типу: уязвимость в коде, в зависимости, в образе, в конфиге.
По ответственным. Не «команда разберётся», а конкретный человек или команда.
Правила автоматически: критичное сразу в работу, среднее в бэклог, ложное в игнор.
Статусы: новое, в работе, отложено, закрыто.
Регулярная чистка. Раз в неделю проходи по папкам, а не «когда-нибудь потом».
 
 Приоритет
Что делаем
Critical
Сразу в работу
High
В ближайший спринт
Medium
В бэклог
Low
Когда-нибудь
Серьёзность по CVSS — только отправная точка. Смотри, эксплуатируется ли уязвимость в реальности (каталог CISA KEV, оценка EPSS), доступен ли компонент снаружи, достижим ли уязвимый код и насколько важна система. Уязвимость среднего уровня на публичном сервисе может быть опаснее критической в закрытом контуре.

Ложные срабатывания — это спам
Их будет много: сканер найдёт «уязвимость» там, где её нет. Игнорировать спам полностью нельзя, в нём потеряется важное письмо. Но и разбирать каждое руками бессмысленно. Правильный подход: настроить фильтры. Если правило срабатывает ложно, задокументируй это и добавь в исключения (с обоснованием, ответственным и сроком пересмотра). Если срабатывает часто, пересмотри правило.

Инструменты
DefectDojo (open source) — платформа для управления находками: собирает отчёты сканеров, убирает дубли, ведёт статусы и сроки. С неё я бы начал.
Trivy и Grype — сканеры, которые приносят «письма». Trivy закрепляй по версии, см. часть 6.
Vampy от Hexway — ASPM-платформа; возможности оцени по документации.
Российские: R-Vision VM, CodeScoring, AppSec.Hub. Сверь функции и интеграции со своими сканерами.
Сухой чек-лист
Не пытайся чинить всё: 5000 находок ты не закроешь, и не должен.
Настрой приоритизацию: Critical сразу, High в спринт, Medium в бэклог, Low когда-нибудь.
У каждой критичной находки есть конкретный ответственный.
Заведи DefectDojo или аналог, раз в неделю разбирай папку «Новое».
Настрой исключения для ложных срабатываний.
Это не разовая акция, а регулярный процесс. Разобрал ящик один раз и забыл — через месяц он снова лопнет.
Итог серии
Я прошёл восемь слоёв DevSecOps и не раз ловил себя на мысли, что каждый слой — это не про инструмент, а про привычку:

Секреты — чтобы не утекли.
Харденинг — чтобы не было лишнего.
Микросегментация — чтобы не расползлось.
Сканирование кода и зависимостей — чтобы нашли раньше.
Supply chain — чтобы не подменили.
Policy as Code — чтобы правила работали сами.
Runtime security — чтобы заметили, если что-то пошло не так.
Управление уязвимостями — чтобы не утонуть в находках.
Это не список «внедри всё», а карта. Начни с одного слоя, с одной проверки, с одного инструмента. Безопасность — не про то, чтобы закрыть все дыры сразу, а про то, чтобы видеть свою картину и не тонуть в шуме. Не отвечаешь на каждое письмо, но знаешь, где лежат счета и где спам. Начни с приоритизации, потом назначь ответственных, потом заведи дашборд. Регулярность важнее героизма.

Обсуждаем статьи в Telegram-канале. Недушный ИнфоБез.