DevSecOps調研筆記

本文轉載自查看原文 2021-07-16 14:39 185 DevSecOps/ Research

一、DevSecOps產品

國內做的比較好的：

懸鏡安全：https://www.xmirror.cn/
默安科技：https://www.moresec.cn/
開源網安：https://www.seczone.cn/

容器安全：

小佑科技：https://www.dosec.cn/index.html
青藤：https://qingteng.cn/fc-home.html

基於DevOps，結合security的產品：

極狐GitLab：https://about.gitlab.cn/solutions/dev-sec-ops/
傑蛙XRAY：https://www.jfrogchina.com/xray/

synopsys（在gartner report中排第一的公司）：https://www.synopsys.com/

gartner report（2021年）：https://www.gartner.com/doc/reprints?id=1-267XOMMA&ct=210601&st=sb

二、DevSecOps技術工具

1.靜態應用程序安全測試（Static Application Security Testing）

靜態應用安全測試又稱白盒測試，是指在不運行程序本身的情況下，僅通過分析程序的語法、結構、過程、接口等來檢測程序的安全性。一般可用於DevOps流程的編碼、構建與測試環節。
優勢：代碼檢查更具有可視性、能精確定位到漏洞位置
劣勢：誤報率高、對集成系統中產生的漏洞難以檢測

開源工具：

Semgrep是一款基於Facebook開源SAST工具pfff中的sgrep組件開發的開源SAST工具，目前由安全公司r2c統一開發維護，提供強於grep工具的代碼匹配檢索能力
1. https://semgrep.dev/
2. https://github.com/returntocorp/semgrep
CodeQL是Semmle公司推出的一款靜態代碼分析工具（以前叫SemmleQL），后被Github收購，並成立了Security Lab支持Github的開源代碼安全檢查能力。
1. https://securitylab.github.com/tools/codeql/
2. https://github.com/github/codeql
SonarQubesonar是一款靜態代碼質量分析工具，支持25種以上的語言，而且能夠集成在IDE、Jenkins、Git等服務中，方便隨時查看代碼質量分析報告。

2.動態應用程序安全測試（Dynamic Application Security Testing）

動態應用安全測試又稱黑盒測試，在無需了解程序源代碼與邏輯結構的情況下，對程序進行安全測試。一般可用於DevOps流程的測試與發布環節。
優勢：攻擊者視角測試更貼近現實情況、無需源代碼
劣勢：覆蓋面較小、一定程度依賴人員安全能力、無法定位漏洞具體位置

開源工具：

3.交互式應用程序安全測試（Interactive Application Security Testing）

交互式應用安全測試又稱灰盒測試，結合了SAST和DAST技術的優點，能夠模擬驗證代碼中的已知漏洞是否確實能夠在運行的環境中被攻擊者使用。通過部署探針或者流量監測等方式，持續分析程序測試時的實時數據，發現程序中存在的漏洞。
優勢：易於集成CI/CD、低誤報高檢出、低安全專家投入
劣勢：插樁模式難以檢測業務邏輯漏洞、流量模式的數據容易被污染降低檢測效果

4.移動應用安全測試（Mobile Application Security Testing）

移動APP同樣會存在安全漏洞，因此需要進行移動應用安全檢測。

開源工具：

5.模糊測試（Fuzz Testing）

模糊測試是一種介於手工滲透測試與完全自動化測試之間的安全性測試。通過將准備好的隨機或者半隨機生成的數據輸入程序，通過監視程序的異常狀態，發現潛在漏洞。

開源工具：