ITPub博客

如果仅在软件交付生命周期结束时(在部署服务之前或之后)运行安全扫描，则随后的编译和修复漏洞的过程会成为高效开发的一大阻碍。此外，随着应用程序越来越多地使用开源开源软件(OSS)组件和其他第三方构件构建，每一个组件都可能给应用程序带来新的漏洞。

DevSecOps在软件开发生命周期(SDLC)的所有阶段融合了开发(Dev)、安全(Sec)和运维(Ops)。它将安全检查合并到开发过程中，并在开发、安全和运维团队之间架起桥梁。

在当前安全开发流程中，还没有哪类工具可以覆盖到整个开发流程的安全测试，因此组织通常会结合多个应用程序测试工具来保护应用程序的整个生命周期。安全测试是应用程序安全的重要基础，可以在整个开发和运营管道中查找和修复问题。静态应用程序安全测试 (SAST)SAST 工具在部署应用程序之前自动分析源代码、字节码或二进制文件，通过全覆盖检测代码来识别漏洞，有助于在进入生产环境前进行修复代码缺陷。SAST

构建和运行 DevSecOps 实践意味着组织能够运行安全交付平台、测试软件漏洞、确定漏洞优先级并修复漏洞、防止发布不安全代码，并确保软件及其所有组件的完整性。构建高效的DevSecOps 实践不仅要保证开发速度，而且还要统筹开发人员更好地合作，以下五个指导原则会有些帮助。

SAST 又称为静态应用程序安全测试。静态测试可以直接检测源代码或编译后的中间码，查找安全漏洞和缺陷。通过对发现的缺陷进行严重等级划分，来选择修复漏洞的优先级，及时修复威胁更严重的安全漏洞，纠正有问题的源代码。

Dirty COW(分配为 CVE-2016-5195)是某些版本的 Linux 内核中的权限提升漏洞，会影响运行早于 2018 的 Linux 内核版本的 Linux 和 Android 系统。

由于能源行业在社会中扮演着重要的角色，因此一直是网络攻击者的首要目标。近年来，随着地缘政治紧张局势加剧了国家支持的网络间谍活动，针对该行业的网络威胁显著增加。根据一份关于OT/ICS网络安全事件的报告，能源部门的攻击占所有攻击的39%，其中近60%的攻击归因于有目的的附属组织。除了以获得战略优势为目的的政治动机攻击的威胁外，威胁行为者还经常会访问大量敏感信息。攻击者还抓住机会造成重大的运营中断，作

根据ISC2的研究，人工智能最有可能接管用户行为模式的分析(81%)、重复性任务的自动化(75%)、网络流量和恶意软件的监控(71%)、薄弱环节的预测(62%)以及检测和阻止威胁(62%)。随着人工智能的广泛使用，其带来安全问题的复杂性、真实性和数量可能会大幅度提高。

根据Verizon 2023数据泄露调查报告，基本Web应用程序攻击占整个泄露数据集的近四分之一。虽然不是最复杂的威胁，但像凭证填充和SQL注入攻击这样的常见网络攻击继续对网络安全领域造成严重破坏，就像网络钓鱼和新兴的基于人工智能的攻击一样。10 种最常见的 Web 攻击1. 跨站点脚本跨站点脚本 (XSS) 攻击诱使浏览器向受害者的浏览器发送恶意客户端脚本，受害者的浏览器将在收到后自动执行。

供应链风险有多种形式，从勒索软件和数据盗窃到拒绝服务(DDoS)和欺诈。它们可能影响传统供应商，如专业服务公司(律师、会计师等)或商业软件供应商。攻击者还可以攻击托管服务提供商(MSP)，因为通过以这种方式攻击单个企业，他们可以获得对大量潜在客户的访问。

DevOps 管道是指一组实践和工具，旨在自动化和集成软件开发 (Dev) 和 IT 运营 (Ops) 团队之间的流程。该管道促进了持续集成 (CI)、持续交付 (CD) 和快速部署，缩短开发生命周期并持续交付高软件质量。DevOps 管道通常包括规划、编码、构建、测试、发布、部署、操作和监控，使团队能够更高效地开发和部署软件。由于 DevOps 管道的关键性质，安全性正成为重中之重。近年

根据GitHub的数据，为了应对繁重的工作负载，92%的开发人员已经在使用人工智能代码生成工具。根据这种趋势发展，我们不得不面临一个问题：企业如何确保开发人员保持其人工智能生成代码的质量?

API 在当今的数字生态系统中无处不在，连接着不同的系统、应用程序和数据。它们实现无缝集成和数据交换的能力彻底改变了企业的运营方式。从启用移动应用程序功能到促进云服务和物联网部署，API 在创建互联、敏捷和响应迅速的业务环境方面发挥着重要作用。

DevOps 安全，也称为 DevSecOps，是一种将安全实践集成到 DevOps 流程中的理念。DevOps 安全涉及创建“安全即代码”文化，并在发布工程师和安全团队之间持续、灵活地协作。DevSecOps运动与DevOps本身非常相似，专注于在敏捷框架内为复杂的软件开发流程创建新的解决方案。DevOps 安全不仅仅是实施工具和技术更是改变我们看待安全的方式。安全性不应该是事后的想法，而应

攻击面是威胁参与者可以用来获得对网络的未经授权的访问的通道、路径或区域的总数。造成的结果是可以获取私人信息或进行网络攻击。攻击面包括威胁参与者可以利用的组织资产来获取未经授权的访问。攻击面包括直接参与关键任务操作的系统，以及提供外部服务或访问重要数据的系统。减少组织的攻击面对于防范潜在威胁至关重要。通过了解哪些领域存在潜在的漏洞并采取措施对其进行管理，可以降低网络被入侵的几率。对于大多数现代组织来

访问控制是控制和监控用户和应用程序对资源的访问的过程。这通常包含在身份和访问管理(IAM)的安全域下。该领域包括四个主要元素:1)识别2)身份验证3)授权4)责任。这四个元素协同工作，以确保所有公司资源仅由应该有权访问它们的人访问，只要他们应该有权访问，并且它要求监视用户操作，并对所有用户执行的操作负责。

OWASP基金会(非营利性)致力于通过社区和从其网站轻松访问的免费资源来提高Web应用程序的安全性。在它提供的众多资源中，以“OWASP Top 10”最出名。OWASP Top 10旨在识别和突出 Web 应用程序中十大关键的安全漏洞，并为开发人员和安全专业人员提供必要的指导。OWASP Top 10每隔几年更新一次，最后一次更新是在 2021 年。WebGoatWebGoat 是OWA

目录遍历是一种HTTP漏洞，黑客利用Web服务器上的软件访问服务器根目录以外的目录中的数据。如果尝试成功，威胁参与者可以查看受限制的文件或在服务器上执行命令。这种类型的攻击通常使用web浏览器进行。任何无法验证web浏览器输入数据的服务器都容易受到目录遍历攻击。目录遍历也被称为目录爬升、回溯和文件路径遍历漏洞。目录遍历类似于结构化查询语言注入和跨站点脚本，因为都涉及代码注入。以下技术有助于降低目录

CVE-2023-50164 是 Apache Struts 2 中最近修补的路径遍历漏洞，攻击者正试图利用 CVE-2023-50164 的公共漏洞利用证明 (PoC) 漏洞利用代码。

随着技术的快速发展、云原生系统的快速发展和网络威胁的不断演变，保持领先地位至关重要。缩小漏洞发现和解决漏洞之间的差距，可以最大限度地减少潜在攻击的机会窗口。