理解DevSecOps的基本原则-原创手记-慕课网

DevSecOps 是将 安全措施和实践 集成到 DevOps 工作流中。它确保安全是开发、运维和安全团队共同的责任，而不是一个孤立的流程。（DevSecOps）

（此处省略）

DevSecOps的几个关键点

安全左移：
安全测试在软件开发生命周期（SDLC）的初期就开始了，通常在规划和开发阶段，以便及早发现漏洞。
自动化：

自动化安全流程，例如代码扫描、漏洞评估和合规检查，以减少人工工作并加速反馈回路。在CI/CD管道中执行这些自动化操作可以减少人工努力并加速反馈循环。

协作：
促进开发、运维和安全团队之间的合作，确保安全责任由大家共同承担。
持续地监控：

持续地监控应用程序、基础设施和容器中的漏洞、入侵行为或异常情况。常用的工具有Prometheus和ELK（Elasticsearch, Logstash, Kibana）栈。

不可变基础设施，

使用基础设施即代码（IaC）来定义、部署和管理安全且可重复的基础设施设置。

最小权限原则：

实施严格访问控制措施，确保用户及进程仅拥有履行其角色所需的必要权限。

代码合规：

将监管和合规要求内置到自动化的安全检查中。

（注：此部分保留原文的Markdown格式，翻译仅保留相应的标点符号。）

简化后直接翻译：

（最终简化直接保留原文格式）

DevSecOps：关键做法

安全编码规范

使用静态应用安全测试（SAST）工具在代码开发过程中扫描漏洞。
示例：SonarQube，Checkmarx。
1. 容器的安全：
扫描容器镜像中的漏洞（比如，可以使用 Aqua Security 或 Trivy 等工具）。
强制仅使用验证过的镜像。
1. 依赖管理 ：
定期更新库和依赖项以避免第三方软件中的安全漏洞。
工具：Snyk、Dependabot。这些工具可以帮助我们管理依赖项的更新。
1. 代码基础设施（IaC）的安全性：
扫描IaC模板（如Terraform、CloudFormation）中的配置错误项。
工具：Checkov、TFSec。
1. 动态应用程序安全测试（DAST）：
对运行中的应用程序进行实时安全测试，以识别运行时的漏洞。
1. 威胁建模：通过这种方法，我们可以预测和评估潜在的安全威胁。
在设计阶段进行威胁建模以识别潜在的攻击途径。
1. 应急响应：
制定一个自动化并有详细文档的事件响应计划，以便，快速应对安全威胁。

…

DevSecOps 的好处有哪些

减少漏洞：

通过及早识别和修复问题，团队可以减少在开发周期中的潜在漏洞。

更快的送达：

自动化的安全检查减少了由于人工审核和测试导致的延误，从而提高了效率。

改善协作：
团队一起努力解决安全问题，培养共同承担责任的文化氛围。
合规遵守：

自动化的合规检查可以确保应用程序符合监管标准，无需增加额外的工作量。

增强的韧性：

持续监控和安全整合使系统更耐攻击。

此处省略内容

DevSecOps（开发安全运维）工具

区域	工具
SAST	SonarQube（工具名），Checkmarx（工具名），Fortify（工具名）
DAST	OWASP ZAP（工具名），Burp Suite（工具名）
容器安全检查	Aqua Security（工具名），Trivy（工具名），Twistlock（工具名）
CI/CD整合	Jenkins（工具名），GitLab CI（工具名），CircleCI（工具名）
IaC扫描	Checkov（工具名），TFSec（工具名），CloudSploit（工具名）
依赖项扫描	Snyk（工具名），Dependabot（工具名），Whitesource（工具名）
- 监控	Prometheus（工具名），ELK Stack（工具名），Splunk（工具名）

在实现 DevSecOps 时面临的挑战

文化转变：

团队可能会抵制将安全融入DevOps，认为这会增加他们的工作负担。

工具过多：

选择合适的工具并防止功能重复可能颇具挑战。

培训和技能不足：

开发人员和运维团队应该进行安全方面的培训。

性能影响：

部分自动化安全检测可能会拖慢 CI/CD 流水线的速度。

平衡安全与速度：

在实施安全措施的同时确保快速交付，需要周密的规划。

……

任务：实施基本的DevSecOps实践（DevSecOps）

在 CI/CD 中，自动化安全扫描：

添加如 SonarQube 之类的静态代码分析工具到你的 CI/CD 管道中来扫描代码中的漏洞。
Jenkins 示例：

阶段('代码分析') {
     步骤 {
         sh 'sonar-scanner -Dsonar.projectKey=my-project'
     }
}

安全的Docker镜像

使用 Trivy 在部署之前对 Docker 容器镜像进行扫描检查：

      trivy image my-image:latest

监控安全状况

使用 AWS Security Hub 监控您的 AWS 环境中的合规状态和安全问题。
1. 强制执行 IAM 策略，确保策略得到有效执行：
为 AWS IAM 角色和用户应用最小权限原则。
1. 运行渗透测试：
使用比如 OWASP ZAP 這樣的工具來測試應用程序中的安全漏洞。

无内容

计划将安全整合进CI/CD流水线流程（持续集成和持续部署）

将安全性集成到 CI/CD 管道中可以确保在开发周期的早期阶段能够发现并解决这些问题。以下是一份详细的步骤指南，将安全措施融入您的管道，推动 DevSecOps 理念的发展。

此处省略若干内容（此处用以表示分隔或作为占位符）

1. 确定安全目标

目标：确保部署的所有代码是安全的，没有已知漏洞，且符合行业标准。
重点领域：包括以下重点领域：
代码安全：（静态和动态分析）。
依赖管理和工件扫描。
基础设施的安全性。
包括运行时监控。

