Beispiel Pipeline

node {
    stage('Checkout') {
          checkout scm
    }
    ...

    stage('Unit-Tests') {
     sh "mvn test"
    }

    archiveArtifacts '**/target/*.jar'
    junit '*/target/surefire-reports/TEST*.xml'

Beispiel

Warum Jenkins Pipeline

• Transparenz
• Struktur
• Wartbarkeit
• Produktreife
• Übersicht
• Nicht nur auf Java-Welt beschränkt
• Infrastructure as Code (IaC) auch für Build

Multi Branches

• Multibranch Pipeline Jobs bauen automatisch
• Mit git flow sehr hilfreich
• Build-Anpassungen können als Branch getestet werden

Blue Ocean

• Gestartet als neues UI für Jenkins
• Fast Feedback mit modernen UI
• mittlerweile gute Pluginunterstützung

• Gut geeignet für schnellen Überblick durch Farben

Beispiel

Beispiel

@Library('holisticon-build-library')
def utils = new de.holisticon.ci.jenkins.Utils()


node {
  utils.waitForAppToBeReady('localhost:8080')
}

Beispiel

Warum Docker?

• etabliertes & leichtegewichtiges Format für Container
• Unterstützung in verschiedenen Cloud-Umgebgungen
• DevOps leichtgewichtig mit docker-compose
• portabel

Demo für Continuous Integration Setup

• komplette Buildumgebung
• Persistenz über Docker Volumes
• Verlinkung der Container
• inklusive Selenium Grid

Oberflächen Testing mit Stil - Serenity

• Tool für ATDD (acceptance test driven development)
• Macht Integrations-Tests lesbarer, wartbarer und wiederwendbar
• Selenium als technische Basis
• Nutzt Page Object Pattern
• Stellt Reporting für Tracking & Fehlersuche zur Verfügung
• Verbindung mit Ticket-System
• Anforderungen auf Tests mappen

Report

Beispiel

Beispiel

• YAML-basierte Syntax für die sog. Playbooks

- hosts: webservers
  vars:
      http_port: 80
      max_clients: 200
  remote_user: root
  tasks:
      - name: ensure apache is at the latest version
        apt: pkg=apache2-mpm-worker state=latest
      - name: ensure apache is running
        service: name=apache2 state=started

Deployment

sshagent(['e96eb307-86ff-4858-82bb-cdc20bf1e4b4']) {
  stage('Deploy') {
    dir("ansible") {
      // Install / update dependencies
      sh "ansible-galaxy install -r requirements.yml -f"
      // Execute playbook
      sh "ansible-playbook cddemo.yml --extra-vars 'app_version=${appVersion}
        path_to_artifact=../angular-spring-boot-webapp/target/ng-spring-boot.jar
        --ansible_ssh_port=\${ANSIBLE_PORT}'"
    }
  }
}

Beispiel

Wieso Ansible

• schlank und einfach zu erlernen
• flexibel und ohne Infrastruktur einsetzbar
• Mit Ansible Galaxy reichhaltige Bibliothek
• guter Support in RedHat Distributionen

Demo - Deployment mit Ansible

Beispiel

Continuous Security

• Testen ist nicht alles, bei Entwicklung auch nicht
• Warum also nicht auch bei Security?
• logischer Schritt für Automatisierung
• Security muss auf verschieden Ebenen betrachtet werden
  • Code & Architektur (Sonar)
  • Integrations-Tests (bdd-security, zap, owasp)

Security ganzheitlich

• Thema einarbeiten
  • Erstellung von Security Guidelines
  • Berücksichtigung von Sicherheit im Rahmen der Erstellung von User Stories
  • Codescans durchführen
  • Peer-Reviews durch einen Security Champion durchführen
  • Penetrationstests einplanen
• Planing
• Secure Scrum
• Thread Model
• Analog zur restlichen Softwareentwicklung

Node Security Project (NSP)

• Prüfung der Abhängigkeiten auf bekannte Schwachstellen
• Schlägt korrigierte Version vor

┌───────────────┬───────────────────────────────────────┐
│               │ Insecure Defaults Allow MITM Over TLS │
├───────────────┼───────────────────────────────────────┤
│     Name      │ engine.io-client                      │
├───────────────┼───────────────────────────────────────┤
│   Installed   │ 1.5.4                                 │
├───────────────┼───────────────────────────────────────┤
│   Vulnerable  │ <= 1.6.8                              │
├───────────────┼───────────────────────────────────────┤
│    Patched    │ >= 1.6.9                              │
├───────────────┼───────────────────────────────────────┤
│   More Info   │ https://nodesecurity.io/advisories/99 │
└───────────────┴───────────────────────────────────────┘

OWASP dependency-check

• Seit 2012 verfügbar (basiert auf A9 - Komponenten mit bekannten Schwachstellen)
• Verfügbar in verschiedenen Varianten: Ant, Maven, Gradle, SBT, Jenkins
• Analyse der Abhängigkeiten zu bekannten Schwachstellen für Java & .NET
• Experimentielle Unterstützung
  • CocoaPods
  • Swift Package Manager
  • Python
  • PHP (composer)
  • Node.js
  • Ruby

• Prinzipiell kann jede gefundenen Schwachstelle zu Buildfehler führen

[ERROR] Failed to execute goal org.owasp:dependency-check-maven:1.4.0:check (default) ...
[ERROR]
[ERROR] Dependency-Check Failure:
[ERROR] One or more dependencies were identified with vulnerabilities
        that have a CVSS score greater then '5.0':
[ERROR] commons-httpclient-3.1.jar: CVE-2014-3577
[ERROR] mysql-connector-java-5.1.37.jar: CVE-2014-0001, CVE-2013-2378,  ....
[ERROR] tomcat-embed-core-8.0.33.jar: CVE-2016-3092, CVE-2013-2185, CVE-2002-0493

• Nicht praktikabel, deswegen sind Ausnhamen nötig
  • Kann reduzierter Common Vulnerability Scoring System-Score (CVSS) gewählt werden
  • Ausnahmen festlegen

OWASP Zed Attack Proxy (ZAP)

Features

• Intercepting Proxy
• Automated Scanner
• Passive Scanner
• Brute Force Scanner
• Fuzzer
• Port Scanner
• Spider
• Web Sockets
• REST API Scanning (OpenAPI/Swagger)

ZAP Java Integration

• Maven Plugin: github.com/hypery2k/zap-maven-plugin