Gitlab 12.0 stärkt Devsecops: Die Software stellt mit Security Dashboards und Auto Remedation Funktionen bereit, die Security-Teams in Devops-Umgebungen helfen.

CEOs von Firmen, die Cloud-Anwendungen entwickeln, glauben häufig, dass es genügt, am Ende des Entwicklungszyklus einen Sicherheitsexperten einzuladen, der dann den Sicherheitskram erledigt. Das klappt so nicht, weil Entwickler dann bereits falsche Entscheidungen getroffen haben, die sich im Nachhinein nicht ohne großen Aufwand rückgängig machen oder abschwächen lassen. Vielmehr sollten Unternehmen Security-Teams fest in den Entwicklungszyklus eines Produkts integrieren. Da an Cloud-Native-Anwendungen häufig Devops-Teams arbeiten, hat sich für diese Security-Teams der Ausdruck Devsecops eingebürgert.

Das nun veröffentlichte Gitlab 12.0 will solchen Entwicklern mit neuen Features helfen. Dafür unterstützt es visuelle Reviews, Abhängigkeitslisten für Projekte und Merge Trains. Security Approval heißt, dass bestimmte Merge Requests auch die Zustimmung von Security-Experten benötigen. Gitlab will dafür einen eigenen Mechanismus etablieren, das Feature scheint aber komplexer als gedacht und ist noch nicht fertig geworden. Laut einem Bugreport und der Release-Meldung ist der neue angepeilte Milestone die Version 12.1.

Security Dashboards und Feature Flags

Security Dashboards zeigen die Sicherheitslücken in den verwendeten Produkten an. Die gibt es fast immer, ihre Tragweite fällt allerdings sehr unterschiedlich aus. Mit einer unkritischen Lücke in einem internen Dienst können Admins unter Umständen leben. Dank des Dashboards behalten sie besser die Übersicht. Auto Remediation ist eines der Features, die das Dashboard anzeigen soll, das sich noch in Entwicklung befindet. Es soll Fixes für Sicherheitslücken automatisiert erzeugen und diese Lücken patchen. Fallen dann im Monitoring Probleme auf, wird der Fix zurückgenommen.

Auch die Kubernetes-Integration von Gitlab haben die Entwickler weiter ausgebaut. Feature Flags lassen sich besser in Agile Workflows integrieren und beschleunigen die Entwicklung. Operations Dashboards sind für Admins interessant. Sie zeigen den Zustand von Projekten im Überblick, geben Feedback zu Commits und visualisieren den aktuellen Status des Projekts an. Incident Management soll es Betreibern erleichtern, auf Ausfälle und Probleme beim Betrieb eines Dienstes zu reagieren. Das Feature soll wohl auch erst in Version 12.1 fertig werden.

Wer Gitlab testen möchte, findet die Software auf der Webseite vor. Wissenswert ist, dass es eine freie Community- und eine Enterprise-Variante gibt.