目录
从传统的软件开发方法（如瀑布式开发）过渡到敏捷和 DevOps 代表着向更高效、更灵活、更具协作性的方法的显著转变。这一演变的核心是持续集成和持续部署实践，以及对安全性的共同关注——即 开发安全— 重写规则并改变软件开发格局。对于寻求提高软件质量、加速交付和将安全性融入其业务的团队来说 pipelines，采用最好的 CI/CD 实践是关键。
的意义 CI/CD 在现代发展中
CI/CD 最佳实践通过自动化代码流程，改变了开发团队修复错误、提高软件质量和加快更新交付的方式 commit 部署。如果从一开始就在 DevSecOps 中配备安全性，那么它为高效构建安全应用程序奠定了坚实的基础。
理解 CI/CD 最佳实践
持续集成（CI）：质量和速度的基石
什么是 CI？
持续集成是将代码更改频繁集成到共享存储库的实践，在共享存储库中运行自动测试，以确保高代码质量和早期错误检测。
CI 的好处：
- 早期错误检测：自动化测试可以尽早发现问题，减少后期补救成本。
- 提高代码质量：确保代码符合质量要求 standard合并之前，为稳定的代码库做出贡献。
- 更快的反馈循环：为开发人员提供即时反馈，实现快速调整。
持续部署 (CD)：简化软件交付
什么是 CD？
持续部署可以自动将应用程序交付到各种环境，使用户可以轻松获得最新的功能和修复。
CD的优点：
- 简化的部署流程：最大限度地减少人为错误并加速市场准备。
- 提高生产力：使开发人员能够更加专注于创新而不是部署任务。
- 增加发布频率：促进快速有效地推出更新，及时满足用户需求。
实施 CI/CD 成功的最佳做法
1. 安全编码实践
安全编码实践对于开发能够抵御攻击的软件至关重要。 OWASP 安全编码实践快速参考指南 作为一本详尽的手册，概述了开发人员在整个软件开发周期中应该实施的关键安全措施。
主要做法包括：
- 输入验证： 验证所有传入数据，包括 GET 和 POST 请求、cookie 以及来自外部系统的数据，以防止 SQL 注入等注入攻击。
- 输出编码： 确保输出到浏览器或其他系统的数据经过编码，以防止跨站点脚本（XSS）等注入缺陷，将所有输出数据视为文字数据，而不是可执行代码。
- 身份验证和密码管理： 安全的身份验证流程和密码管理至关重要。利用强加密哈希函数和长盐值来存储密码，以阻止暴力攻击。
- 错误和异常处理： 应该统一处理错误和异常，以防止攻击者通过错误消息窃取系统信息。
- 配置管理： 安全地管理系统和应用程序配置，以防止信息泄露。
- 敏感数据保护： 安全处理敏感数据（例如财务、医疗保健和个人信息）至关重要。
- XML 解析： 确保 XML 得到安全处理，因为它广泛用于 Web 应用程序并且可能使其受到攻击。
- 文件和资源保护： 保护文件系统和资源的访问，以防止未经授权访问敏感文件和目录。
- 消息传递安全： 安全的消息通信，特别是在使用 XML 进行业务流程时。
- 数据保护： 对敏感数据在存储和传输过程中实施强有力的保护。
2.依赖管理
依赖管理是一项重要的软件开发任务，它涉及跟踪项目所依赖的外部库和包，并在必要时更新它们。这是项目团队保持组件最新和安全的方式，从而降低漏洞风险并保护自己免受攻击者的侵害。鉴于当今软件的复杂性和互联性，单个过时或易受攻击的组件可能会破坏整个应用程序的安全性。类似 西吉尼 CI/CD 安保防护 并遵守 NIST 的指导方针 software supply chain security 都是至关重要的实践。
实施有效的依赖管理
- 自动漏洞扫描： 像工具一样 Xygeni 开源安全 提供针对已知漏洞数据库（如国家漏洞数据库 [NVD]）的项目依赖项的自动扫描。尽早发现这些漏洞至关重要。
- 持续监控： 持续监控依赖项是否存在新的漏洞，不仅在开发时，而且在应用程序的整个生命周期内。这可以集成到 CI/CD pipeline 因此它总能领先新出现的漏洞一步。
- 自动补丁管理： 使用不仅可以识别漏洞，还可以自动将依赖项更新为更安全版本的工具。它减少了持续更新依赖项所需的手动开销。
- 政策执行： 在涉及第三方依赖项时实施严格的政策。这是降低使用过时库或过期许可证风险的好方法。要求新的依赖项必须经过彻底的安全审查。严格执行，您不能使用具有已知漏洞的库。您也不能使用具有过期或不合规许可证的库。使用可以强制执行上述操作的工具。它们可以悄悄地防止您和您的同事将可能存在风险或不合规的软件包引入您的项目。
- 软件物料清单（SBOM): 创建并维护 SBOM （软件物料清单）记录每个第三方组件、其版本和所有依赖项。这份全面的清单提高了透明度，并能够对披露的漏洞做出快速响应。自动化 SBOM 生成和维护可确保信息的持续准确性和最新性。对于寻求改善安全态势和合规性的组织来说，简化 SBOM 管理 是一项有价值的投资。
