DevSecOps – Automatiser la qualité et la sécurité de votre code source IBM i

Lorsque vous entamez le processus de développement d’une nouvelle application ou ou l’amélioration d’une application existante, l’un des domaines qui se trouve souvent en bas de la liste est la sécurité. Pourquoi ? Parce que la sécurité est un sujet complexe, chronophage et qui nécessite des ressources. C’est là que ARCAD CodeChecker entre en jeu. CodeChecker est conçu pour s’intégrer à votre processus de développement actuel, même si vous n’utilisez pas encore la suite d’outils ARCAD for DevOps.

À mesure que vous créez de nouvelles lignes de codes, interfaces ou bases de données, vos développeurs suivent une norme de qualité de codage, qui est généralement une combinaison de règles standards du secteur et de règles spécifiques à votre entreprise. Comme la plupart des développeurs le savent, ils sont toujours soumis à des délais, ce qui peut entraîner des omissions dans les étapes de développement. Parfois, des vulnérabilités peuvent passer inaperçues, même des erreurs aussi simples qu’une ligne de copyright manquante dans le code. Dans ces cas-là, on compte souvent sur la révision du code par les collègues pour détecter les erreurs. Mais que se passe-t-il lorsque le développeur doit réviser son propre code ? Dans tous les cas, la révision manuelle est sujette à des contraintes de temps et à des erreurs humaines. C’est là que ARCAD CodeChecker intervient.

Vous vous demandez comment intégrer vos nouveaux développeurs aux politiques et aux processus définis par les directives de développement de code ? Vous vous interrogez sur la sécurité de votre ancien code RPG ou COBOL ? Ou sur la robustesse de votre sécurité SQL, et si elle est protégée contre les injections ?

Maintenant que vous avez pris connaissance de certains des problèmes qui existent, voire de ceux dont vous pourriez ne pas être conscients, explorons ce que ARCAD CodeChecker peut réellement faire pour vous.

Figure 1 – Trouver les bugs

Abordons dans un premier temps la qualité du code avec CodeChecker. Cet outil est doté de centaines de règles, notamment la détection des instructions GOTO ou la vérification des vulnérabilités de sécurité telles que les injections SQL ou le SQL dynamique. Ces règles sont prêtes à être appliquées à votre code. Si vous remarquez qu’une règle ne correspond pas à vos besoins, vous pouvez facilement en créer une nouvelle. L’outil vous offre la possibilité d’analyser l’ensemble du code source, uniquement le nouveau code ou une règle spécifique à votre entreprise. Comme vous pouvez le constater, CodeChecker offre une grande flexibilité.

Maintenant que vous avez l’outil pour aider votre entreprise, la question est de savoir où l’utiliser. L’avantage, c’est que CodeChecker peut être intégré à votre stratégie « shift left », permettant ainsi aux développeurs de lancer l’outil directement sur le code pendant qu’ils l’écrivent, avant même qu’il ne soit soumis à un examen par d’autres développeurs. CodeChecker peut également être déclenché par une équipe de test, permettant ainsi à vos développeurs de continuer à travailler. En cas de détection de problèmes, il suffit de les renvoyer au développeur pour qu’il les résolve. Enfin, CodeChecker s’intègre à votre pipeline CI/CD lorsque vous utilisez des outils tels que Jenkins, ce qui élimine tout tout goulot d’étranglement dans votre processus de révision.

Vous pouvez observer ci-dessous comment CodeChecker s’intègre dans le pipeline ARCAD for DevOps. Si vous êtes déjà utilisateur d’ARCAD, son intégration se fera simplement dans votre processus. Si vous désirez utiliser CodeChecker de manière autonome, il vous suffit de l’intégrer à votre processus de développement actuel. Configurez-le pour qu’il pointe vers votre code source et vous serez opérationnel.

Figure 2 – Pipeline de développement d’Arcad

Enfin, étant donné que de nombreuses entreprises recrutent de nouveaux développeurs qui ne sont pas toujours familiarisés avec les meilleures pratiques de codage du secteur, CodeChecker peut être utilisé comme un outil « éducatif » ponctuel. En utilisant CodeChecker, ces nouveaux développeurs apprennent progressivement les meilleures pratiques non seulement du secteur, mais aussi spécifiques à votre entreprise et à vos applications. De plus, grâce à son intégration à RDi via des plugins, CodeChecker présente une interface moderne et structurée, facilitant ainsi l’apprentissage rapide pour vos nouveaux développeurs.

Au début de cet article, j’ai évoqué plusieurs questions concernant votre code. Si vous avez répondu oui à l’une ou à plusieurs de ces questions, alors ARCAD CodeChecker est l’outil que vous devriez intégrer à votre pipeline de développement. En utilisant ARCAD CodeChecker, vous continuerez à déplacer le code et la détection des erreurs vers la phase initiale du processus de développement, et plus vous parviendrez à les identifier tôt, plus vous réaliserez des économies.

Vous désirez en savoir davantage sur ARCAD CodeChecker ? Contactez ARCAD Software pour une démonstration !