security - 持续部署/交付和安全

Question

我知道这是一个模糊的问题，但我正在寻找有关团队如何将安全性与持续交付/部署相结合的博客或信息。我们每天多次部署到 AWS，我正在寻找团队为流程增加安全性的一些方法。

我看过一个演示，其中一个团队使用 cucumber 进行了一些 nmap 测试，这不是我正在寻找的，但可能是在应用程序节点进入负载均衡器接受流量之前部署后对其进行一些自动化测试。

Answer 1

这可能不是您想要的，但有效安全测试的关键是在设计时、实现等阶段将其构建到产品中。在应用程序的所有级别编写安全测试就像您进行单元测试一样。使用这种方法，安全测试与一般应用程序测试没有什么不同。

预先打包的安全测试很好，您应该使用它们(大多数组织在 QA 检查之前这样做)，但它们不如您的内置测试有效。这是因为没有人像您的开发人员一样了解安全“危险区域”(或者至少他们应该知道。如果他们没有让他们阅读一本书。对于网络应用程序，我强烈推荐 "The Web Application Hacker's Handbook," ，对于其他应用程序，我建议使用 "Secure Coding in C and C++" by Robert Seacord ，甚至如果你不做 C/C++。如果你能等一下，4 月份会有一个 2nd Edition of Seacord's book 出来)。

除非在设计时考虑，否则安全永远不会有效。如果您已经搞砸了，请尝试将安全测试集成到您的常规应用程序测试中。

编辑:

一些很棒的预装扫描仪(一些是免费的，一些是免费的，另一些是免费的，还有一些根本不是免费的)来运行你的网络应用程序(没有特定的顺序)。这些将找到常见和现有的漏洞，但不会找到您的 Web 应用程序的独特漏洞:

Nessus

OpenVAS

Nikto

Acunetix

Burp Suite

W3af

Retina

Nexpose