在CI/CD框架中保障安全性是一个复杂但至关重要的任务。以下是一些关键步骤和最佳实践，可以帮助确保CI/CD框架的安全性：
创建健康开发环境
- 威胁建模：从攻击者视角出发，识别潜在的攻击类型和区域，并制定相应的缓解措施。
- 软件组件（SLSA）级别评定：在软件项目的规划阶段，使用SLSA框架来确定CI/CD管道的安全性。
提升代码的安全可见性
- 软件组合分析（SCA）：对所有代码的安全性进行检测和分析。
- 软件物料清单（SBOM）：记录软件系统各组件的所有代码及其关联性和交互性。
- 静态应用程序安全测试（SAST）：检查应用程序源代码、汇编代码、字节码和二进制文件是否存在安全漏洞。
进行充分的安全性验收测试
- 动态应用程序安全测试（DAST）：模拟真实的攻击行为，从外到内进行安全性验证和分析。
- 容器扫描：对于使用容器开发模式的团队，使用容器扫描工具检查安全性。
开展持续的安全监控
- 身份和访问管理（IAM）：确保用户访问权限和级别的正确管理，防止未经授权的访问。
- 基于风险的安全监控：将应用系统风险管控落实到软件开发流程的每个阶段。
通过实施上述措施，可以显著提高CI/CD框架的安全性，保护软件供应链免受攻击。
