技術選型必看：DevOps中的安全測試工具推薦

從策略層面來講，安全測試工具可以融入 DevOps 工作流之內(nèi)，并從本質上構成一套 DevSecOps 模型，借此在提高生產(chǎn)效率的同時最大程度降低軟件開發(fā)成本。此類工具使您可以在整個軟件開發(fā)生命周期（SDLC）以及軟件交付之后的運行及維護階段內(nèi)，對包括潛在漏洞在內(nèi)的各類問題進行測試與修復。啟用 DevSecOps 模型將確保開發(fā)人員擁有安全的開發(fā)與交付周期，而不致因“強行塞入安全性”而影響 SDLC 并拖累生產(chǎn)效率。

在之前的文章中：DevOps研發(fā)模式下CI/CD實踐詳解指南 ，介紹過作者對DevOps的一些理解，對DevOps還不是很了解的讀者，可以看一下。

DevSecOps 范式本身一直在不斷發(fā)展，而且隨著獨特安全工具的出現(xiàn)，組織現(xiàn)在已經(jīng)可以對軟件開發(fā)及交付內(nèi)的不同階段進行分別測試與保護。DevSecOps 安全工具通常被分為靜態(tài)應用程序安全測試（SAST）與動態(tài)應用程序安全測試（DAST）兩種基本思路。在今天的文章中，我們主要討論最常用的安全工具及方法。

靜態(tài)應用程序安全測試（SAST）

SAST 模型提供包含多種形式的源代碼分析、二進制分析以及白盒測試技術。乍看之下，SAST 工具似乎主要負責在代碼被推送至生產(chǎn)環(huán)境之前，對應用程序的源代碼進行安全漏洞檢查。SAST 源代碼分析主要關注靜態(tài)代碼中是否存在易受攻擊的缺陷，例如競爭條件、輸入驗證、數(shù)字錯誤等。另一方面，二進制分析則強調對已構建及編譯完成的代碼進行缺陷測試。我們需要同時使用多種 SAST 工具，有些僅負責測試源代碼、有些測試已編譯代碼，有些則同時對這兩類代碼做出測試。

以下是幾款知名度較高的 SAST 工具：

1、LGTM.com

LGTM 是一套開源代碼平臺，可通過變體分析檢查代碼中的常見漏洞與披露（CVE），同時支持幾乎所有主要編程語言，包括 C/C++、Go、Java、JavaScript/TypeScript、C# 以及 Python 等。LGTM 首先使用 CodeQL 技術識別問題、解決問題，并掃描類似的代碼模式以避免出現(xiàn)進一步威脅。憑借多種 repo 系統(tǒng)提供的開源項目，LGTM 得以高效執(zhí)行自動代碼審查，借此識別源代碼中的公開內(nèi)容。

作為一套開源平臺，LGTM 還充分運用安全專家的知識，即使用數(shù)據(jù)科學與語義代碼搜索等技術編寫出可檢測現(xiàn)有及新代碼漏洞查詢的自動化方案。

2、SonarQube

SonarQube 是最著名的靜態(tài)代碼分析工具之一，旨在清理并保護 DevOps 工作流及代碼。通過對代碼質量的持續(xù)分析，SonarQube 會定期檢查以檢測出 bug 及安全問題。SonarQube 宣稱可以掃描使用 27 種編程語言編寫的代碼，包括 Java、Python、C#、C/C++、Swift、PHP、COBOL 以及 JavaScript 等，因此其非常適合擁有不同編程背景或者需要在多個平臺上運行應用程序的團隊。更重要的是，SonarQube 可以在 GitHub、Azure DevOps 忣 BitBucket 等 repo 中直接分析您的代碼，并在代碼審查期間提供即時反饋。

SonarQube 社區(qū)版是開源自由軟件，也被普遍視為入門級 CI/CD 安全 DevOps 的完美選項。另一方面，其開發(fā)者、企業(yè)以及數(shù)據(jù)中心版則更為復雜精妙，適用于規(guī)模更大的部署場景。

3、Reshift

Reshift 的核心目標是在不影響開發(fā)速度的前提下發(fā)現(xiàn)安全問題，這也使其成為推廣 DevSecOps 模型的重要選項之一。Reshift 與集成開發(fā)環(huán)境（IDE）相融合，因此非常適合識別漏洞并實時加以修復。作為一大核心功能，Reshift 允許用戶在代碼審查、編譯時以及持續(xù)集成的過程中不斷保護應用程序安全。Reshift 被眾多技術專家視為完美的輕量化 DevOps 安全測試解決方案，適用于中小型企業(yè)、以及希望將安全保障整合至軟件開發(fā)生命周期當中的各類初創(chuàng)軟件公司。

4、Insider CLI

Inside 是根據(jù) OWASP Top 10 設計的另一款開源 SAST 工具，用于簡化各類編程語言的安全自動化流程，適用于.NET 框架、JavaScript（Node.js）、Java（Android 與 Maven）、Swift 以及 C# 等。Insider 源代碼分析工具是一款社區(qū)驅動型方案，通過在源代碼層級掃描漏洞以支持敏捷且高效的軟件開發(fā)方法。

