荐读丨7款实用的DevSecOps工具，保障软件开发全程安全

DevSecOps已改变了软件开发模式，它将安全从事后考虑因素转变为开发过程中不可或缺的一部分。DevSecOps使得安全决策与落地能与开发工作实时同步进行。

DevSecOps的成功取决于安全工具的选择正确，并将其嵌入到软件开发生命周期（SDLC）的各个阶段——从最初的代码提交到部署，再到运行监控。这些工具必须功能足够强大，能够发现漏洞，同时还要直观易用，便于开发人员接受。选错工具会造成瓶颈并引发抵触情绪，而选对工具则能优化现有工作流程。在当今快速发展的环境下，这一选择对DevSecOps的实施起着决定性作用。

以下这7款受开发者青睐的DevSecOps工具，充分展示了现代DevSecOps如何提升而非阻碍开发流程，而且都提供免费或开源版本。这些工具是基于一线经验以及与客户交流后筛选出来的，并且按照开发生命周期的各个阶段进行排序。

在现代软件开发中，威胁建模愈发关键。IriusRisk是一个自动化威胁建模平台，它能基于系统架构图和调查问卷，帮助团队在软件开发生命周期的早期识别并缓解安全风险。该平台的突出优势在于，它能够在大型组织中开展规模化的威胁建模，同时保持一致性，并减少传统安全评估所需的人工工作量。

• 内置安全标准：纳入了诸如OWASP（开放式Web应用程序安全项目）、NIST（美国国家标准与技术研究院）和Mitre等主要安全标准，有助于确保符合行业最佳实践；

• 集成能力：可与流行的开发工具（如Jira、GitHub和Jenkins）集成；

• 可复用组件库：拥有一个涵盖威胁模式及应对措施的综合库，可快速应用于新项目；

• 风险可视化：能够清晰直观地呈现安全风险及其对系统的潜在影响；

• 协作功能：使安全团队和开发团队能在威胁评估及缓解策略方面有效协作。

IriusRisk提供免费的社区版和付费的企业版。社区版以SaaS模式提供，包含创建多达三个威胁模型以及访问其人工智能助手的权限。企业版可采用SaaS或本地部署的形式，支持不限数量的用户，并可按需购买威胁模型数量。

组织可使用Semgrep来进行全面的静态应用程序安全测试。它将强大的代码分析功能与依赖项及机密信息扫描功能相结合。其一大突出特点是采用直观的方式创建自定义规则。开发人员可以复制并粘贴他们想要查找的代码模式，并为变量添加占位符，Semgrep会在整个代码库中进行语义匹配，查找相似模式。这一功能对于执行公司特定的编码标准以及发现业务逻辑缺陷很有帮助。

开发人员还可使用Semgrep分析单个API规范，并在企业层面同时扫描数百个代码仓库。

• 减少误报：具有上下文感知扫描功能，它能理解代码结构，而非仅仅进行模式匹配，从而得出更准确且更具操作性的结果；

• 自定义标准执行：通过直观的模式匹配来创建并维护组织特定的编码标准和安全规则；

• 持续集成/持续交付集成：为现有的持续集成/持续交付（CI/CD）工作流程提供支持，适配主要的CI平台，并提供API访问以实现自定义集成；

• Semgrep的免费版本可访问开源规则、创建自定义规则以及进行CI集成，适用于个人开发者和小型团队。

Semgrep提供付费的企业版选项：Semgrep Code每月每位贡献者40美元，Semgrep Supply Chain每月每位贡献者40美元，Semgrep Secrets每月每位贡献者20美元，也可按需定制价格。Semgrep Code和Semgrep Supply Chain的前10位贡献者免费。

付费功能包括用于检测硬编码凭证和令牌的高级机密扫描、用于识别存在漏洞的依赖项的软件成分分析、基于角色的访问控制以及优先支持服务。依赖项扫描器可识别过时或有漏洞的软件包，并提供可行的升级路径。付费选项还包括供应链安全功能、合规报告，以及用于自定义集成的API访问权限。

