Hari 60: Membangun Arsitektur DevSecOps End-to-End dalam 60 Hari

Hari ini adalah hari terakhir dari 60 Days DevSecOps Mastery Challenge. Selama dua bulan saya membangun SecureBank API — aplikasi perbankan Golang — dari kode mentah menjadi arsitektur yang diamankan end-to-end: dari commit pertama sampai laporan audit siap rapat dengan manajemen.

Bukan hanya belajar teori, setiap hari menghasilkan output nyata yang bisa diuji. Tulisan ini adalah cuplikan perjalanan dan keterampilan DevSecOps yang berhasil saya kuasai.

Arsitektur End-to-End

Alur lengkapnya:

1. Developer melakukan git push ke GitHub (branch protection: develop, staging, main).
2. GitHub Actions menjalankan pipeline 10 quality gate: Build & Test (Go 1.26.6), Secret Scan (Gitleaks), SCA (Trivy), SAST (Semgrep), DAST (OWASP ZAP), IaC Scan (Checkov + Trivy), Image Build & Scan, Kubeconform, Promotion Policy, dan Security Gate.
3. Image aman di-push ke GHCR, hasil scan masuk ke DefectDojo sebagai single pane of glass.
4. Auto-CD via workflow_run men-deploy ke 3 environment (dev, staging, prod) memakai Kustomize overlay.
5. Di Kubernetes (k3d) berjalan OPA Gatekeeper (kebijakan admission), Falco (deteksi runtime), NetworkPolicy, dan RBAC.
6. Alert CRITICAL dari Falco dikirim ke n8n → Slack #security-alerts, lengkap dengan ringkasan perbaikan dari AI.
7. Semua temuan dikonsolidasikan menjadi laporan audit Q3 (PDF eksekutif) dan siap dipublikasikan.

Keterampilan DevSecOps yang Berhasil Saya Kuasai

Berikut peta kemampuan yang teruji lewat output nyata setiap hari:

1. Application Security (Secure SDLC)

• SAST — Semgrep menangkap insecure crypto (md5) dan SQL injection; kemudian saya perbaiki dan pipeline jadi hijau lagi.
• SCA — Trivy memindai dependensi Go; CVE CRITICAL memblokir build secara otomatis.
• Secret Scanning — Gitleaks mendeteksi secret di seluruh history git (termasuk uji sengaja commit secret palsu).
• DAST — OWASP ZAP memindai aplikasi berjalan dan menemukan missing security headers.
• AI-Assisted Code Audit — hasil scanner dianalisis AI untuk mendapatkan rekomendasi perbaikan instan.

2. Container & Infrastructure as Code

• Docker hardening — multi-stage build, USER nonroot, read-only filesystem, cap_drop: ALL.
• Image signing — Cosign untuk tanda tangan image.
• Terraform + Checkov/tfsec — memindai AWS infra; temuan diperbaiki dari 14 menjadi 2 Low.
• Kubeconform — validasi manifest tanpa perlu cluster (jebakan menggantikan kubectl apply --dry-run).

3. Kubernetes & Runtime Security

• OPA Gatekeeper — menulis policy Rego: tolak Pod tanpa resource limits atau yang overprivileged.
• Falco — custom rules mendeteksi gerakan mencurigakan (exec /bin/sh, privileged container).
• NetworkPolicy — default deny all + whitelist ingress.
• RBAC + External Secrets — audit izin ServiceAccount dan integrasi dengan AWS Secrets Manager.

4. Cloud Security & Red Teaming

• CSPM dengan Prowler — 328 checks CIS AWS; kegagalan berkurang dari 132 menjadi 106 setelah remediasi.
• CloudTrail forensics — memantau jejak access key bocor sampai level data event.
• IAM Auto-Revoke — script 3 langkah menonaktifkan key bocor instan.
• Red Team skenario nyata — simulasi K8s escape via nsenter, leaked credentials, dan chaos engineering (kill OPA webhook).

5. Vulnerability Management & Automation

• DefectDojo — dashboard terpadu untuk semua hasil scanner.
• n8n + AI Remediation — alert CRITICAL otomatis ke Slack disertai ringkasan perbaikan dari LLM.
• Laporan audit — enam temuan terdokumentasi dengan langkah mitigasi dan PDF eksekutif siap presentasi.

6. CI/CD & Engineering Practices

• Quality gate 10 check dalam satu pipeline terpadu.
• Auto-CD — workflow_run men-deploy otomatis saat branch dipromosikan, tanpa klik manual.
• Branching & merge policy — merge commit untuk menjaga ancestory traceable, branch protection di 3 branch utama.
• Kesiapan ujian CDP — panduan lengkap beserta simulasi 3 jam siap dijalankan.

Kenapa "End-to-End" Penting

Kekuatan utama proyek ini bukan pada satu tool, tapi keterhubungan: satu commit bisa gagal karena secret, temuan SAST, CVE, atau kebijakan IaC sekaligus. Alert runtime sampai ke Slack dalam hitungan detik. Semua bukti terekam dan berujung pada laporan yang bisa diaudit.

Penutup

Di hari ke-60, arsitektur ini saya publikasikan dan resource lab saya bersihkan hingga biaya kembali nol — termasuk menghapus Secret Manager, CloudTrail, dan bucket log AWS.

Empat pelajaran terbesar:

1. Security harus jadi bagian dari pipeline, bukan evaluasi di akhir.
2. Automation adalah kekuatan DevSecOps — manusia tidak boleh menunggu 20 menit mengecek log.
3. Red team yang jujur mengungkap gap nyata — termasuk gap antara detector konfigurasi dan runtime guard.
4. Dokumentasi menyelamatkan karier — laporan audit dan panduan terstruktur = bukti kemampuan.

Semua artefak, 60 catatan harian, dan tracker ada di repositori: github.com/stayrelevantid/chalange-devsecops.

Kalau kamu sedang belajar DevSecOps: mulai dari satu tool, sambungkan ke pipeline, lalu ukur hasilnya. 60 hari terasa lama, tapi setiap langkah membangun di atas langkah sebelumnya.