將安全融入開發過程，更早捕獲并修復應用漏洞，你需要這五類共28款DevSecOps工具。
DevSecOps工具
DevSecOps是將安全集成到整個應用開發周期的過程，是從內到外強化應用，使其能夠抵御各種潛在威脅的理想方式。因為很多公司企業不斷開發應用以滿足客戶和商業合作伙伴的需求，DevSecOps的吸引力也與日俱增。
敏捷開發方法與DevOps操作幫助公司企業達成持續開發的目標。云原生應用架構也成為了DevSecOps運動的有力貢獻者，推動采用公共云提供商、容器技術和容器平臺為應用提供計算能力。DevSecOps將安全過程與工具集成進工作流并加以自動化，擺脫了傳統方法按時間點進行的潛在干擾，是個無縫且持續的過程。
咨詢公司 Data Bridge Market Research 稱，鑒于網絡安全威脅數量與危害性的持續上升，全球DevSecOps市場預計將從2018年的14.7億美元增長至2026年的136.3億美元。
市場繁榮之下，DevSecOps工具必將呈現百花齊放百家爭鳴的局面。下面就按核心門類為您呈上多款優秀DevSecOps工具。
警報：向開發人員通報異常
開發應用的時候很容易忽略掉安全漏洞。下面的工具為開發人員提供了潛在安全異常及缺陷的警報功能，可供開發人員及時調查并修復這些漏洞，不至于走得太遠回不了頭。有些工具專用于警報功能，比如開源的Alerta 。其他工具則兼具測試等別的功能，比如 Contrast Assess。
1. Alerta
(https://alerta.io/)
該開源工具可將多個來源的信息整合去重，提供快速可視化功能。Alerta與Prometheus、Riemann、Nagios、Cloudwatch及其他監視/管理服務集成，開發人員可通過API按需定制Alerta。
2. Contrast Assess
(https://www.contrastsecurity.com/interactive-application-security-testing-iast)
作為一款互動應用安全測試(IAST)工具，Contrast Assess 與用戶應用集成，在后臺持續監視代碼，并在發現安全漏洞時發出警報。據稱即便是非安全開發人員也可使用 Contrast Assess 自行識別并修復漏洞。
3. Contrast Protect
(https://www.contrastsecurity.com/runtime-application-self-protection-rasp)
該運行時應用自保護(RASP)工具采用了 Contrast Assess 同款嵌入式代理。Contrast Protect 在生產環境中查找漏洞利用程序和未知威脅，并將結果提交給安全信息及事件管理(SIEM)控制臺、防火墻或其他安全工具。
4. ElastAlert
(https://elastalert.readthedocs.io/en/latest/)
ElastAlert提供近實時接收警報的框架，可接收來自Elasticsearch數據的安全異常、流量激增及其他模式。ElastAlert查詢Elasticsearch并根據一系列規則比較這些數據。一旦出現匹配，ElastAlert便發出警報并隨附建議動作。
自動化：發現并修復缺陷
大多數DevSecOps工具都提供一定程度的自動化。此類工具自動掃描、發現并修復安全缺陷，只是自動化程度各有不同，從條件式事件驅動的自動化到運用深度學習技術的自動化都有。
1. CodeAI
(http://www.qbitlogic.com/codeai/)
旨在通過深度學習技術自動查找并修復源代碼中的安全漏洞，號稱可為開發人員提供可供參考的解決方案列表，而不僅僅是安全問題列表。其供應商QbitLogic宣稱，已為CodeAI饋送了數百萬個現實世界漏洞修復樣本供訓練。
2. Parasoft tool suite
(https://www.parasoft.com/)
Parasoft提供包括應用開發安全測試在內的多種自動化工具：
1)Parasoft C/C++test
(https://www.parasoft.com/products/ctest)
用于開發過程早期缺陷識別;
2)Parasoft Insure++
(https://www.parasoft.com/products/insure)
可以查找不規范編程及內存訪問錯誤;
3)Parasoft Jtest
(https://www.parasoft.com/products/jtest)
用于Java軟件開發測試;
4) Parasoft dotTEST
(https://www.parasoft.com/products/jtest)
以深度靜態分析和高級覆蓋作為 Visual Studio 工具的補充。
3. Red Hat Ansible Automation
(https://www.redhat.com/en/technologies/management/ansible)
