CI/CD security scanning: SAST, DAST en container scanning

Security in CI/CD pipelines is geen optionele stap die u toevoegt als er budget over is — het is een gate die deployments blokkeert wanneer critical vulnerabilities worden gevonden. DevDock implementeert shift-left security: scans draaien bij elke pull request, niet pas na deployment naar productie.

Scan types en tooling

Pipeline integratie voorbeeld

# GitHub Actions security gate
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: 'fs'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'
      - name: Gitleaks secret scan
        uses: gitleaks/gitleaks-action@v2

False positives managen

Te agressieve scanning blokkeert teams en leidt tot scan-bypass workarounds. Wij configureren baseline suppressions voor known false positives, implementeren een exception workflow met expiry dates, en reviewen maandelijks de suppressielijst. Het doel: zero critical vulnerabilities in productie, niet zero scan findings.

Security scanning is onderdeel van onze DevOps & CI/CD diensten en cloud security diensten. Wilt u uw pipeline security posture beoordelen? Neem contact op.