软件应用的安全性已成为企业和用户关注的焦点，DevSecOps作为一种将安全融入开发和运维全过程的理念和实践，旨在消除传统开发模式中安全被后置处理的弊端。DevSecOps黄金管道（Golden Pipeline）是实现这一理念的核心框架，它涵盖了从需求分析到软件部署的整个生命周期。

DevSecOps黄金管道

黄金管道是一个连续的、自动化的流程，将开发、安全和运维紧密结合，实现快速、安全地交付软件。通过黄金管道，可以自动化地执行一系列任务，包括了代码开发、构建、测试、部署等多个阶段，每个阶段都有明确的安全目标和措施。

在黄金管道落地过程中，不仅仅是安全能力建设，更需融入SDLC，将安全角色与安全工具深度融合，来推动DevSecOps的实施。

1、DevSecOps黄金管道中的安全角色

在谈及DevSecOps中的安全角色时，很多人通常会认为是负责解决安全问题的安全工程师。但开源网安却认为这种认知过于笼统，在黄金管道中，安全工程师并不是一个固定的岗位，其职能会随着阶段的不同而变化，且配置的人员能力也存在差异。若要成为一个全能力的安全工程师，需要掌握如下技能：

​​​​​​​

技能1： “智筑天盾” - 安全设计与架构

安全工程师需要深入了解业务需求和系统架构，以便为整个项目制定全面且具有前瞻性的安全策略。这包括评估系统可能面临的威胁和风险，设计合理的安全架构，例如确定访问控制模型、加密策略、身份验证和授权机制等。同时，他们还需要考虑如何将安全功能无缝集成到系统架构中，以确保在不影响系统性能和用户体验的前提下，提供强大的安全防护。

技能2： “码上封穴” - 安全编码

安全工程师为开发人员提供安全编码的指导和培训，向开发团队普及常见的安全漏洞类型及相应的防范方法。此外，使用静态代码分析工具来检测潜在的安全问题。

技能3：“测试乾坤” - 持续集成与测试

安全工程师需要将安全测试纳入到自动化流程中。他们会配置和维护安全测试工具，确保在每次代码提交和集成时都能进行有效的安全检查。安全工程师还会分析测试结果，对于发现的安全缺陷，及时与开发团队沟通并协助修复。

技能4：“安行护道” - 持续交付与部署

安全工程师参与制定部署流程和规范，审核基础设施的配置，包括服务器、网络设备和应用服务器等，以防止出现配置错误导致的安全漏洞。此外，还负责密钥管理、证书更新等安全相关的任务，保障在交付和部署过程中数据的保密性、完整性和可用性。

技能5：“御警风云” - 运行时防御与监控

安全工程师的重点是实施有效的运行时防御和监控措施。实时监测系统的活动，及时发现并响应潜在的安全威胁。安全工程师还会制定应急响应计划，在发生安全事件时能够迅速采取措施，将损失降到最低。同时，他们会定期对系统进行安全审计，评估安全控制的有效性，提出改进建议，以不断提升系统的安全防御能力。

2、DevSecOps黄金管道的安全“神兵”

在DevSecOps的黄金管道中，安全工具绝非简单集成，而是需深入领悟其特性与适用环境，配合项目既定安全策略，工具有机地融入黄金管道之中，将如“神兵”一般，成就全面高效的安全守护。

神兵1：静态应用安全测试工具（SAST）

应用场景：于代码写成、未编译运行之际行安全扫描。

使用方法：通过对源代码的语法、结构和语义分析，检测潜在的安全漏洞，如缓冲区溢出、SQL注入等。这种工具能够深入检查代码的内部逻辑和结构，帮助开发人员在早期发现潜在的安全隐患。例如，它可以检测代码中是否存在未进行输入验证的接口，或者是否存在可能导致缓冲区溢出的危险操作。通过对代码的全面扫描，SAST工具能够提供详细的报告，指出存在的安全问题以及相应的修复建议。

