DevSecOps

<h1 align="center"> <br> <a href=""><img src="https://yellow-cdn.veclightyear.com/0a4dffa0/998c44d6-d75c-4a35-916f-592901307300.png" alt="" width="500px;"></a> <br> <img src="https://img.shields.io/badge/PRs-welcome-blue"> <img src="https://img.shields.io/github/last-commit/hahwul/DevSecOps"> <img src="https://yellow-cdn.veclightyear.com/0a4dffa0/a17e5c75-b7fd-4fd9-9087-c96a5bbba6f3.svg"> <img src="https://api.codacy.com/project/badge/Grade/e5fd334a431848dcb6ecdb3784fb5dfb"> <a href="https://twitter.com/intent/follow?screen_name=hahwul"><img src="https://img.shields.io/twitter/follow/hahwul?style=flat&logo=twitter"></a> <a href="https://github.com/hahwul"><img src="https://img.shields.io/github/stars/hahwul?style=flat&logo=github"></a> </h1>

适用于所有希望实践DevSecOps的人的路线图。

📜 目录

• 路线图
• 工具
• 资源
  • 0. DevSecOps概述
  • 1. 设计
  • 2. 开发
  • 3. 构建
  • 4. 测试
  • 5. 部署
  • 6. 运营和监控
• CICD的安全性
• 优秀资源
• 其他路线图
• 总结
• 贡献者
• 如何贡献

💭 路线图

🔩 工具

在应用DevSecOps时，花费大量时间搜索、比较和决定使用哪些工具。这些工具列表可以帮助你减少不必要的时间并快速应用它们 :sunglasses:

打开 https://github.com/hahwul/DevSecOps/blob/main/tools/README.md

📦 资源

0. DevSecOps 概述

• 概述
  1. 维基百科中的 DevSecOps
  2. 从零到 DevSecOps（OWASP 线下聚会）
  3. DevSecOps 是什么、为什么以及如何实施（BlackHat USA-19）
  4. DevSecOps – 安全和测试自动化（Mitre）
  5. DevSecOps：让安全成为 DevOps 流程的核心
  6. 使用 DevSecOps 加强和扩展安全
  7. DSOVS（OWASP DevSecOps 验证标准）

1. 设计

• 开发生命周期
  1. 微软的 SDL（安全开发生命周期）
  2. OWASP 的软件保障成熟度模型
  3. 构建安全成熟度模型（BSIMM）
  4. NIST 的安全软件开发框架
  5. DevSecOps 基础：左移的 9 个技巧（Gitlab）
  6. 6 种方法让安全跟上 DevOps 的速度（Gitlab）
• 威胁建模
  1. 什么是威胁建模 / 维基百科
  2. OWASP 的威胁建模
  3. OWASP 的应用威胁建模
  4. 敏捷威胁建模工具包
  5. OWASP 威胁龙

2. 开发

• 安全编码
  1. 苹果的安全编码指南
  2. Java SE 的安全编码指南
  3. Go-SCP / Go 编程语言安全编码实践指南
  4. 谷歌的 Android 应用安全最佳实践
  5. 保护 Rails 应用程序

3. 构建

• SAST（静态应用安全测试）
  1. 使用 SonarQube 进行静态应用安全测试（SAST）扫描源代码，第 1 部分
  2. 宣布第三方代码扫描工具：静态分析和开发者安全培训
  3. OWASP 定义的 SAST 级别

4. 测试

• DAST（动态应用安全测试）
  1. 使用 ZAP 和 GitHub Actions 进行动态应用安全测试
  2. Gitlab 中的动态应用安全测试（DAST）
  3. 使用 pdiscoveryio Nuclei 进行 DAST（github action）
  4. ZAPCon 2021-通过测试自动化和领域特定语言实现 ZAP 的民主化
  5. OWASP 定义的 DAST 级别
• 渗透测试
  1. DevSecOps 速度下的渗透测试

5. 部署

• 安全加固和配置
  1. CIS 基准
  2. Kubernetes 中的 DevSecOps
• 安全扫描
  1. 镜像扫描最佳实践（docker）

6. 运营和监控

• RASP（运行时应用自我保护）
  1. rapid7 的运行时应用自我保护
  2. 使用 IAST 和 RASP 启动你的 devsecops - 流水线
• 安全补丁
  1. RASP（运行时应用自我保护）
• 安全审计
• 安全监控
  1. IAST（交互式应用安全测试）
     • OWASP 定义的 IAST 级别
  2. 指标、监控、告警
• 安全分析
  1. OWASP 的攻击面分析备忘单

CICD 的安全性

• Github Actions
  1. GitHub Actions 的安全加固
  2. Github Actions 安全最佳实践
  3. GitHub Actions 安全最佳实践 [包含备忘单]
• Jenkins
  1. 保护 Jenkins
  2. SANS 的保护 Jenkins CI 系统
  3. 已弃用/chef-jenkins-hardening

精选资源

• https://github.com/TaptuIT/awesome-devsecops

🚀 其他路线图

美国国防部	Larry Maccherone
DevSecOps安全清单	Gitlab安全DevOps图

🙏🏼 总结

如果您认为路线图可以改进，请随时提交PR进行更新，并提交任何问题。此外，我将继续改进这个项目，因此您可能希望给这个仓库点个星，以便再次访问。

灵感来源：Go开发者路线图

贡献者