特别放送｜7 节 DevSecOps 课程合集，你要的全拿走

极狐GitLab 能力太多，哪个更适合我的场景？

如何从 0 开始上手并用好极狐GitLab？

Code Review 流于形式，如何才能做扎实？

部署很焦虑，CI/CD 怎么做？

安全很重要，DevSecOps 怎么用？

收集和调研了众多开发者关注的问题后，今年 4 月，「极狐GitLab 100 问」栏目正式启动。第一个系列，我们着眼于大家尤为重视的软件安全开发实践，精心策划 DevSecOps 七大能力实用课程。

七周修炼，现已圆满完结，感谢大家的陪伴！🎉

没学完？想回顾？要资料？

没问题！

7 期课程精华内容与回看视频 🎥

帮你一站式 Get 所有干货~

🌟阅读本文，你将学到：

依赖项扫描

阅读原文或复制下方链接，回看直播；在「看回放→聊天框」中，获取 PPT：

https://app.jingsocial.com/mF/aggregateListPage/activity/fAiSKretErkEpjiRyXyg9L/home?navId=C5vrQ2bxHmuHjBwDWwXRfX3&pushId=AcsDqfB2DnBNM7QdD7Zkc4
https://app.jingsocial.com/microFrontend/contentCenterH5/center/WNP8f7nLhrsKagFaBTiLKM?appid=wxa3af8f525446f3de&tabid=go8Dk3jVEi4jPuvrd3xi6a

知识点 1

现代软件系统基于微服务架构，大量使用 API 进行服务调用与集成。API 的安全性直接决定整体系统的安全性， API 模糊测试成为评估系统安全性的关键一环。

同时，很多企业都在使用敏捷开发，要求更短的更新周期和更高的发布频率。这增加了由于疏忽或考虑不周导致安全漏洞的概率。应用 API 模糊测试进行持续监测，能够确保快速迭代不会引入高危漏洞。

知识点 2

便利与安全如何兼得？容器镜像扫描等安全工具和机制成为解题关键。

极狐GitLab 容器镜像扫描具备 4 大优势：

一站式平台，无需额外工具；
简单易用，1 行配置高度自动化；
灵活控制，高效和安全齐备；
报告可视化，清晰详尽便于处理。

知识点 3

开源软件是软件企业持续依赖与运用的重要资源，开源许可证扫描必不可少，其广泛应用也将成为企业开源管理的标配与常态。

极狐GitLab 开源许可证扫描具有明显优势:

原生集成；
高度自动化；
简单易用；
灵活自定义；
持续优化。

知识点 4

极狐GitLab 既支持通过 Web Analyzer 方式，也 API Analyzer 方式在流水线中集成 DAST，在测试或运行阶段，分析应用程序的动态运行状态，高效保护应用程序安全。

DAST 的优点显而易见：

不受语言和框架限制；
低误报率；
无需访问源代码。

但 DAST 也有局限性：无法定位代码库中安全问题的确切位置；也无法嗅探应用程序堆栈中未执行部分中的漏洞。因此，需要与 SAST 互相弥补不足。

知识点 5

SAST 的分析结果能够精确到代码行数，而且通常是在代码编译之前进行，因此属于 SDLC 早期，修复问题的成本相对较低。

优秀的 SAST 工具应该具备以下特点：

更好的集成性和综合性；
更好的可视化和报告功能；
更好的扩展性和定制性。

极狐GitLab SAST 正是这样的工具：将 SAST 与 MR 无缝集成，在创建 MR 时，触发 CI/CD 进行 SAST 分析，最终的结果会展示在 MR 中，开发人员可通过创建 Issue 来对相应的 SAST 漏洞进行追踪管理；当修改后重新提交代码，再次触发 CI/CD Pipeline，在确认无误后，方可合入代码。

知识点 6

极狐GitLab 将密钥检测集成到 CI/CD 中，在开发人员提交代码时就同步进行检测，真正做到安全左移，持续监测。

只需在极狐GitLab CI 配置文件中增加一行代码，即可将密钥扫描模板导入流水线，轻松启动密钥扫描，发现并修复项目的密钥安全问题。

知识点 7

依赖项扫描可以在开发和测试应用程序时，自动查找软件依赖项中的安全漏洞，避免应用程序使用到已知易受攻击的外部（开源）库。

极狐GitLab 支持通过以下任一方式使用依赖项扫描：

在现有的 .gitlab-ci.yml 文件中，包含依赖扫描模板；
隐式使用 Auto DevOps 提供的自动依赖扫描。