Shift security left : Dev idea , Dev env, staging env, prod env

faster feedback, lest cost,

• CI/CD Pipeline
• SCA : Static Code Analysis (scan without running code)
  • SCA : Static Composition Analysis
  • SAST : Static Application Security Testing
  • Secret Scanner
• precommit: lancer analyses au plus tôt
• Sbom : Software Bill of materials (liste des dépendances avec versions) : ex quand une vulnérabilité est découverte on peut find grep dedans
• DAST : Dynamic Application Security Testing (SQL injection, xss , session hijacking, authenticaion,...) (ex. Owasp Zap tool)
• Image Scanners
• Alpine image: less attack surface (but still OS)
• Distroless images: even less tools (usually image providers give a lot more infos such as Sbom, Security infos, ...)

https://edu.chainguard.dev/chainguard/chainguard-images/getting-started-distroless

https://images.chainguard.dev

docker scout cves $APP_NAME:APP_VERSION --output vuln.report

docker scout cves $APP_NAME:APP_VERSION --only-severity critical --exit-code

docker scout sbom --output $APP_NAME.sbom $APP_NAME:APP_VERSION

• Generate vulnerability report (and notify the team)

• Fail CI on vulnerability threshold

• Sign commit

• Sign image

Tandis que les frasques et les manœuvres des patrons de la tech étasunienne concentrent l’attention, en France aussi des forces s’affirment, décidées à faire de la puissance technologique un programme autoritaire. Des think tanks aux fonds d’investissement en passant par les salons où se côtoient dirigeants politiques et dirigeants d’entreprises, le projet « technofasciste » y prend racine sur un terreau rendu fertile par plusieurs décennies de durcissement sécuritaire, d’extension de la surveillance numérique et de mise sous contrôle des populations désignées comme menace.
Devant cette sommation technologique et son déploiement accéléré, il est vain de croire que l’on pourrait simplement tourner la tête, voire sauter du train. Mais il est urgent de prendre la mesure des bascules en cours et d’identifier ceux qui sont aux commandes pour les empêcher de nous mener dans le mur ; comme il est urgent de défaire les impasses stratégiques où une part de la technocritique s’est laissée enfermer afin de rouvrir la possibilité d’une critique progressiste et d’une maîtrise démocratique des choix technologiques.

Irénée Régnauld

Irénée Régnauld est essayiste, sociologue et doctorant à l’EHESS et à l’INSA Rennes. Spécialiste des implications sociales du numérique, il tient depuis 2014 le blog « Mais où va le web ? » et a cofondé en 2017 l’association Le Mouton Numérique. Il a récemment publié, avec Arnaud Saint-Martin, Une histoire de la conquête spatiale. Des fusées nazies aux astrocapitalistes du New Space (2024).