28款DevSecOps工具助力安全開發

作者：nana 2019-06-06 12:11:42

將安全融入開發過程，更早捕獲并修復應用漏洞，你需要這五類共28款DevSecOps工具。下面就按核心門類為您呈上多款優秀DevSecOps工具。

將安全融入開發過程，更早捕獲并修復應用漏洞，你需要這五類共28款DevSecOps工具。

DevSecOps是將安全集成到整個應用開發周期的過程，是從內到外強化應用，使其能夠抵御各種潛在威脅的理想方式。因為很多公司企業不斷開發應用以滿足客戶和商業合作伙伴的需求，DevSecOps的吸引力也與日俱增。

敏捷開發方法與DevOps操作幫助公司企業達成持續開發的目標。云原生應用架構也成為了DevSecOps運動的有力貢獻者，推動采用公共云提供商、容器技術和容器平臺為應用提供計算能力。DevSecOps將安全過程與工具集成進工作流并加以自動化，擺脫了傳統方法按時間點進行的潛在干擾，是個無縫且持續的過程。

咨詢公司 Data Bridge Market Research 稱，鑒于網絡安全威脅數量與危害性的持續上升，全球DevSecOps市場預計將從2018年的14.7億美元增長至2026年的136.3億美元。

市場繁榮之下，DevSecOps工具必將呈現百花齊放百家爭鳴的局面。下面就按核心門類為您呈上多款優秀DevSecOps工具。

警報：向開發人員通報異常

開發應用的時候很容易忽略掉安全漏洞。下面的工具為開發人員提供了潛在安全異常及缺陷的警報功能，可供開發人員及時調查并修復這些漏洞，不至于走得太遠回不了頭。有些工具專用于警報功能，比如開源的Alerta 。其他工具則兼具測試等別的功能，比如 Contrast Assess。

1. Alerta

(https://alerta.io/)

該開源工具可將多個來源的信息整合去重，提供快速可視化功能。Alerta與Prometheus、Riemann、Nagios、Cloudwatch及其他監視/管理服務集成，開發人員可通過API按需定制Alerta。

2. Contrast Assess

(https://www.contrastsecurity.com/interactive-application-security-testing-iast)

作為一款互動應用安全測試(IAST)工具，Contrast Assess 與用戶應用集成，在后臺持續監視代碼，并在發現安全漏洞時發出警報。據稱即便是非安全開發人員也可使用 Contrast Assess 自行識別并修復漏洞。

3. Contrast Protect

(https://www.contrastsecurity.com/runtime-application-self-protection-rasp)

該運行時應用自保護(RASP)工具采用了 Contrast Assess 同款嵌入式代理。Contrast Protect 在生產環境中查找漏洞利用程序和未知威脅，并將結果提交給安全信息及事件管理(SIEM)控制臺、防火墻或其他安全工具。

4. ElastAlert

(https://elastalert.readthedocs.io/en/latest/)

ElastAlert提供近實時接收警報的框架，可接收來自Elasticsearch數據的安全異常、流量激增及其他模式。ElastAlert查詢Elasticsearch并根據一系列規則比較這些數據。一旦出現匹配，ElastAlert便發出警報并隨附建議動作。

自動化：發現并修復缺陷

大多數DevSecOps工具都提供一定程度的自動化。此類工具自動掃描、發現并修復安全缺陷，只是自動化程度各有不同，從條件式事件驅動的自動化到運用深度學習技術的自動化都有。

1. CodeAI

(http://www.qbitlogic.com/codeai/)

旨在通過深度學習技術自動查找并修復源代碼中的安全漏洞，號稱可為開發人員提供可供參考的解決方案列表，而不僅僅是安全問題列表。其供應商QbitLogic宣稱，已為CodeAI饋送了數百萬個現實世界漏洞修復樣本供訓練。

2. Parasoft tool suite

(https://www.parasoft.com/)

Parasoft提供包括應用開發安全測試在內的多種自動化工具：

1)Parasoft C/C++test

(https://www.parasoft.com/products/ctest)

用于開發過程早期缺陷識別;

2)Parasoft Insure++

(https://www.parasoft.com/products/insure)

可以查找不規范編程及內存訪問錯誤;

3)Parasoft Jtest

(https://www.parasoft.com/products/jtest)

用于Java軟件開發測試;

4) Parasoft dotTEST

(https://www.parasoft.com/products/jtest)

以深度靜態分析和高級覆蓋作為 Visual Studio 工具的補充。

3. Red Hat Ansible Automation

(https://www.redhat.com/en/technologies/management/ansible)

該工具包含三個模塊——Ansible Tower、Ansible Engine 和 Red Hat Ansible Network Automation，可作為無代理IT自動化技術單獨或聯合使用。盡管不是專門的安全工具，Ansible Automation 卻可供用戶定義規則以確定自身軟件開發項目中哪些部分是安全的。