Zed Attack Proxy（ZAP）是世界上使用最广泛的开源Web应用程序安全扫描器之一，是Web安全测试的首选免费工具。它由OWASP创建，现由Checkmarx提供支持，充当中间人代理，拦截并检查客户端与Web应用程序之间的消息。其主要功能包括自动化漏洞扫描、浏览时的被动扫描、网页爬取以及REST API。

ZAP因其广泛的社区支持、积极的开发以及与CI/CD管道的集成能力而闻名。ZAP因其可靠性和丰富的功能集而格外受欢迎。

StackHawk基于ZAP的核心引擎构建，对DevSecOps工作流程中的安全测试进行了现代化改造并加以简化。它通过以下方式增强了ZAP的功能：

• 原生CI/CD集成，尤其与GitHub Actions的集成；

• 现代API安全测试功能；

• 简化配置和设置；

• 团队协作功能；

• 增强的报告和仪表盘功能；

• 更好地处理现代认证方法。

StackHawk适合那些寻求更完善、适合性更强且有专门支持的产品的组织。StackHawk专注于面向开发者的安全测试和API扫描，这使其在采用DevSecOps最佳实践的团队中尤为流行。

StackHawk提供付费版本。专业版（Pro）每月每位代码贡献者42美元，最低需5位贡献者；企业版（Enterprise）每月每位代码贡献者59美元，最低需20位贡献者。拥有超过50位代码贡献者的组织可联系StackHawk获取定制报价。

GitGuardian可帮助组织在整个软件开发生命周期中自动检测并保护敏感信息（包括API密钥、凭证及其他机密信息），从而防止代价高昂的数据泄露事件发生。其强大的扫描引擎与现有工作流程及工具相集成，实时监控代码仓库、提交内容以及拉取请求，且不会影响开发人员的工作效率。

GitGuardian能在机密信息被泄露时立即发出警报并提供详细的补救指导，使团队在保持高开发速度的同时维持良好的安全实践。它还有助于防止开发人员意外地将关键机密信息提交到公共代码仓库中。

GitGuardian提供免费的入门版（适用于最多25名开发人员），以及团队版（每年每位开发人员220美元，适用于最多200名开发人员）。拥有超过200名开发人员的组织可联系GitGuardian获取定制报价。

在当今云原生环境下，对整个软件供应链进行安全扫描至关重要。Trivy是一款由软件供应商Aqua Security维护的开源安全扫描器，可为各大Linux发行版中的容器、应用程序和基础设施代码提供全面的漏洞检测和安全分析。

• Kubernetes安全：识别Kubernetes工作负载中的错误配置和高风险设置，以确保符合安全最佳实践；

• 多层检测：扫描操作系统软件包、应用程序依赖项、暴露的机密信息，以及许可证违规情况中的漏洞；

• 基础设施即代码覆盖：检查基础设施即代码（IaC）文件（包括Terraform和Kubernetes配置清单）中的安全配置；

• DevSecOps集成：提供快速扫描且误报率低，旨在更易于集成到CI/CD管道中。

Trivy的关键优势在于它将广泛的功能覆盖范围（涵盖容器、IaC和依赖项）与简便性和快速性相结合，对于那些希望用一种简单直接的工具满足多种安全扫描需求的团队颇具吸引力。

CycloneDX是一种轻量级的软件物料清单（SBOM）规范，用于跟踪并记录软件应用程序中的组件，以便更好地进行安全和合规管理。它因在行业内被广泛采用以及得到OWASP的支持而脱颖而出，对于那些需要了解并管理其软件依赖关系和供应链风险的组织来说，是理想的SBOM规范。

CycloneDX能与这里介绍的其他工具良好集成，并支持XML、JSON和协议缓冲区等数据格式。组织可使用CycloneDX创建软件即服务物料清单（SaaS BOM）、硬件物料清单（Hardware BOM）以及漏洞披露报告。

参考链接：

https://www.techtarget.com/searchsecurity/tip/DevSecOps-tools-to-secure-each-step-of-the-SDLC