什麼是 DevSecOps？

DevSecOps 需仰賴各式各樣的工具來整合開發和部署流程每一階段的資安檢查。其中最常用到的工具包括：

SAST 工具可分析原始程式碼和組態設定，在應用程式執行之前找出一些不安全的情況，例如：SQL 資料隱碼攻擊 (SQL Injection)、加密強度不足，以及危險的 API。在 DevSecOps 工具鏈中，SAST 解決方案會在 IDE 和 CI 當中針對每一次的拉取請求來執行，提供第一線的發現與指引，並且在遇到高嚴重性問題時防止程式碼合併。它非常適合早期偵測，也非常適合用來強制落實安全的程式碼撰寫指引。

IAST 工具可在測試或預備 (staging) 環境當中執行一個應用程式來檢查程式碼在執行期間的行為。IAST 會將每個請求與執行中的那一行程式碼做連結，它能比 SAST 或 DAST 更準確、更少誤判地偵測可攻擊的漏洞，還能確切指出其程式碼所在位置，提供簡單的步驟來重現問題。

DAST 工具可在預備或測試環境中針對已部署的應用程式執行自動化黑盒測試。它們會模擬駭客的流量，使用測試帳號來演練真實使用者的操作流程。這類工具會將您的 OpenAPI 規格當作地圖來發掘端點裝置，並嘗試利用一些惡意輸入來找出強度太弱的認證、不安全的重新導向、組態設定偏差以及注入攻擊。這些發現結果會被寫入 CI/CD 記錄檔中，然後指派給適當的團隊進行後續追蹤。

軟體組成分析 (SCA) 是一套自動化流程，用來尋找應用程式當中用到的開放原始碼套件。SCA 解決方案可找出程式碼庫中的所有第三方函式庫和相依元件，與已知的 CVE 漏洞作比對，並且即時評估授權合規狀態。當 SCA 與 CI/CD 流程整合時，就能攔截含有重大漏洞的組建，並通知開發人員來修正問題。

秘密掃描是一套自動化流程，用來偵測寫死在程式碼、提交記錄及組態設定當中的 API 金鑰、權杖 (token) 和密碼。在提交前強制攔截，然後拿掉任何暴露在外的登入憑證。

容器防護可掃描基礎映像與各層次當中是否有 CVE 漏洞、強制使用最陽春的映像，並驗證執行時期組態設定，例如：未使用 root 來執行、使用唯讀檔案系統，以及捨棄某些功能。此外也能與您的登錄整合，讓含有漏洞的映像被自動隔離。