@umacloud/knowledge 1.0.1

package/security/devsecops-complete.md

@@ -0,0 +1,426 @@
+---
+id: devsecops-complete
+title: DevSecOps 完整实践指南
+domain: security
+category: devsecops-complete.md
+difficulty: intermediate
+tags: [complete, devsecops, security, 安全工具链, 安全度量指标, 实施路径, 常见反模式, 最佳实践]
+quality_score: 70
+last_updated: 2026-06-15
+---
+# DevSecOps 完整实践指南
+
+## 概述
+DevSecOps 将安全性深度集成到 DevOps 流程中,实现安全左移(Shift Left),确保每个阶段都内置安全控制,而非事后补救。
+
+## 核心原则
+
+### 1. 安全左移(Shift Left Security)
+- **设计阶段**: 威胁建模、安全架构评审
+- **开发阶段**: 安全编码规范、SAST 扫描
+- **测试阶段**: DAST、依赖扫描、渗透测试
+- **部署阶段**: 容器安全、IaC 扫描、配置检查
+- **运行阶段**: RASP、CSPM、实时监控
+
+### 2. 安全即代码(Security as Code)
+- 策略定义代码化
+- 安全测试自动化
+- 配置管理版本化
+- 合规检查可追溯
+
+### 3. 人人负责安全
+- 开发者: 编写安全代码
+- 运维: 安全配置和部署
+- 安全团队: 提供工具和指导
+- 产品: 安全需求纳入规划
+
+## DevSecOps 流水线
+
+### Phase 1: 计划与设计(Plan & Design)
+
+#### 威胁建模
+```
+STRIDE 方法论:
+- Spoofing(欺骗): 认证机制
+- Tampering(篡改): 完整性保护
+- Repudiation(抵赖): 审计日志
+- Information Disclosure(信息泄露): 加密和访问控制
+- Denial of Service(拒绝服务): 限流和容错
+- Elevation of Privilege(权限提升): 授权检查
+```
+
+#### 安全需求
+- 业务功能安全需求
+- 合规性需求(GDPR, SOC2, PCI-DSS)
+- 安全基线要求
+- 隐私保护要求
+
+#### 安全架构评审
+- 认证授权方案
+- 数据流向和加密
+- 网络架构和隔离
+- 第三方依赖风险评估
+
+### Phase 2: 编码(Coding)
+
+#### 安全编码规范
+```
+通用原则:
+1. 输入验证: 白名单校验、参数化查询
+2. 输出编码: 防止 XSS、注入攻击
+3. 认证授权: 最小权限、会话管理
+4. 错误处理: 不泄露敏感信息
+5. 日志记录: 审计追踪、异常告警
+```
+
+#### SAST 工具集成
+```yaml
+# GitLab CI 示例
+sast:
+  stage: test
+  script:
+    - semgrep --config=auto --json > sast-report.json
+  artifacts:
+    reports:
+      sast: sast-report.json
+```
+
+#### 预提交检查
+```bash
+# Git Hooks 示例
+#!/bin/bash
+# 检测敏感信息
+git diff --cached --name-only | xargs grep -E "password|secret|api_key" && exit 1
+
+# 运行 lint 和静态分析
+npm run lint && npm run security-check
+```
+
+### Phase 3: 构建(Build)
+
+#### 依赖扫描(SCA)
+```yaml
+# 依赖扫描配置
+dependency_scanning:
+  stage: build
+  script:
+    - npm audit --json > npm-audit.json
+    - trivy fs --severity HIGH,CRITICAL .
