在CI/CD框架中保障安全性是一個復(fù)雜但至關(guān)重要的任務(wù)。以下是一些關(guān)鍵步驟和最佳實(shí)踐，可以幫助確保CI/CD框架的安全性：
創(chuàng)建健康開發(fā)環(huán)境
- 威脅建模：從攻擊者視角出發(fā)，識別潛在的攻擊類型和區(qū)域，并制定相應(yīng)的緩解措施。
- 軟件組件（SLSA）級別評定：在軟件項(xiàng)目的規(guī)劃階段，使用SLSA框架來確定CI/CD管道的安全性。
提升代碼的安全可見性
- 軟件組合分析（SCA）：對所有代碼的安全性進(jìn)行檢測和分析。
- 軟件物料清單（SBOM）：記錄軟件系統(tǒng)各組件的所有代碼及其關(guān)聯(lián)性和交互性。
- 靜態(tài)應(yīng)用程序安全測試（SAST）：檢查應(yīng)用程序源代碼、匯編代碼、字節(jié)碼和二進(jìn)制文件是否存在安全漏洞。
進(jìn)行充分的安全性驗(yàn)收測試
- 動態(tài)應(yīng)用程序安全測試（DAST）：模擬真實(shí)的攻擊行為，從外到內(nèi)進(jìn)行安全性驗(yàn)證和分析。
- 容器掃描：對于使用容器開發(fā)模式的團(tuán)隊，使用容器掃描工具檢查安全性。
開展持續(xù)的安全監(jiān)控
- 身份和訪問管理（IAM）：確保用戶訪問權(quán)限和級別的正確管理，防止未經(jīng)授權(quán)的訪問。
- 基于風(fēng)險的安全監(jiān)控：將應(yīng)用系統(tǒng)風(fēng)險管控落實(shí)到軟件開發(fā)流程的每個階段。
通過實(shí)施上述措施，可以顯著提高CI/CD框架的安全性，保護(hù)軟件供應(yīng)鏈免受攻擊。
