Web application security testing as part of continuous integration in .NET projects

Abstract

The purpose of this study was to investigate security controls for continuous integration in .NET projects. The thesis introduces common theory related to the area; web application security testing, continuous integration, continuous delivery and DevOps. In the problem statement the defense in depth model is introduced and typical threats for modern web applications are introduced. The study introduces two example projects and several security controls.

Current state analysis was done for both example projects and a research was conducted about suitable security controls that market has to offer for .NET projects. After having the initial situation cleared a mitigation plan was done for the risks and to control different types of threats. Each of the security controls was evaluated for usage in Jenkins. For most of the security controls implementation is also introduced and evaluation about usage of the tool. Security controls usefulness is evaluated against different types of threats that web applications are facing and against feelings that example projects´ team members have towards each control.

As a results the thesis introduces usefulness estimates for each security control and also guidance how they can be taken into use in a Jenkins continuous integration environment. As the main result the study presents how combining different kind of tools can help in mitigating typical risks that a web application project is facing. Education is found to be in a crucial part in facing the threats. Software developers in example projects felt that static code analysis tools and performance analysis tools were the most useful ones for their projects.

Tutkimuksen tarkoitus oli tutkia erilaisten tietoturvakontrollien toteuttamista Continuous Integration -ympäristössä .NET-projekteissa. Tutkimuksen kohteena oli kaksi esimerkkiprojektia, joille tehtiin tietoturvatilannekartoitus. Tilannekartoitus tehtiin myös markkinoilla oleville tietoturvatuotteille.

Tämän jälkeen tutkittiin teknisiä tietoturvakontrolleja, joita projektit voisivat mahdollisesti ottaa käyttöön. Tutkittuja tietoturvakontrolleja verrattiin erilaisiin uhkamalleihin ja ne sijoitettiin tietoturvallisen sovelluskehityksen elämänkaaressa sopivaan vaiheeseen ja lopuksi arvioitiin esimerkkiprojekteilla niiden hyödyllisyys projektin kannalta.

Tutkimuksen tuloksena saatiin arvio eri tietoturvakontrollien hyödyllisyydestä ja osatuloksena ohjeistus kuinka ne voidaan ottaa käyttöön Jenkins Continuous Integration -ympäristössä. Koulutus tunnistettiin tärkeäksi osaksi sekä tietoturvauhkien tunnistamisessa että tietoturvauhkilta suojautumisessa. Projektiryhmien mielestä tärkeimmät työkalut olivat suorituskykytestauksen mittaamiseen ja lähdekoodin analysointiin käytettävät työkalut. Tutkimuksessa tuli selkeästi esille, miten eri työkalut tarkastelevat täysin eri osia sovelluksen ajoympäristöstä ja siten myös mitätöivät täysin erilaisia uhkia tehokkaasti. Lopputuloksissa erilaisten tietoturvatuotteiden rinnakkaiskäytön hyödyllisyys näkyi siten, että yhtäkään tuotetta ei koettu tarpeettomaksi.