該工具包含三個模塊——Ansible Tower、Ansible Engine 和 Red Hat Ansible Network Automation，可作為無代理IT自動化技術單獨或聯合使用。盡管不是專門的安全工具，Ansible Automation 卻可供用戶定義規則以確定自身軟件開發項目中哪些部分是安全的。
4. StackStorm
(https://stackstorm.com)：
該開源工具號稱“可進行條件式運營”，其事件驅動的自動化能在檢測到安全漏洞時提供腳本化的修復與響應，并附有持續部署、ChatOps優化等功能。
5. Veracode
(https://www.veracode.com/devsecops)：
該公司提供DevSecOps環境中廣泛使用的一系列自動化安全工具，包括在代碼編寫時即時自動掃描的Greenlight;在沙箱中掃描代碼漏洞的 Developer Sandbox;識別漏洞組件的 Software Composition Analysis (SCA);以及識別應用缺陷的 Static Analysis。
儀表板：開發過程可見性
專用DevSecOps儀表板工具可使用戶在同一圖形界面中查看并共享從開發伊始到運營過程中的安全信息。有些DevSecOps應用，比如ThreatModeler和Parasoft已自帶儀表板。
1. Grafana
(https://grafana.com/)
該開源分析平臺允許用戶創建自定義儀表板，聚合所有相關數據以可視化及查詢安全數據。如果不想自行構建，還可以在其網站上選用社區構建的儀表板。
2. Kibana
(https://www.elastic.co/products/kibana)
如果你使用Elasticsearch，該開源工具可在統一圖形界面中集成成千上萬的日志條目，包括運營數據、時間序列分析、應用監視等等。
威脅建模：識別并排序應用風險
威脅建模DevSecOps工具用以在復雜的攻擊界面中識別、預測并定義威脅，以便用戶可以做出主動安全決策。有些工具可根據用戶提供的系統及應用信息自動構建威脅模型，并提供可視化界面以幫助安全及非安全人員探索威脅及其潛在影響。
1. IriusRisk
(https://continuumsecurity.net/threat-modeling-tool/)
出自 Continuum Security 的解決方案，既可云部署，也可現場部署，能以基于問卷的界面自動化風險及需求分析，并設計出威脅模型和技術性安全要求。IriusRisk還可幫助用戶管理代碼構建及安全測試階段。
2. ThreatModeler
(https://threatmodeler.com/)
該自動化威脅建模系統有兩個版本：AppSec版和云版。在提供了用戶應用或系統的功能性信息后，ThreatModeler會基于更新的威脅情報自動就整個攻擊界面進行數據分析和潛在威脅識別。
3. OWASP Threat Dragon
(https://www.owasp.org/index.php/OWASP_Threat_Dragon)
一款基于Web的開源工具，提供系統圖解和用于自動化威脅建模與緩解的規則引擎。Threat Dragon 承諾可與其他軟件開發生命周期(SDLC)工具無縫集成，且界面易于使用。
測試：在上線前查找安全漏洞
在開發過程中測試應用以找出潛在漏洞是DevSecOps的關鍵部分，能夠事先發現安全漏洞，避免漏洞被黑客利用。盡管其他工具往往包含了測試功能，比如Parasoft出品的那些，下列工具仍然在應用安全測試上表現強勁。
1. BDD-Security
(https://continuumsecurity.net/bdd-security/)
該出自 Continuum Security 的開源框架可使安全人員在敏捷開發過程中測試行為驅動開發(BDD)語言編寫的功能及非功能性安全場景。此BDD框架旨在使安全功能獨立于應用特定的導航邏輯，讓同樣的安全要求能夠更容易地應用到多個應用程序上。
2. Checkmarx CxSAST
(https://www.checkmarx.com/products/static-application-security-testing/)
可對25種編程及腳本語言進行未編譯/未構建源代碼掃描的靜態應用安全測試(SAST)工具，能在SDLC早期發現成百上千種安全漏洞。CxSAST兼容所有集成開發環境(IDE)，是Checkmarx軟件暴露平臺的一部分——該平臺可在DevOps所有階段植入安全。Checkmarx的交互式應用安全測試(IAST)工具可檢測運行中應用的安全漏洞。
3. Chef InSpec
(https://github.com/inspec/inspec)
整個開發過程中的每一階段都可以運用該開源工具自動化安全測試以確保針對傳統服務器及容器和云API的合規、安全及其他政策要求。
4. Fortify
(https://www.microfocus.com/en-us/solutions/application-security)
