應(yīng)用持續(xù)集成/持續(xù)交付 （CI/CD） 管道已成為實現(xiàn)現(xiàn)代軟件系統(tǒng)自動化敏捷開發(fā)的重要方式，確保開發(fā)人員在其流程中的各個階段都能滿足安全防護措施要求，防止攻擊者利用CI/CD管道的安全漏洞開展攻擊活動至關(guān)重要。在軟件開發(fā)的早期階段識別和緩解CI/CD 管道中的安全風險，可以讓企業(yè)組織從被動的安全防護轉(zhuǎn)變?yōu)橹鲃訝顟B(tài)。但是鑒于網(wǎng)絡(luò)犯罪策略的快速發(fā)展和變化，保障CI/CD應(yīng)用安全充滿挑戰(zhàn)。

本文總結(jié)了一份包含四個關(guān)鍵步驟的CI/CD應(yīng)用安全防護清單，以及相關(guān)的安全工具和策略，可以幫助企業(yè)和開發(fā)人員了解如何提升CI/CD管道應(yīng)用的安全性。

步驟1：創(chuàng)造一個健康開發(fā)環(huán)境

軟件開發(fā)團隊應(yīng)該在軟件開發(fā)的每個階段都充分考慮軟件的安全性，即便是開發(fā)項目還處于規(guī)劃設(shè)計階段也應(yīng)該如此。通過創(chuàng)建健康的安全開發(fā)環(huán)境，開發(fā)團隊可以在制定產(chǎn)品路線圖時，就實施一些特定的安全任務(wù)，例如威脅建模和軟件組件 （SLSA）級別評定等。

威脅建模聚焦于潛在的攻擊類型和區(qū)域，并幫助開發(fā)者引入緩解這些攻擊所需的對策。通過從攻擊者視角去觀察、思考，開發(fā)團隊可以不斷評估系統(tǒng)的安全狀況并通過攻擊模擬來加強防御。SLSA 框架在軟件項目的規(guī)劃階段特別有用，作為一種確定 CI/CD 管道安全性的通用語言，它由一系列控制、標準和最佳實踐做法組成，可有效識別和應(yīng)對常見的軟件供應(yīng)鏈攻擊模式。

步驟 2：提升代碼的安全可見性

開發(fā)團隊無法保護他們看不到的內(nèi)容。要了解整個 CI/CD 管道應(yīng)用的安全性，就需要了解軟件系統(tǒng)各組件的所有代碼以及它們之間的關(guān)聯(lián)性和交互性。軟件開發(fā)團隊可以通過執(zhí)行軟件組合分析 （SCA） 和使用軟件物料清單 （SBOM） 來對所有代碼的安全性進行檢測和分析。開發(fā)團隊還應(yīng)該積極應(yīng)用靜態(tài)應(yīng)用程序安全測試 （SAST）。

SAST 安全測試過程會包含多種代碼安全檢測工具，用于檢查應(yīng)用程序源代碼、匯編代碼、字節(jié)碼和二進制文件是否存在安全漏洞。實踐經(jīng)驗表明，開發(fā)人員應(yīng)該在軟件系統(tǒng)開發(fā)的早期階段就利用以上安全工具去發(fā)現(xiàn)問題，這樣才可以在開發(fā)項目完成時，確保所有代碼庫的安全。當然，任何安全工具都不是完美的，因此部署這些工具并不能完全替代安全專業(yè)人員手動代碼審查的責任。

步驟3 ：進行充分的安全性驗收測試 

在系統(tǒng)正式上線應(yīng)用前，需要開發(fā)人員對軟件系統(tǒng)進行反復的、充分的安全性驗收測試，尤其是在新功能即將發(fā)布的情況下。開展充分的安全性驗收測試對于提升CI/CD 管道應(yīng)用安全性非常重要，可以確保現(xiàn)有的安全控制措施足夠有效，保護系統(tǒng)在實際運行時的安全狀況。安全性驗收測試主要包括對系統(tǒng)在安全漏洞、參數(shù)配置、身份驗證、授權(quán)控制等方面的狀態(tài)驗證，可以通過自動化工具、手動或者兩者結(jié)合的方式去完成。

在安全性驗收測試過程中，開發(fā)人員可以使用動態(tài)應(yīng)用程序安全測試 （DAST） 工具來模擬真實的攻擊行為，從外到內(nèi)進行安全性驗證和分析。與靜態(tài)環(huán)境中檢測缺陷的SAST工具不同，DAST工具可以在動態(tài)、主動變化的環(huán)境中檢測軟件系統(tǒng)真實運行時可能存在的安全性缺陷。對有條件的開發(fā)團隊，還可以使用容器掃描工具，因為容器開發(fā)模式已被廣泛接受，并且是云計算未來應(yīng)用發(fā)展的主流趨勢。

步驟4：開展持續(xù)的安全監(jiān)控 

當軟件系統(tǒng)開發(fā)的環(huán)境安全、代碼安全和驗收測試策略均已啟動并有效運行后，就需要采取一些有效的預防措施來保持 CI/CD 管道能夠長期處于安全穩(wěn)定的狀態(tài)。這個過程是一項需要長期執(zhí)行并不斷優(yōu)化調(diào)整的任務(wù)。為了取得真正的安全性，CI/CD 管道應(yīng)用必須實現(xiàn)持續(xù)性的監(jiān)控。

為了實現(xiàn)這個目標，做好身份和訪問管理 （IAM） 就變得非常重要。IAM 可以幫助企業(yè)解決一些簡單但非常重要的安全問題：用戶的訪問權(quán)限和級別是什么？什么時候可以訪問？如何對權(quán)限進行標識？很多開發(fā)人員在開發(fā)過程中經(jīng)常會忽略應(yīng)用系統(tǒng)和IAM的連接協(xié)同，但加強訪問控制和權(quán)限分離已成為實現(xiàn)持續(xù)安全開發(fā)環(huán)境的基礎(chǔ)。

保護 CI/CD 管道應(yīng)用安全需要完善很多方面，開發(fā)團隊還應(yīng)該根據(jù)組織的業(yè)務(wù)需求和應(yīng)用特點來確定風險的優(yōu)先級。通過基于風險的安全監(jiān)控安全方法，可以使安全團隊將應(yīng)用系統(tǒng)風險管控落實到軟件開發(fā)流程的每個階段?；陲L險的安全監(jiān)控將確保開發(fā)團隊能夠抵御針對 CI/CD 管道的各種攻擊，并引導企業(yè)整體網(wǎng)絡(luò)風險管理計劃向更好的方向發(fā)展。