+  artifacts:
+    reports:
+      dependency_scanning: npm-audit.json
+```
+
+#### 软件物料清单(SBOM)
+```bash
+# 生成 SBOM
+syft packages dir:. -o spdx-json > sbom.spdx.json
+grype sbom:sbom.spdx.json --fail-on high
+```
+
+#### 构建安全
+- 使用可信基础镜像
+- 最小化镜像层数
+- 不在镜像中存储密钥
+- 签名验证构建产物
+
+### Phase 4: 测试(Testing)
+
+#### DAST 动态扫描
+```yaml
+# OWASP ZAP 集成
+dast:
+  stage: test
+  script:
+    - zap-baseline.py -t $TARGET_URL -r dast-report.html
+  artifacts:
+    reports:
+      dast: dast-report.html
+```
+
+#### 容器安全扫描
+```bash
+# Trivy 容器扫描
+trivy image --severity HIGH,CRITICAL \
+  --ignore-unfixed \
+  --exit-code 1 \
+  myapp:latest
+```
+
+#### IaC 安全扫描
+```bash
+# Terraform 安全检查
+checkov -d terraform/ --check CKV_AWS_*,CKV_GCP_*
+
+# Kubernetes 清单检查
+kubeconftest --policy opa/ kubernetes/
+```
+
+#### 渗透测试
+- 认证绕过测试
+- 权限提升测试
+- 注入攻击测试
+- 业务逻辑漏洞测试
+
+### Phase 5: 部署(Deploy)
+
+#### 密钥管理
+```yaml
+# HashiCorp Vault 集成
+vault:
+  stage: deploy
+  script:
+    - vault kv get -field=password secret/myapp > /dev/null
+    - export DB_PASSWORD=$(vault kv get -field=db_password secret/myapp)
+```
+
+#### 部署门禁
+```yaml
+# 质量门禁检查
+deploy_gate:
+  stage: deploy
+  script:
+    - |
+      if [ "$(jq '.vulnerabilities | length' sast-report.json)" -gt 0 ]; then
+        echo "存在 SAST 漏洞,禁止部署"
+        exit 1
+      fi
+    - |
+      if [ "$(jq '.vulnerabilities | length' dast-report.json)" -gt 0 ]; then
+        echo "存在 DAST 漏洞,禁止部署"
+        exit 1
+      fi
+```
+
+#### 运行时配置检查
+```yaml
+# Kubernetes 安全策略
+apiVersion: policy/v1beta1
+kind: PodSecurityPolicy
+metadata:
+  name: restricted
+spec:
+  privileged: false
+  runAsUser:
+    rule: MustRunAsNonRoot
+  seLinux:
+    rule: RunAsAny
+  fsGroup:
+    rule: RunAsAny
+```
+
+### Phase 6: 运行(Runtime)
+
+#### RASP 运行时保护
+```java
+// OpenRASP 示例
+rasp:
+  plugin:
+    - name: sql_injection
+      enable: true
+      action: block
+    - name: xss_filter
+      enable: true
+      action: block
+```
+
+#### 安全监控
+```yaml
+# Falco 运行时安全
+- rule: Unexpected TCP Connection
+  desc: 检测异常 TCP 连接
+  condition: >
+    fd.typechar = 4 and proc.name != "nginx"
+  output: >
+    异常网络连接 (user=%user.name command=%proc.cmdline)
+  priority: WARNING
+```
+
+#### CSPM 云安全态势管理
+```bash
+# Prowler AWS 安全检查
+prowler aws --checks-groups extras --severity high critical
+```
+
+## 安全工具链
+
+### SAST 工具
+| 工具 | 语言 | 特点 |
+|------|------|------|
+| Semgrep | 多语言 | 自定义规则、快速 |
+| SonarQube | 多语言 | 集成度高、质量门禁 |
+| Bandit | Python | 轻量级、专注 Python |
+| ESLint Security | JavaScript | 前端安全检查 |
+
+### DAST 工具
