提升CI/CD 安全性的四個關鍵步驟
應用持續集成/持續交付 （CI/CD） 管道已成為實現現代軟件系統自動化敏捷開發的重要方式，確保開發人員在其流程中的各個階段都能滿足安全防護措施要求，防止攻擊者利用CI/CD管道的安全漏洞開展攻擊活動至關重要。在軟件開發的早期階段識別和緩解CI/CD 管道中的安全風險，可以讓企業組織從被動的安全防護轉變為主動狀態。但是鑒于網絡犯罪策略的快速發展和變化，保障CI/CD應用安全充滿挑戰。
本文總結了一份包含四個關鍵步驟的CI/CD應用安全防護清單，以及相關的安全工具和策略，可以幫助企業和開發人員了解如何提升CI/CD管道應用的安全性。
步驟1：創造一個健康開發環境
軟件開發團隊應該在軟件開發的每個階段都充分考慮軟件的安全性，即便是開發項目還處于規劃設計階段也應該如此。通過創建健康的安全開發環境，開發團隊可以在制定產品路線圖時，就實施一些特定的安全任務，例如威脅建模和軟件組件 （SLSA）級別評定等。
威脅建模聚焦于潛在的攻擊類型和區域，并幫助開發者引入緩解這些攻擊所需的對策。通過從攻擊者視角去觀察、思考，開發團隊可以不斷評估系統的安全狀況并通過攻擊模擬來加強防御。SLSA 框架在軟件項目的規劃階段特別有用，作為一種確定 CI/CD 管道安全性的通用語言，它由一系列控制、標準和最佳實踐做法組成，可有效識別和應對常見的軟件供應鏈攻擊模式。
步驟 2：提升代碼的安全可見性
開發團隊無法保護他們看不到的內容。要了解整個 CI/CD 管道應用的安全性，就需要了解軟件系統各組件的所有代碼以及它們之間的關聯性和交互性。軟件開發團隊可以通過執行軟件組合分析 （SCA） 和使用軟件物料清單 （SBOM） 來對所有代碼的安全性進行檢測和分析。開發團隊還應該積極應用靜態應用程序安全測試 （SAST）。
SAST 安全測試過程會包含多種代碼安全檢測工具，用于檢查應用程序源代碼、匯編代碼、字節碼和二進制文件是否存在安全漏洞。實踐經驗表明，開發人員應該在軟件系統開發的早期階段就利用以上安全工具去發現問題，這樣才可以在開發項目完成時，確保所有代碼庫的安全。當然，任何安全工具都不是完美的，因此部署這些工具并不能完全替代安全專業人員手動代碼審查的責任。
步驟3 ：進行充分的安全性驗收測試
在系統正式上線應用前，需要開發人員對軟件系統進行反復的、充分的安全性驗收測試，尤其是在新功能即將發布的情況下。開展充分的安全性驗收測試對于提升CI/CD 管道應用安全性非常重要，可以確保現有的安全控制措施足夠有效，保護系統在實際運行時的安全狀況。安全性驗收測試主要包括對系統在安全漏洞、參數配置、身份驗證、授權控制等方面的狀態驗證，可以通過自動化工具、手動或者兩者結合的方式去完成。
在安全性驗收測試過程中，開發人員可以使用動態應用程序安全測試 （DAST） 工具來模擬真實的攻擊行為，從外到內進行安全性驗證和分析。與靜態環境中檢測缺陷的SAST工具不同，DAST工具可以在動態、主動變化的環境中檢測軟件系統真實運行時可能存在的安全性缺陷。對有條件的開發團隊，還可以使用容器掃描工具，因為容器開發模式已被廣泛接受，并且是云計算未來應用發展的主流趨勢。
步驟4：開展持續的安全監控
當軟件系統開發的環境安全、代碼安全和驗收測試策略均已啟動并有效運行后，就需要采取一些有效的預防措施來保持 CI/CD 管道能夠長期處于安全穩定的狀態。這個過程是一項需要長期執行并不斷優化調整的任務。為了取得真正的安全性，CI/CD 管道應用必須實現持續性的監控。
為了實現這個目標，做好身份和訪問管理 （IAM） 就變得非常重要。IAM 可以幫助企業解決一些簡單但非常重要的安全問題：用戶的訪問權限和級別是什么？什么時候可以訪問？如何對權限進行標識？很多開發人員在開發過程中經常會忽略應用系統和IAM的連接協同，但加強訪問控制和權限分離已成為實現持續安全開發環境的基礎。
保護 CI/CD 管道應用安全需要完善很多方面，開發團隊還應該根據組織的業務需求和應用特點來確定風險的優先級。通過基于風險的安全監控安全方法，可以使安全團隊將應用系統風險管控落實到軟件開發流程的每個階段。基于風險的安全監控將確保開發團隊能夠抵御針對 CI/CD 管道的各種攻擊，并引導企業整體網絡風險管理計劃向更好的方向發展。