Micro Focus 出品，提供端到端應用安全，可供進行覆蓋整個軟件開發生命周期的現場及按需測試。Fortify on Demand 是 Micro Focus 的應用安全即服務產品，提供靜態、動態和移動應用安全測試，以及生產環境中Web應用的持續監視。
5. Gauntlt
(http://gauntlt.org/)
流行測試框架，旨在推動易操作的安全測試及安全、開發和運營團隊間的溝通。GauntIt便于產生攻擊測試用例，且能方便地鉤入現有工具及進程。
6. Synopsys suite
(https://www.synopsys.com/)
Synopsys提供多個應用安全測試工具，包括：
1)SAST工具Coverity
(https://www.synopsys.com/software-integrity/security-testing/static-analysis-sast.html)
自動化測試且融入持續集成/持續交付(CI/CD)管道;
2)SCA工具 Black Duck
(https://www.synopsys.com/software-integrity/security-testing/software-composition-analysis.html)
采用容器及應用中的開源和第三方代碼檢測并管理安全;
3)SeekerIAST
(https://www.synopsys.com/software-integrity/security-testing/interactive-application-security-testing.html)
識別可暴露敏感數據的運行時安全漏洞;
以及一系列用于應用安全測試的托管服務。
其他值得考慮的DevSecOps工具
以下DevSecOps工具同樣含有上述工具提供的功能，但或多或少略有不同。
1. Aqua Security
(https://www.aquasec.com/)
在整個CI/CD管道和運行時環境中管理端到端安全，可用于所有平臺和云環境的容器及云原生應用。
2. Dome9 Arc
(https://www.checkpoint.com/solutions/devops-security/)
被 Check Point 收購，提供自動化測試及安全實施，使開發人員能夠將安全及合規融入公共云應用的構建、部署及運營。
3. GitLab
(https://about.gitlab.com/)
該工具可將DevSecOps架構融入CI/CD過程，在提交時測試每一塊代碼，使開發人員能夠在編程期間緩解安全漏洞，并提供涵蓋所有漏洞的儀表板。
4. Red Hat OpenShift
(https://www.redhat.com/en/technologies/cloud-computing/openshift)
為基于容器的應用提供內置安全，比如基于角色的訪問控制、以安全增強的Linux(SELinux)實現隔離，以及貫穿整個容器構建過程的核查。
5. RedLock
(https://www.paloaltonetworks.com/products/secure-the-cloud/redlock/cloud-security-governance)(前身為Evident.io)
Palo Alto Networks 出品，適用于部署階段，幫助開發人員快速發現并緩解資源配置、網絡架構及用戶活動中的安全威脅，尤其是在亞馬遜S3存儲桶和彈性塊存儲(EBS)卷上。
6. SD Elements
(https://www.securitycompass.com/sdelements/)
出品自 Security Compass 的自動化平臺，旨在收集客戶軟件信息，發現威脅及對策，突出相關安全控制措施以幫助公司企業實現其安全和合規目標。
7. WhiteHat Sentinel 應用安全平臺
(https://www.whitehatsec.com/products/solutions/devsecops/)
該解決方案提供貫穿整個SDLC的應用安全，適用于需將安全集成進工具中的敏捷開發團隊，以及需持續測試以保證生產環境應用安全的安全團隊。
8. WhiteSource
(https://www.whitesourcesoftware.com/)
用于解決開源漏洞，可集成進用戶的生成過程，無論用戶采用什么編程語言、生成工具或開發環境。WhiteSource使用經常更新的開源代碼數據庫持續檢查開源組件的安全及授權。

網頁名稱：28款DevSecOps工具助力安全開發
鏈接分享：http://www.js-pz168.com/news9/101509.html

成都網站建設公司_創新互聯，為您提供網站收錄、網站制作、網站內鏈、軟件開發、網站排名、靜態網站

廣告

聲明：本網站發布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯系客服。電話：028-86922220；郵箱：631063699@qq.com。內容未經允許不得轉載，或轉載時需注明來源： 創新互聯