（沉默/停顿）

2. 在 CI/CD 流水线中添加安全检查

安全措施最好在每个环节都融入整个流程中。

第一步：预提交钩子检查

使用如 pre-commit 这样的工具来强制编码标准的执行，并在推送更改前扫描代码中的机密信息等。
例如：使用 git-secrets 检测硬编码的凭证（例如用户名和密码）。

第2步：源代码扫描

工具：静态应用安全测试（SAST）工具，例如SonarQube、Checkmarx或Fortify。
实施：具体实施步骤或建议可以在此处添加。
添加一个流水线阶段来对所有提交运行SAST扫描（静态应用安全测试）。
例如在Jenkins中的做法：
在Jenkins中的例子：

阶段名称('静态代码分析') {
    步骤 {
        sh 'sonar-scanner -Dsonar.projectKey=my-project'
    }
}

目的：找出例如SQL注入、XSS和不安全的设置等漏洞。

第三步：进行依赖检查

工具：使用如 Snyk、Dependabot 或 Whitesource 等工具扫描依赖中的安全漏洞。
实施措施：
在构建阶段自动进行依赖检查。
如果发现关键漏洞，自动阻止构建。

第四步：容器安全

工具有如：Trivy、Aqua Security 或 Twistlock。
实施：
在部署前扫描镜像中的漏洞。
例如：

扫描镜像 my-container-image:latest

第五步：代码即基础设施（IaC）检查

工具：使用像 Checkov、TFSec 和 CloudSploit 这样的工具扫描像 Terraform 和 CloudFormation 这样的 IaC 模板。
实施：
在流水线中增加一个步骤，检查基础设施配置中是否有误配置或安全漏洞。

第六步：动态应用安全测试（DAST，Dynamic Application Security Testing）

工具：通常使用 OWASP ZAP 或 Burp Suite 这类工具。
操作：
对正在运行的预演环境中的应用程序进行实时漏洞扫描。
例如使用OWASP ZAP：

zap-cli 快速扫描（quick scan） --独立 --启动选项为 "-config api.addrs.bind=127.0.0.1" http://staging-app-url

第七步：合规检查

工具：使用如 AWS Config 或 Kubernetes 基准测试 等工具来确保云和容器合规。
实施：
自动化执行 CIS 基准和 GDPR 等政策的合规性检查。
- - 或此处省略

3. 添加安全门

实现条件门，如果检测到关键漏洞或安全策略违规，则阻止部署。
示例：
如果 SAST 作业失败，则在 GitLab 中阻止合并请求。
在 SonarQube 中设置质量门，如果代码评分未达到阈值，则使管道失败。
- *

4. 整合警报和报告功能

使用像 ELK Stack、Splunk 或 AWS Security Hub 这样的集中日志和监控工具来收集安全日志。
为关键问题配置告警。
将通知与 Slack、微软 Teams 或 PagerDuty 等工具进行集成。
- *

5. 实施RBAC

限制谁可以批准、合并或部署代码：
开发人员只能推送代码到功能分支。
质量保证团队可以批准构建版本。
只有 DevOps 和安全团队能向生产环境部署代码。
- *

部署后的安全保障

使用像 Falco 或 Sysdig 這樣的運行時安全工具來監控應用程序在生產環境中的運行。
定期更新和打補丁依賴項及容器鏡像。
- *

7. 为开发人员自动进行安全培训

提供持续的安全编码实践培训。
使用例如 Hack The Box 或 Secure Code Warrior 这样的游戏化学习平台。
- *

CI/CD流水线工作流程

代码：

提交前钩子扫描密钥并强制执行标准规范。
1. 构建：
运行SAST和依赖项扫描。
编译并打包应用程序。
1. 测试：
执行单元测试和集成测试。
运行DAST扫描。
1. 部署到预发布阶段：
扫描容器镜像。
验证IaC模板。
进行合规性检查。
1. 审批关卡：
如果安全关卡失败，部署将被阻止。
1. 部署到生产环境：
使用运行时安全工具监控应用程序运行。
- *

Jenkins 中的 CI/CD 安全集成简单示例

    pipeline {
        agent any
        stages {
            stage('静态代码审查') {
                steps {
                    sh 'sonar-scanner -Dsonar.projectKey=my-project'
                }
            }
            stage('依赖检查') {
                steps {
                    sh 'snyk test'
                }
            }
            stage('容器安全性') {
                steps {
                    sh 'trivy image my-image:latest'
                }
            }
            stage('动态安全评估') {
                steps {
                    sh 'zap-cli quick-scan http://staging-app-url'
                }
            }
            stage('合规性审核') {
                steps {
                    sh 'checkov -d .'
                }
            }
            stage('部署至生产环境') {
                when {
                    expression {
                        return currentBuild.result == null || currentBuild.result == 'SUCCESS'
                    }
                }
                steps {
                    sh './deploy.sh'
                }
            }
        }
    }

全屏，退出全屏

结尾

_DevSecOps 确保安全是软件开发生命周期中持续、自动化和集成的一部分。它弥合了速度与安全之间的鸿沟，使组织能够更快地交付更安全的软件，同时降低风险。通过采用 DevSecOps 的原则和实践，团队可以在不断演变的威胁面前保持优势，构建更强大的系统。

将安全性融入 CI/CD 流水线可以确保在整个软件开发生命周期（SDLC）中尽早并持续处理漏洞。通过自动化安全测试并实施强大监控，可以增强应用程序的抗压能力，同时保持快速交付周期。

学习愉快！😊