4. StackStorm

(https://stackstorm.com)：

該開源工具號稱“可進行條件式運營”，其事件驅動的自動化能在檢測到安全漏洞時提供腳本化的修復與響應，并附有持續部署、ChatOps優化等功能。

5. Veracode

(https://www.veracode.com/devsecops)：

該公司提供DevSecOps環境中廣泛使用的一系列自動化安全工具，包括在代碼編寫時即時自動掃描的Greenlight;在沙箱中掃描代碼漏洞的 Developer Sandbox;識別漏洞組件的 Software Composition Analysis (SCA);以及識別應用缺陷的 Static Analysis。

儀表板：開發過程可見性

專用DevSecOps儀表板工具可使用戶在同一圖形界面中查看并共享從開發伊始到運營過程中的安全信息。有些DevSecOps應用，比如ThreatModeler和Parasoft已自帶儀表板。

1. Grafana

(https://grafana.com/)

該開源分析平臺允許用戶創建自定義儀表板，聚合所有相關數據以可視化及查詢安全數據。如果不想自行構建，還可以在其網站上選用社區構建的儀表板。

2. Kibana

(https://www.elastic.co/products/kibana)

如果你使用Elasticsearch，該開源工具可在統一圖形界面中集成成千上萬的日志條目，包括運營數據、時間序列分析、應用監視等等。

威脅建模：識別并排序應用風險

威脅建模DevSecOps工具用以在復雜的攻擊界面中識別、預測并定義威脅，以便用戶可以做出主動安全決策。有些工具可根據用戶提供的系統及應用信息自動構建威脅模型，并提供可視化界面以幫助安全及非安全人員探索威脅及其潛在影響。

1. IriusRisk

(https://continuumsecurity.net/threat-modeling-tool/)

出自 Continuum Security 的解決方案，既可云部署，也可現場部署，能以基于問卷的界面自動化風險及需求分析，并設計出威脅模型和技術性安全要求。IriusRisk還可幫助用戶管理代碼構建及安全測試階段。

2. ThreatModeler

(https://threatmodeler.com/)

該自動化威脅建模系統有兩個版本：AppSec版和云版。在提供了用戶應用或系統的功能性信息后，ThreatModeler會基于更新的威脅情報自動就整個攻擊界面進行數據分析和潛在威脅識別。

3. OWASP Threat Dragon

(https://www.owasp.org/index.php/OWASP_Threat_Dragon)

一款基于Web的開源工具，提供系統圖解和用于自動化威脅建模與緩解的規則引擎。Threat Dragon 承諾可與其他軟件開發生命周期(SDLC)工具無縫集成，且界面易于使用。

測試：在上線前查找安全漏洞

在開發過程中測試應用以找出潛在漏洞是DevSecOps的關鍵部分，能夠事先發現安全漏洞，避免漏洞被黑客利用。盡管其他工具往往包含了測試功能，比如Parasoft出品的那些，下列工具仍然在應用安全測試上表現強勁。

1. BDD-Security

(https://continuumsecurity.net/bdd-security/)

該出自 Continuum Security 的開源框架可使安全人員在敏捷開發過程中測試行為驅動開發(BDD)語言編寫的功能及非功能性安全場景。此BDD框架旨在使安全功能獨立于應用特定的導航邏輯，讓同樣的安全要求能夠更容易地應用到多個應用程序上。

2. Checkmarx CxSAST

(https://www.checkmarx.com/products/static-application-security-testing/)

可對25種編程及腳本語言進行未編譯/未構建源代碼掃描的靜態應用安全測試(SAST)工具，能在SDLC早期發現成百上千種安全漏洞。CxSAST兼容所有集成開發環境(IDE)，是Checkmarx軟件暴露平臺的一部分——該平臺可在DevOps所有階段植入安全。Checkmarx的交互式應用安全測試(IAST)工具可檢測運行中應用的安全漏洞。

3. Chef InSpec

(https://github.com/inspec/inspec)

整個開發過程中的每一階段都可以運用該開源工具自動化安全測試以確保針對傳統服務器及容器和云API的合規、安全及其他政策要求。

4. Fortify

(https://www.microfocus.com/en-us/solutions/application-security)

Micro Focus 出品，提供端到端應用安全，可供進行覆蓋整個軟件開發生命周期的現場及按需測試。Fortify on Demand 是 Micro Focus 的應用安全即服務產品，提供靜態、動態和移動應用安全測試，以及生產環境中Web應用的持續監視。

5. Gauntlt

(http://gauntlt.org/)

流行測試框架，旨在推動易操作的安全測試及安全、開發和運營團隊間的溝通。GauntIt便于產生攻擊測試用例，且能方便地鉤入現有工具及進程。

6. Synopsys suite

(https://www.synopsys.com/)

Synopsys提供多個應用安全測試工具，包括：