- 开发人员教育和意识： 教育开发人员了解依赖管理的重要性以及安全编码最佳实践。意识可以带来更好的设计cis选择和管理第三方组件的决策。
- 依赖隔离： 应尽可能隔离依赖项，以最大程度地降低潜在漏洞的影响。容器化等技术有助于限制漏洞利用到易受攻击的组件之外。
3. 静态应用程序安全测试（SAST)
静态应用程序安全测试（SAST) 通过分析精细级别的代码来评估应用程序的安全性，以便能够识别可能暗示存在恶意代码的模式或序列。 SAST 解决方案还可以完成传统工具所做的一切 - 检查 SQL 注入、跨站点脚本 (XSS)、缓冲区溢出等。通过将它们直接集成到持续集成/持续部署 (CI/CD 最佳实践 pipeline，组织可以利用自动化功能，在代码更改引入后立即持续检查其代码库是否存在恶意插入的迹象。这使开发人员能够快速收到有关任何潜在安全漏洞或威胁的反馈，并采取必要措施修复由恶意行为导致的任何漏洞或其他代码差异，以免这些问题散布到他们即将成为其中一部分的整个软件中。这极大地提高了软件本身的安全性和完整性，在“快速行动，打破常规”的今天，这一发展令人耳目一新。
NIST 如何看待 SAST
美国国家科学研究所 Standard美国国家标准与技术研究院 (NIST) 已经认识到集成安全测试工具的重要性，包括 SAST，进入开发过程。 NIST 出版物如 NIST 特别出版物 800-53 在安全和隐私控制方面，主张使用能够持续监控和分析代码漏洞的自动化工具，并建议 SAST 工具应该 “作为组织开发/工作流程的一部分，用于识别和管理软件漏洞。”
OWASP 的资源 SAST
开放 Web 应用程序安全项目 (OWASP) 也强调了 SAST 在其资源和指南中。 OWASP 代码审查指南 深入探讨如何 SAST 工具可用于深入审查代码，发现手动审查可能遗漏的潜在安全问题。OWASP 建议采用 SAST 在软件开发生命周期中尽早使用工具来尽快发现漏洞，这与左移安全方法相一致——将安全考虑转移到开发过程的最早阶段。
的好处 SAST 融入 CI/CD 最佳实践
- 早期发现： 在开发过程早期识别漏洞可以节省修复所需的成本和精力。
- 开发人员反馈： 立即向开发人员反馈其代码的安全状况，通过鼓励采用安全编码实践来帮助安全赢家。
- 合规与风险管理： 确保在部署之前对代码进行漏洞测试，从而有效确保组织能够满足监管要求 standards.
- 自动化安全保障： 自动化安全保障可防止任何代码行未经分析，从而确保 CI/CD pipeline 是一种安全、可靠的开发机制。
4. 基础设施即代码（IaC） 安全
基础设施即代码（IaC) 安全性是将安全最佳实践应用于管理和配置基础设施的脚本和定义的关键实践。 IaC 启用基础设施的配置和配置要求这些脚本不会引入安全漏洞——自动化工具可以扫描 IaC 模板配置错误或不符合安全策略的情况，防止这些漏洞部署到实时环境中。
为了更深入地了解如何确保基础设施即代码的安全（IaC) 流程并探索超出此处概述的全面最佳实践，请阅读全文 确保基础设施的安全即代码。
5. 机密管理
机密管理是安全应用程序和基础设施管理的关键组成部分，解决了保护密钥、令牌、密码和其他敏感数据免遭未经授权的访问和泄露的需求。 OWASP 机密管理备忘单 提供了有效管理这些敏感信息的最佳实践的全面指南。以下是该备忘单的要点和建议的摘要，强调了其在更广泛的安全背景下的重要性 CI/CD 最佳做法。
OWASP 机密管理备忘单中的关键建议
- 集中式机密存储： 必须在定制的安全系统中集中存储机密。这种简化包括但不限于轮换和访问控制等管理任务，并降低机密在代码或日志中暴露的可能性。
- 访问控制： 应实施严格的访问控制策略，以确保只有授权实体才能访问机密。这些实体包括人类用户和自动化流程。访问应基于最小特权原则，确保实体获得履行其职能所需的权限。
- 秘密轮换： 为了最大限度地降低泄露风险，定期轮换密钥至关重要。密钥轮换的自动化机制可以确保密钥定期更新，或者根据事件（例如发生违规或员工解雇）进行更新。
- 审计跟踪： 对于未经授权的访问和检测，保留机密活动的所有审计线索至关重要。审计日志还应能够揭示预先cis了解谁在什么时候访问了什么秘密，以便在调查安全事件时获得必要的信息。
- 秘密加密： 至少，秘密在传输和静止时都必须加密。强大的加密技术可确保即使成功获得非法访问，也不会泄露底层秘密。
- 源代码中的秘密： 强烈建议不要将机密直接存储在源代码或版本控制系统中。相反，最好在应用程序运行时通过安全的机密管理工具和服务将其注入应用程序。
- 打破玻璃程序： “破窗”流程允许在紧急情况下检索机密，同时仍可通过审计线索跟踪任何访问。这样，即使正常访问机制受到损害，操作仍可继续，而不必逃避安全协议。.