+| 工具 | 特点 | 适用场景 |
+|------|------|----------|
+| OWASP ZAP | 开源免费、功能全面 | Web 应用 |
+| Burp Suite | 专业级、功能强大 | 渗透测试 |
+| Nuclei | 快速扫描、模板化 | 漏洞验证 |
+| SQLMap | SQL 注入专用 | 数据库安全 |
+
+### SCA 工具
+| 工具 | 特点 | 数据库 |
+|------|------|--------|
+| Dependabot | GitHub 原生、自动化 | GitHub Advisory |
+| Snyk | 实时更新、修复建议 | Snyk Intel |
+| Trivy | 全栈扫描、快速 | 多源数据库 |
+| Grype | 容器优先、SBOM 支持 | Anchore DB |
+
+### 容器安全
+| 工具 | 特点 | 用途 |
+|------|------|------|
+| Trivy | 全面扫描、CI 友好 | 镜像扫描 |
+| Clair | API 驱动、可扩展 | 镜像仓库集成 |
+| Anchore | 策略引擎、合规检查 | 企业级扫描 |
+| Falco | 运行时监控、规则灵活 | 运行时保护 |
+
+## 实施路径
+
+### Level 1: 基础建设(1-3 个月)
+- [ ] 建立 CI/CD 流水线
+- [ ] 集成 SAST 工具
+- [ ] 依赖扫描自动化
+- [ ] 基础镜像管理
+- [ ] 密钥管理方案
+
+### Level 2: 深化集成(3-6 个月)
+- [ ] DAST 自动化扫描
+- [ ] 容器安全扫描
+- [ ] IaC 安全检查
+- [ ] 威胁建模流程
+- [ ] 安全门禁机制
+
+### Level 3: 持续优化(6-12 个月)
+- [ ] RASP 部署
+- [ ] CSPM 监控
+- [ ] 安全编排(SOAR)
+- [ ] 红蓝对抗演练
+- [ ] 安全度量体系
+
+## 安全度量指标
+
+### 开发阶段
+- SAST 覆盖率: >= 95%
+- 代码扫描频率: 每次提交
+- 高危漏洞修复时间: <= 7 天
+- 安全编码培训完成率: 100%
+
+### 测试阶段
+- DAST 覆盖率: >= 80%
+- 依赖扫描覆盖率: 100%
+- 渗透测试频率: 每季度
+- 漏洞修复验证率: 100%
+
+### 部署阶段
+- 部署门禁覆盖率: 100%
+- 密钥轮换频率: <= 90 天
+- 容器镜像扫描率: 100%
+- IaC 扫描覆盖率: 100%
+
+### 运行阶段
+- RASP 部署覆盖率: >= 80%
+- 安全事件响应时间: <= 1 小时
+- CSPM 合规评分: >= 90 分
+- 安全审计频率: 每月
+
+## 常见反模式
+
+### 1. 安全瓶颈
+**问题**: 安全团队成为瓶颈,延迟发布
+**解决**:
+- 自动化安全测试
+- 赋能开发团队
+- 并行化安全检查
+- 风险分级处理
+
+### 2. 扫描疲劳
+**问题**: 大量误报,团队忽视漏洞
+**解决**:
+- 优化规则精度
+- 建立白名单机制
+- 优先级排序
+- 定期校准工具
+
+### 3. 工具孤岛
+**问题**: 工具分散,缺乏集成
+**解决**:
+- 统一安全平台
+- 标准化报告格式
+- 集成到 DevOps 平台
+- 单一视图仪表板
+
+### 4. 一次性检查
+**问题**: 只在上线前扫描,无持续监控
+**解决**:
+- 持续扫描机制
+- 运行时保护
+- 定期重新评估
+- 监控和告警
+
+## 最佳实践
+
+### 1. 渐进式实施
+- 优先集成高价值工具
+- 从阻塞型门禁开始
+- 逐步提升覆盖范围
+- 持续优化流程
+
+### 2. 开发者友好
+- 快速反馈(< 10 分钟)
+- 清晰的修复指引
+- IDE 集成插件
+- 自助式修复工具
+
+### 3. 自动化优先
+- 减少人工干预
+- 策略即代码
+- 自动修复建议
+- 自愈能力
+
+### 4. 可视化度量
+- 实时安全仪表板
+- 趋势分析
+- 对比报告
+- 合规证据
+
+## 企业级实施案例
+
+### 金融行业
+```yaml
+要求:
+  - PCI-DSS 合规
+  - 数据加密传输存储
+  - 严格的访问控制
+  - 审计日志保留 7 年
+
+实施:
+  1. 数据库加密(TDE)
+  2. 密钥管理(Vault)
+  3. 网络隔离(VPC)
+  4. WAF 防护
+  5. 定期渗透测试
+```
+
+### SaaS 平台
+```yaml
+要求:
+  - SOC2 Type II 认证
+  - 多租户隔离
+  - 数据主权
+  - 高可用性
+
+实施:
+  1. 租户数据隔离
+  2. 细粒度权限控制
+  3. 数据备份和恢复
+  4. 灾难恢复方案
+  5. 安全审计和报告
+```
+
+## 参考资料
+- [OWASP DevSecOps Guideline](https://owasp.org/www-project-devsecops-guideline/)
+- [NIST Secure Software Development Framework](https://csrc.nist.gov/publications/detail/sp/800-218/final)
+- [CIS Docker Benchmark](https://www.cisecurity.org/benchmark/docker)
+- [Kubernetes Security Best Practices](https://kubernetes.io/docs/concepts/security/)