借助 Inside Application Security，您可以通過自由、集成的 GitHub 操作直接在 GitHub 目錄上保護代碼，讓整個安全保障體系變得易于實施。

動態(tài)應用程序安全測試 (DAST)

DAST 工具也被稱為黑盒測試或漏洞掃描工具。這些工具將從局外人的角度測試應用程序，而不僅限于其并不熟悉的源代碼本體。DAST 工具會模擬攻擊向量的行為，在運行時測試應用程序以發(fā)現(xiàn)潛在的安全漏洞。這些工具無需人工干預即可運行，因此建立起一整套自動化測試流程。DAST 工具能夠適應的漏洞相當廣泛，包括內(nèi)存破壞、跨站點請求偽造、遠程文件包含、緩沖區(qū)溢出以及拒絕服務等。

下面，我們將一起了解幾款重要的商業(yè)及開源 DAST 工具。

1、Crashtest Security

CrashtestSecurity 是一款漏洞評估工具，具有高級爬網(wǎng)功能，可無縫集成至開發(fā)管道以檢測應用程序內(nèi)的漏洞。CrashtestSecurity 將行業(yè)標準的高級掃描功能與用戶友好型界面相結合，供您輕松進行安全測試。Crashtest 還能夠對基于 JavaScript 的應用程序進行單頁分析以識別漏洞模式，并采用基于文檔的應用程序編程接口（API）掃描建立起一套全面的安全平面。

2、OWASP ZAP

開源 Web 應用安全計劃（OWASP）推出的 Zed Attack Proxy（ZAP）是一款免費的開源滲透測試工具，專門用于測試 Web 應用程序。ZAP 將充當“中間人”攻擊載體，以模擬方式對測試者瀏覽器與網(wǎng)絡應用程序之間的通信加以攔截。ZAP 可以被安裝在所有主要操作系統(tǒng)以及 Docker 之上，用戶亦可選用 ZAP 市場中的各類附加組件進一步增強安全測試功能。

3、NPM Audit

Node Package Manager（NPM）Audit 平臺提供龐大且不斷增長的工具注冊表，并在全球范圍內(nèi)托管著數(shù)量龐大的共享 JavaScript 軟件包。憑借著對平臺及各類軟件包的廣泛支持，如果大家希望保護由遠程分布式團隊支持的 DevOps 管道，那么最好的配套選項無疑就是 NPM。NPM CLI 可用于配置軟件包、審查實時應用程序源代碼，同時訪問 repo 以改善功能。這套解決方案能夠自動識別并管理依賴項中的沖突，幫助您實時修復安全漏洞。

4、Arachni

Arachni 是一款基于 Ruby 框架的免費高性能測試工具。其發(fā)行版中包含多個可移植軟件包，您可以立即進行部署以評估應用程序安全性。您可以根據(jù)需求將其部署為 Ruby 庫、CLI 掃描器、WebUI 或者分布式系統(tǒng)。通過 REST API，Arachni 能夠輕松與大多數(shù)現(xiàn)代平臺相集成，借此提供豐富的漏洞分析檢查功能，同時由此獲得最高水平的彈性、準確性與可靠性支持。Arachni 可以掃描 NoSQL 注入、代碼注入、XSS 以及文件包含變體等漏洞，并為基于 JavaScript 框架的 Web 應用程序提供其他跟蹤優(yōu)化。這一切，使得 Arachni 成為具有多種功能且高度自動化的分布式滲透測試平臺。

總結

Arachni 是一款基于 Ruby 框架的免費高性能測試工具。其發(fā)行版中包含多個可移植軟件包，您可以立即進行部署以評估應用程序安全性。您可以根據(jù)需求將其部署為 Ruby 庫、CLI 掃描器、WebUI 或者分布式系統(tǒng)。通過 REST API，Arachni 能夠輕松與大多數(shù)現(xiàn)代平臺相集成，借此提供豐富的漏洞分析檢查功能，同時由此獲得最高水平的彈性、準確性與可靠性支持。Arachni 可以掃描 NoSQL 注入、代碼注入、XSS 以及文件包含變體等漏洞，并為基于 JavaScript 框架的 Web 應用程序提供其他跟蹤優(yōu)化。這一切，使得 Arachni 成為具有多種功能且高度自動化的分布式滲透測試平臺。

原文鏈接：https://dzone.com/articles/an-overview-of-security-testing-tools-in-devops

推薦閱讀：

1. 推薦一款全能測試開發(fā)神器！1分鐘快速上手！
   

2. 測試開發(fā)必備技能：Web安全測試漏洞靶場實戰(zhàn)
   

3. 剛轉行1年測開新手：學習編程幾點經(jīng)驗分享
   

END

長按二維碼/微信掃碼  添加作者

掃描上面二維碼，備注【交流群】，加入技術交流群