摘要
新式应用程序在很大程度上依赖于开源和第三方组件，从而对手动流程无法充分解决的安全性和合规性挑战。 软件组合分析提供了用于发现依赖项、检测漏洞、验证许可证符合性以及在整个开发生命周期内维护安全软件供应链的自动化工具和做法。
关键结论
本模块探讨了如何在 DevOps 工作流中实施全面的软件组合分析实践：
了解依赖项风险：
- 依赖项爆炸： 新式应用程序间接依赖于数百个软件包，无法手动跟踪。
- 漏洞泄露： 每年披露数千个新漏洞，需要持续监视。
- 许可证义务： 开放源代码许可证规定了必须跟踪和满足的法律要求。
- 供应链攻击： 泄露的依赖项可能会将恶意软件引入应用程序。
实现检查和验证：
- 依赖项清单： 创建记录所有依赖项的完整软件材料清单（SBOM）。
- 漏洞检测： 根据 CVE 数据库和安全公告匹配依赖项。
- 许可证符合性： 标识许可证并验证符合组织策略。
- 质量评估：评估依赖项维护状态和社区健康状况。
利用软件成分分析：
- 自动发现： SCA 工具自动分析清单、锁定文件和二进制文件以发现依赖项。
- 持续监视： 当新漏洞影响现有依赖项时，实时警报。
- 修正指南： 特定版本建议和自动生成的拉取请求修复安全漏洞。
- 策略强制： 灵活策略阻止构建或部署违反安全或合规性标准。
使用 GitHub Dependabot：
- 漏洞警报： 在存储库中检测到易受攻击的依赖项时自动通知。
- 安全更新： 自动拉取请求将易受攻击的依赖项更新到修补的版本。
- 版本更新： 计划更新会根据可配置的策略使依赖项保持最新状态。
- 集成： 原生 GitHub 集成支持拉取请求工作流和 CI/CD 管道。
将 SCA 集成到管道中：
- 拉取请求验证： 在合并之前扫描依赖项更改，以防止引入漏洞。
- 生成时扫描：在 CI 生成期间使用质量门进行全面的依赖项分析。
- 发布入口： 预部署验证可确保仅符合标准的项目到达生产环境。
- SBOM 生成： 创建用于合规性和漏洞跟踪的软件材料清单组件。
评估 SCA 工具：
- 商业平台： Mend、Snyk、Black Duck、JFrog Xray、Sonatype Nexus 生命周期提供全面的功能、自动化和支持。
- 开源工具： OWASP Dependency-Check 在没有供应商锁定的情况下提供免费的基本漏洞检测。
- 原生集成：GitHub Dependabot 为 GitHub 存储库提供零配置的软件组合分析（SCA）。
- 选择条件： 根据漏洞检测准确性、许可证符合性特征、集成功能、技术覆盖率和总拥有成本选择工具。
保护容器映像：
- 多层漏洞： 容器映像包含需要扫描的基本映像包和应用程序依赖项。
- 注册表扫描： 持续扫描容器注册表中的映像可检测新披露的漏洞。
- 生成时验证： 在映像生成期间扫描可防止易受攻击的映像到达注册表。
- 运行时监视： 扫描部署的容器可检测生产环境中的漏洞。
- 最佳做法： 使用最少的基本映像、实现多阶段生成、提前扫描和经常扫描，并自动进行修正。
解释扫描程序警报：
- CVSS 评分： 常见的漏洞评分系统提供 0-10 的标准化严重性分级。
- 可利用性评估： 考虑利用可用性、主动利用和攻击面可访问性。
- 误报管理：系统性地调查误报并使用抑制文件进行记录。
- 基于风险的优先顺序： 根据严重性、可利用性、资产关键性和环境因素确定漏洞的优先级。
- 安全 bug 栏： 定义在发布之前必须满足的最低安全标准。
实际实现
成功的软件组合分析实现遵循经过验证的模式：
从可见性开始：
- 初始清单： 针对所有应用程序运行 SCA 工具，以了解当前的依赖项环境。
- 漏洞评估： 确定需要修正的现有漏洞。
- 许可证审核： 记录许可证义务并识别合规性问题。
- 基线指标： 建立度量一段时间内改进的指标。
定义策略：
- 安全策略： 定义可接受的漏洞严重性和修正时间范围。
- 许可证策略： 指定允许、受限和禁止的许可证。
- 质量标准： 设置对依赖项维护和社区健康的预期。
- 异常进程： 创建工作流以接受记录的风险。
自动扫描：
- 开发人员工作站： 将 SCA 扫描集成到 IDE 中以获取实时反馈。
- 拉取请求验证： 在合并之前自动扫描依赖项更改。
- CI/CD 管道：在生成期间运行全面扫描并通过策略强制执行。
- 生产监视： 持续监视已部署的应用程序是否存在新披露的漏洞。
启用修正：
- 自动更新： 使用 GitHub Dependabot 等工具自动创建用于修复漏洞的拉取请求。
- 明确指导： 为开发人员提供特定的修正步骤和替代软件包建议。
- 优先级： 将修正工作集中在构成实际风险的漏洞上，而不是追逐每个警报。
- 进度跟踪： 根据定义的 SLA 监视修正进度。
衡量和改进：
- 跟踪指标： 监视漏洞计数、修正平均时间和 SLA 符合性。
- 趋势分析： 确定改进趋势和新兴漏洞模式。
- 团队教育： 针对安全依赖项选择和漏洞修正培训开发人员。
- 流程优化： 根据体验和指标持续改进策略和做法。
业务价值
实现软件组合分析可提供可衡量的业务价值：
风险降低：
- 漏洞防护： 在漏洞被利用之前，主动解决漏洞。
- 供应链安全性： 通过依赖项监视检测和防止供应链攻击。
- 事件避免： 防止安全漏洞由易受攻击的依赖项引起。
- 合规性保证： 维护许可证符合性，避免法律责任。
成本节省：
- 早期检测：在开发期间发现漏洞的成本明显低于违规后的补救。
- 自动化过程： SCA 工具可自动执行手动安全评审流程，降低劳动力成本。
- 减少事件： 防止安全事件避免违反成本（修正、罚款、声誉损害）。
- 高效修正： 自动修正和明确的指导可缩短修复漏洞所需的时间。
开发速度：
- 左移安全：早期集成安全性可减少后期延迟。
- 自动化工作流： 持续自动扫描可消除手动安全瓶颈。
- 明确政策： 完善的安全标准定义能够降低决策开销。
- 信心： 全面的扫描可以更快、更自信地发布。
软件组合分析将依赖项安全性从被动事件响应转换为主动风险管理。 通过实现自动扫描、策略驱动的验证和系统修正工作流，组织可以自信地利用开源组件，同时保持可靠的安全性和合规性态势。 随着应用程序继续更多地依赖于外部依赖项，SCA 功能成为安全 DevOps 实践的基本基础。