神兵2：软件成分分析工具（SCA）

应用场景：用以识别并管控项目所用开源及第三方组件之安全性与许可合规性。

使用方法：扫描项目的依赖项清单，与已知的漏洞数据库进行比对，检测是否存在包含已知安全漏洞的组件。同时，检查组件的许可证类型，确保符合项目的使用要求。

神兵3：动态应用安全测试工具（DAST）

应用场景：当应用系统运行时，模拟攻击以测可被利用之漏洞。

使用方法：向应用发送各种恶意请求，观察应用的响应，发现诸如跨站脚本、SQL注入等漏洞。DAST工具不需要访问源代码，而是直接与正在运行的应用程序进行交互。它可以模拟真实的攻击场景，例如尝试通过表单提交恶意脚本，或者构造异常的数据库查询语句，以查看应用是否能够正确处理这些恶意输入，从而暴露可能存在的安全漏洞。

神兵4：交互式应用安全测试工具（IAST）

应用场景：于测试之境，软件运行时实时监测其代码执行之程，觅安全漏洞。

使用方法：通常通过在应用服务器中部署代理，收集运行时数据进行分析。IAST工具结合了SAST和 DAST优点，能够在应用运行时实时监测代码的执行情况，更准确地发现漏洞。它可以检测到在特定的业务逻辑和用户输入组合下才会出现的复杂漏洞，为安全测试提供了更深入的视角。

神兵5：API测试工具

应用场景：测 API 之安全性、功能正确性及性能。

使用方法：发送各种请求到API端点，验证响应的正确性、检查权限控制、监测性能指标等。

神兵6：容器安全工具

应用场景：保容器化应用之安全，含容器镜像扫描、运行时监控等。

使用方法：对容器镜像进行漏洞扫描，监测容器运行时的异常行为。在容器化环境中，容器镜像的安全性至关重要。这些工具可以扫描镜像中的操作系统、应用程序和依赖库，查找已知的漏洞和配置问题。同时，在容器运行时，它们能够实时监控容器的资源使用、网络活动和进程行为，及时发现异常情况。

神兵7：模糊测试工具

应用场景：现应用程序处异常或随机输入时，解潜在漏洞与稳定性之困。

使用方法：生成大量的随机、无效或异常的数据输入给应用程序，观察应用的反应，检测是否存在崩溃、内存泄漏、错误响应等问题。

神兵8：渗透测试工具

应用场景：模拟真实黑客之击，评系统之安全性。

使用方法：由专业的安全人员使用，包括漏洞利用、社会工程学等手段，深入挖掘系统可能存在的安全弱点。

神兵9：配置管理和合规性检查工具

应用场景：保服务器、网络设备及应用之配置合安全标准与法规之要求。

使用方法：定期扫描配置文件，对比预定义的合规性规则，生成报告和告警。在复杂的IT环境中，各种设备和应用的配置需要遵循严格的安全标准和法规。这些工具可以自动检查配置文件，确保诸如密码策略、访问控制设置、端口开放等符合规定。一旦发现不符合项，能够及时发出警报，以便管理员采取措施进行修复。

DevSecOps黄金管道为实现高效、安全的软件开发提供了有力的框架。其中“安全”的价值体现，来自安全工程师的角色和安全工具的集成在研发流程中的系统性变革，要成功实施DevSecOps并非一蹴而就，需要克服诸多挑战，持续优化流程和技术。

开源网安为客户打造的DevSecOps解决方案将安全工具无缝、透明地融入研发流程中，及时弥补安全方面的“技术债”，健全风险闭环管理的体系。如此，企业才能在快速交付软件的同时，使软件更具备强大的安全性，以应对日益复杂的业务风险。

推荐阅读

从DevOps到DevSecOps是怎样之中转变？

DevSecOps示范 | 世界500强企业如何建设软件开发安全体系