Comment protéger votre CI/CD d’une « Supply chain attack » ?

Les problèmes de sécurité sont grandissants dans nos infrastructures DevOps et beaucoup d’outils, de solutions et de principes existent pour s’en prémunir ou pour mitiger le risque.
Le problème c’est qu’on laisse souvent de côté la chaîne de build et de livraison qui peuvent être de gros vecteurs d’attaques plus difficiles à détecter et qui exploitent par exemple des « zero-day vulnerabilitie ».

Comment limiter au mieux ces problèmes potentiels de sécurités ? et comment cela scale à grande échelle sur nos développements en gardant un mindset DevSecOps et fluide via des approches de « shift left ».
Nous aborderons le design d’une CI/CD, les concepts amenant la sécurité plus proche du développeur, les étapes des pipelines, l’immuabilité des images, la promotion de build, le scanning, l’automatisation de la sécurité et le reporting…