Images utilisées par les pipelines DevSecOps

Les pipelines DevSecOps Continuous Integration (CI), Continuous Deployment (CD) et Continuous Compliance (CC) utilisent des images Docker pour différents outils afin d'exécuter les analyses dans les exécutions de pipeline. Les images sont disponibles dans le registre global IBM Container Registry (ICR) et sont extraites et exécutées lors des exécutions de pipeline.

1. DevSecOps Baseimage-Utilisé pour exécuter les pipelines de conformité. Cette image exécute toutes les étapes dans les pipelines, déclenchant différentes analyses, collectant des informations collectées et créant des problèmes.
2. Scanner d'API OWASP ZAP-Utilisé pour déclencher des analyses d'API OWASP ZAP sur les noeuds finaux d'API d'une application déployée pour détecter les vulnérabilités.
3. Scanner d'interface utilisateur OWASP ZAP-Utilisé pour déclencher des examens d'interface utilisateur OWASP ZAP sur l' URL d'une application déployée pour détecter les vulnérabilités exposées par l'interface utilisateur.
4. Proxy d'interface utilisateur ZAP OWASP-Utilisé avec l'image d'analyse d'interface utilisateur ZAP OWASP en tant que service proxy pour déclencher des analyses d'interface utilisateur ZAP sur une application déployée.
5. Détection des secrets-Permet de détecter des secrets tels que des mots de passe ou des clés secrètes qui sont exposés par le code source de l'application.
6. Docker Dans Docker (DinD)-Utilisé pour exécuter un conteneur Docker dans un autre conteneur Docker. DinD exécute diverses images qui appartiennent à des outils dans l'image de base des opérations DevSec.
7. Sonarqube-Utilisé pour exécuter un examen statique sur le code source de l'application afin de détecter les vulnérabilités.
8. Interface de ligne de commande Sonarqube Scanner-Utilitaire de ligne de commande pour déclencher des analyses SonarQube.