Kontinuierliches Pentesting in der Delivery (Kontinuierliches Pentesting In Delivery)

Kontinuierliches Pentesting in der Delivery

Wire open-source scanners from the ProjectDiscovery ecosystem into CI so findings block or ticket before EC2 promote.

pipeline stage: ProjectDiscovery scanners

Yıllık PDF pentest, sürekli riski kapatmaz.

Begriffe, dort definiert, wo sie zuerst auftauchen

📦 Analysis API
Django Read/Analyse-Endpunkte für MFEs und Control Plane.

📦 Closed Network CI
Pipelines auf self-hosted GitLab-CE-Runnern im geschlossenen Netz.

📦 Artifact
Versioniertes Deploy-Paket für EC2.

📦 Continuous Pentest
Open-Source Security-Scanning in der Pipeline (ProjectDiscovery-Ökosystem).

Wer diese Schichten vermischt, erzeugt falsche Wahrheit in Analytics und auf der Karte.

Form des Problems

Wire open-source scanners from the ProjectDiscovery ecosystem into CI so findings block or ticket before EC2 promote.

pipeline stage: ProjectDiscovery scanners

Die Trennung, die trägt

Yıllık PDF pentest, sürekli riski kapatmaz.

pipeline stage: ProjectDiscovery scanners
        ↓
   explicit contract → frontend

Frontend-Brücke

Ops-Karten, Wait-Geofence-UI und MFEs konsumieren Read Models — nie rohes ERP/MySQL.

Die am häufigsten verwechselten Zuordnungen

❌ ERP-MySQL = Analytics-DB
✓ ERP ist Write-Store; Analytics lebt in PostGIS

❌ Karte vertraut blind public/Vendor-Routern
✓ Produktion braucht Ihre API/OSRM-Kante

❌ ML-Outputs mit PII loggen
✓ Eval und Serving achten Privacy

Checkliste zur Prüfung des eigenen Systems

1. Welcher Store ist Source of Truth?
2. Welchen API-Vertrag ruft das Frontend?
3. Was passiert bei Node-Verlust im Cluster?
4. Wie wird Lag dem Operator gezeigt?
5. Deny-list: Domain/Vendor-Leakage?

Was aus diesem Teil bleiben sollte

1. Polyglotte Stores dienen unterschiedlichen Lasten.
2. Frontends konsumieren saubere Read Models, nicht das ERP.
3. ML/OSRM braucht API-Vertrag vor der Karte.

Eine schöne Karte aus schmutziger Quelle bleibt eine Lüge.