devsecops/awesome-devsecops
コミュニティの実験と貢献によって作成された、優れたDevSecOpsツールの権威あるリスト。
GitHub のawesome-* トレンドに触発されました。これは、DevSecOps のミッションを支援するドキュメント、プレゼンテーション、動画、トレーニング教材、ツール、サービス、および一般的なリーダーシップのコレクションです。これらは、DevSecOps の実験を計画したり、独自の DevSecOps プログラムを構築するのに役立つ、基本的な構成要素とヒントです。
このリストは完全なものではなく、DevSecOps の成熟に伴い変化します。コミュニティが DevSecOps の実装と採用について学び、改善するにつれて、成長し変化する素晴らしいリストであることを意図しています。このリストに含まれるためには、情報、ツール、ベンダー、またはイニシアチブが、DevSecOps のミッションに役立つ無料またはオープンソースの機能を提供している必要があります。商用の側面につながるリンクは (P) で示しています。
目次 DocToc により生成
私たちは業界全体で、さまざまなタイプの DevOps + セキュリティイニシアチブについて学ぶために取り組んできました。このコレクションはまとめられたもので、ポッドキャスト、動画、プレゼンテーション、およびその他のメディアが含まれており、DevSecOps、SecDevOps、DevOpsSec、または DevOps + セキュリティについてさらに学ぶのに役立ちます。
私たちは紙ベースのやり方は好みませんが、健全なアドバイスと良い推奨事項を共有することで、ソフトウェアをより強固にすることができます。これらのガイドラインをコードを通じてより良いものにすることを目指しています。
現在、多くの講演がセキュリティを DevOps 環境に追加するという変化をターゲットにしています。ここでは最も注目すべきものをいくつか追加しました。
セキュリティとコンプライアンスを DevOps に移行するためのさまざまなイニシアチブが進行中です。ここではアクティブなプロジェクトへのリンクを掲載しています。
私たちは、DevSecOps を実践する人々がスキルや洞察を共有しているメーリングリストやニュースレターの宝庫を発見しました。
人々が能力を進化させ、共通理解を共有し続けるための 1 つの方法は、Wardley マップの開発です。この情報を収集し、ここに良い例をいくつか提供しています。
DevSecOps には学習への意欲と、新しいスキルを迅速に習得するための敏捷性が必要です。これらのリンクは、私たちと一緒に DevSecOps を行う方法を学ぶのに役立つようにまとめられています。
ラボは、Dev、Sec、Ops のスキルを向上させるための実践的な学習機会です。すべてのスキルが有用であり、DevSecOps スタイルで運用するための共感、知識、技術を身につけるために成長させる必要があります。
セキュリティのミスによって脆弱なままのアプリケーションを破壊する方法を学ぶことで、知識を構築することが重要です。このセクションには、何をすべきでないかを学ぶためにデプロイできる脆弱なアプリケーションのリストが含まれています。同じアプリケーションは、意図的な脆弱性を修復して、攻撃者が基盤となるインフラストラクチャやデータにアクセスするのを防ぐ方法を学ぶために安全にすることができます。
DevOps とセキュリティを組み合わせるための知識体系は、カンファレンスやミートアップを通じて提供されてきました。これは、アジェンダの一部をそれに割り当てた会場の短いリストです。
DevOps とセキュリティに関するポッドキャストの小規模なコレクションです。
DevSecOps に焦点を当て、セキュリティの重視を前面に押し出した書籍。
このツールのコレクションは、DevSecOps プラットフォームの確立に役立ちます。ツールを DevSecOps のさまざまな部門に役立ついくつかのカテゴリに分類しました。
可視化は、創造プロセスの開始から運用に至るまでに渡るセキュリティ情報を識別、共有、進化させるための重要な要素です。
自動化プラットフォームには、セキュリティ上の欠陥が明らかになったときにスクリプトによる修復を提供するという利点があります。
このツールリストは、セキュリティ異常を見つけ、自動化してスケール要求をサポートするために拡張すべきルールを特定するために必要な機能を提供します。
テストは DevSecOps プログラムの不可欠な要素です。なぜなら、チームが Rugged な運用に備え、セキュリティ上の欠陥が悪用される前に特定するのに役立つからです。
重要なものを発見したら、応答時間は重要であり、セキュリティ欠陥を修復するために必要なインシデント対応に不可欠です。これらのリンクには、アラートと通知を提供するプロジェクトの一部が含まれています。
世界には多くの脅威インテリジェンスのソースがあります。一部は IP インテリジェンスから、その他はマルウェアリポジトリから来ています。このカテゴリには、脅威インテリジェンスをキャプチャして照合するのに役立つツールが含まれています。
DevSecOps には、高速かつ大規模に行える共通の攻撃モデリング機能が必要です。ありがたいことに、攻撃モデリングと防御を運用化するのに役立つこれらの有用な分類法を作成する取り組みが進行中です。
セキュリティをコードとしてサポートするには、機密性の高い認証情報やシークレットを自動化で管理、保護、維持、ローテーションする必要があります。以下のプロジェクトは、フルスタックソフトウェアデプロイメントの構築とデプロイに使用される機密詳細を保護するための良いオプションを DevOps チームに提供します。
これらは、レッドチームおよびウォーゲーム演習中に役立つツールです。このセクションのプロジェクトは、偵察、エクスプロイト開発、およびキルチェーン内で一般的なその他の活動に役立ちます。
DevSecOps の発見を容易にすることは、すべての API とコマンドラインツールがあってもすでに困難です。このリストは、フローチャート、グラフ、またはマップを介して作業を可視化するツールを提供します。
知識を共有し、ストーリーを伝えるのに役立つツールのコレクション。
組織で行える最大の変化の 1 つは、境界のないコミュニケーションです。チャットオプスを設定することで、全員が集まり問題を解決できるようになります。
