28款DevSecOps工具助力安全开发
|
该出自 Continuum Security 的开源框架可使安全人员在敏捷开发过程中测试行为驱动开发(BDD)语言编写的功能及非功能性安全场景。此BDD框架旨在使安全功能独立于应用特定的导航逻辑，让同样的安全要求能够更容易地应用到多个应用程序上。 2. Checkmarx CxSAST (https://www.checkmarx.com/products/static-application-security-testing/) 可对25种编程及脚本语言进行未编译/未构建源代码扫描的静态应用安全测试(SAST)工具，能在SDLC早期发现成百上千种安全漏洞。CxSAST兼容所有集成开发环境(IDE)，是Checkmarx软件暴露平台的一部分——该平台可在DevOps所有阶段植入安全。Checkmarx的交互式应用安全测试(IAST)工具可检测运行中应用的安全漏洞。 3. Chef InSpec (https://github.com/inspec/inspec) 整个开发过程中的每一阶段都可以运用该开源工具自动化安全测试以确保针对传统服务器及容器和云API的合规、安全及其他政策要求。 4. Fortify (https://www.microfocus.com/en-us/solutions/application-security) Micro Focus 出品，提供端到端应用安全，可供进行覆盖整个软件开发生命周期的现场及按需测试。Fortify on Demand 是 Micro Focus 的应用安全即服务产品，提供静态、动态和移动应用安全测试，以及生产环境中Web应用的持续监视。 5. Gauntlt (http://gauntlt.org/) 流行测试框架，旨在推动易操作的安全测试及安全、开发和运营团队间的沟通。GauntIt便于产生攻击测试用例，且能方便地钩入现有工具及进程。 6. Synopsys suite (https://www.synopsys.com/) Synopsys提供多个应用安全测试工具，包括： 1)SAST工具Coverity (https://www.synopsys.com/software-integrity/security-testing/static-analysis-sast.html) 自动化测试且融入持续集成/持续交付(CI/CD)管道; 2)SCA工具 Black Duck (https://www.synopsys.com/software-integrity/security-testing/software-composition-analysis.html) 采用容器及应用中的开源和第三方代码检测并管理安全; 3)SeekerIAST (https://www.synopsys.com/software-integrity/security-testing/interactive-application-security-testing.html) 识别可暴露敏感数据的运行时安全漏洞; 以及一系列用于应用安全测试的托管服务。 其他值得考虑的DevSecOps工具 以下DevSecOps工具同样含有上述工具提供的功能，但或多或少略有不同。 1. Aqua Security (https://www.aquasec.com/) 在整个CI/CD管道和运行时环境中管理端到端安全，可用于所有平台和云环境的容器及云原生应用。 2. Dome9 Arc (https://www.checkpoint.com/solutions/devops-security/) 被 Check Point 收购，提供自动化测试及安全实施，使开发人员能够将安全及合规融入公共云应用的构建、部署及运营。 3. GitLab (https://about.gitlab.com/) 该工具可将DevSecOps架构融入CI/CD过程，在提交时测试每一块代码，使开发人员能够在编程期间缓解安全漏洞，并提供涵盖所有漏洞的仪表板。 4. Red Hat OpenShift (https://www.redhat.com/en/technologies/cloud-computing/openshift) 为基于容器的应用提供内置安全，比如基于角色的访问控制、以安全增强的Linux(SELinux)实现隔离，以及贯穿整个容器构建过程的核查。 5. RedLock (https://www.paloaltonetworks.com/products/secure-the-cloud/redlock/cloud-security-governance)(前身为Evident.io) Palo Alto Networks 出品，适用于部署阶段，帮助开发人员快速发现并缓解资源配置、网络架构及用户活动中的安全威胁，尤其是在亚马逊S3存储桶和弹性块存储(EBS)卷上。 6. SD Elements (https://www.securitycompass.com/sdelements/) 出品自 Security Compass 的自动化平台，旨在收集客户软件信息，发现威胁及对策，突出相关安全控制措施以帮助公司企业实现其安全和合规目标。 7. WhiteHat Sentinel 应用安全平台 (https://www.whitehatsec.com/products/solutions/devsecops/) 该解决方案提供贯穿整个SDLC的应用安全，适用于需将安全集成进工具中的敏捷开发团队，以及需持续测试以保证生产环境应用安全的安全团队。 8. WhiteSource (https://www.whitesourcesoftware.com/) 用于解决开源漏洞，可集成进用户的生成过程，无论用户采用什么编程语言、生成工具或开发环境。WhiteSource使用经常更新的开源代码数据库持续检查开源组件的安全及授权。 【本文是51CTO专栏作者“李少鹏”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】 戳这里，看该作者更多好文
（编辑：晋中站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
