OWASP DevSecOps 指南

OWASP DevSecOps 指南阐述了如何实施安全流水线、采用最佳实践，并引入可用于此目的的工具。此外，该项目还致力于帮助我们在开发流程中推广“安全左移”文化。 该项目可帮助任何规模、拥有开发流水线（换言之，拥有 DevOps 流水线）的公司。 在本项目中，我们尝试描绘安全 DevOps 流水线的愿景，然后根据我们的定制化需求对其进行改进。

理想目标是 “尽早发现安全问题（无论是设计缺陷还是应用漏洞）。”

指南的组织方式

本指南围绕三大支柱构建：

• 人员 — 团队、角色、文化与培训。
• 流程 — 融入每个 SDLC 阶段的安全活动：设计、开发、构建、测试、发布、部署、运营。
• 治理 — 合规、策略即代码、报告、ASPM 与 AI 治理。

当前版本已针对 2025/2026 年进行更新，并与 NIST SSDF、OWASP SAMM、OWASP DSOMM 和 SLSA 等框架保持一致。请参阅下方的目录，或浏览当前版本。

初始步骤

DevSecOps 的核心就是将安全融入 DevOps。但为了跟上 CI/CD 的节奏，安全必须在软件编写和测试的早期就注入其中。

OWASP 主动控制列出了每位开发人员在编写任何应用时都必须实施的十大安全控制措施。当你需要在 DevSecOps 周期中设计、编写或测试代码时，可将这组控制措施视为起点。

你也可以遵循 OWASP 软件保障成熟度模型（SAMM），根据你的成熟度级别来确定安全需求（以及更多内容）应考虑哪些方面。

流水线中应添加的内容

首先，我们考虑在基础流水线中实施以下步骤：

• 扫描 git 仓库以发现潜在的凭据泄露。
• SCA（软件成分分析）
• SAST（静态应用安全测试）
• IaC 扫描（扫描 Terraform、HelmChart 代码以发现错误配置）
• 软件供应链安全（SBOM、制品签名与来源证明、CI/CD 流水线安全）
• IAST（交互式应用安全测试）
• API 安全
• DAST（动态应用安全测试）
• CNAPP（云原生应用保护）
• 基础设施扫描
• 来自其他工具的持续扫描
• 合规检查与策略即代码
• 安全门禁（阻止高风险构建和发布的质量门禁）
• 集中式报告与 ASPM（应用安全态势管理）
• AI/LLM 安全与 AI 治理（保护 AI 辅助开发和 AI 驱动的功能）

我们可以根据自身的软件开发生命周期（SDLC）或软件架构来定制流水线的步骤，如果刚刚起步，还可以逐步添加自动化。例如，我们可以从 SAST/DAST 切换到内置安全控制的常规测试套件，或者添加一个审计脚本来检查已知的易受攻击依赖项。

CI/CD 是 SecOps 的优势，也是安全措施和控制的特权入口点。 然而，在使用 CI/CD 工具提供自动化时，请记住这些工具本身往往会扩大你的攻击面，因此要在构建、部署和自动化软件上设置安全控制。

---

目录

• 0-Intro
  • 0-1-Intro
  • 0-2-Overview
  • 0-3-Frameworks-and-Standards
  • 0-4-Regulatory-Mapping-CRA-NIS2-SSDF
• 1-People
  • 1-1-Shape-the-team
    • 1-1-1-Security-champions
    • 1-1-2-Roles-and-Responsibilities
    • 1-1-3-Security-champions-playbook-templates
  • 1-2-Training
    • 1-2-1-Secure-coding
    • 1-2-2-Security-CICD
    • 1-2-3-Security-culture-and-awareness
• 2-Process
  • 2-1-Design
    • 2-1-1-Threat-modeling
    • 2-1-2-Secure-design-and-requirements
  • 2-2-Develop
    • 2-2-1-Pre-commit
      • 2-2-1-1-Pre-commit
      • 2-2-1-2-Secrets-Management
      • 2-2-1-3-Linting-code
      • 2-2-1-4-Repository-Hardening
    • 2-2-2-IDE-and-AI-assisted-development
    • 2-2-3-Secure-Code-Review
    • 2-2-4-Developer-Workstation-and-Dev-Container-Security
    • 2-2-5-AI-Agent-and-MCP-Security
  • 2-3-Build
    • 2-3-1-Static-Analysis
      • 2-3-1-1-Static-Application-Security-Testing
    • 2-3-2-Software-Composition-Analysis
      • 2-3-2-1-Software-Composition-Analysis
      • 2-3-2-2-Dependency-Management-and-Cooldown-Policies
    • 2-3-3-Container-Security
      • 2-3-3-1-Container-Scanning
      • 2-3-3-2-Container-Hardening
    • 2-3-4-Infrastructure-as-Code-Security
      • 2-3-4-1-Infrastructure-as-Code-Scanning