6. 持续的监控和反馈
持续监控意味着监控实时应用程序和基础设施以识别和应对安全威胁。这对于检测可能存在漏洞或漏洞利用的情况至关重要。它们包括可以监控异常活动、记录信息安全事件并提供快速警报的工具，以便对事件做出快速响应。NIST 以及 SANS研究所 就有效监测方法提出了建议，这些方法需要根据监测获得的数据进行定期审查和更新。
7. 安全培训和意识
频繁的开发团队培训课程、运营人员和安全团队的意识计划有助于在组织内建立安全文化。这可确保所有成员都熟悉安全方面的新威胁，了解安全控制的相关性，并具备在需要时实施这些控制的技能。它包括详细内容，例如 OWASP 的教育课程以及 SANS Institute 关于安全意识培训等主题的课程。
通过这样做，组织将通过将这些实践深深地融入到他们的软件开发流程中来确保其软件开发流程（使其不仅更有效，而且更高效）。 CI/CD pipeline.
实施的重要性 CI/CD 软件开发中的最佳实践远远超出了简化开发流程或优化效率的范围；它是确保软件开发生命周期免受一系列复杂威胁的基石。最近，现实世界中漏洞的例子 CI/CD pipeline包括 GitLab 和 PyTorch 遇到的问题在内的安全问题有力地提醒了组织在当今复杂的数字环境中面临的安全挑战。
例如， GitLab CI/CD pipeline 正如 NCC 集团研究博客所发表的那样， 强调了轻微的配置疏忽（例如滥用 Docker 的“特权”标志或混淆机密）如何导致严重的安全漏洞，包括特权升级和未经授权访问敏感信息。这些事件强调了严密的 CI/CD pipeline 配置；“需要知道”的 Runner 访问、对 runner 定义的环境变量的仔细控制以及 Runner 的合理关联（按项目或组）只是众多政策中的三个，如果严格执行，将大大降低风险。
PyTorch 供应链，正如《SecurityWeek》所述， 展示了一种新的 CI/CD 攻击同时针对整个软件供应链（在本例中，通过非法发布恶意 PyTorch 二进制文件）同时利用 GitHub Actions 自托管运行器窃取敏感机密。这个例子强调了对软件的神圣性和隔离性至关重要。 CI/CD 环境、严格的审批流程 CI/CD 贡献，并特别审查外部来源的 pull requests，以同时限制未经授权的访问并防止供应链漏洞。
这些事件的教训是显而易见的： 从安全角度来看，软件开发不是一个目标，而是一种道路，需要持续、不懈的关注、适应和改进。 简而言之，采用最佳实践 CI/CD pipeline对于提高生产力和效率至关重要，更重要的是，确保现代软件最重要的防御——完善的进攻——继续领先于不断演变的对手。
通过将安全措施智能、全面地直接集成到开发和部署中 pipeline，组织可以实现并维护更具弹性、更安全、最终更值得信赖的软件开发生命周期。
也许，在组织应对现代软件开发无数复杂问题时，这一点最为真实，成功的回报无非是全球竞争优势。通过将强大的安全措施直接集成到 CI/CD pipelines，现实世界中脆弱性的亲身经历以及组织可以采取的预防措施不仅提供了安慰，而且还提供了一系列宝贵的后续步骤。
观看我们的视频演示
