DevSecOps：
將安全植入自動化流程

在傳統的開發流程中，安全檢查通常發生在最後一刻。想像一下：你花了三週開發新功能，程式碼已經準備好上線，QA 也測過了，結果資安部門突然說：「這段程式碼有 SQL Injection 風險，還有三個過時的套件有嚴重漏洞，不能部署。」

這就是為什麼我們需要 DevSecOps。它的核心理念是 「左移 (Shift-Left Security)」 —— 從寫下第一行程式碼開始，就把安全性整合到自動化流程中。

SAST (Static Analysis Security Testing) 就像是資安版的 Linter。它不需要執行程式碼，而是直接掃描源碼，尋找不安全的寫法。

為什麼 SAST 很重要？

它可以抓到常見的人為錯誤，例如：

// 極度危險！直接拼接字串
const query = "SELECT * FROM users WHERE id = '" + userInput + "'";
db.execute(query);

// 安全：使用參數化查詢
const query = "SELECT * FROM users WHERE id = ?";
db.execute(query, [userInput]);

在 GitHub Actions 中，我們可以使用開源工具如 SonarQube 或 Semgrep 來自動執行：

name: Security Scan
on: [push, pull_request]

jobs:
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Semgrep
        run: |
          docker run --rm -v "$(pwd):/src" returntocorp/semgrep semgrep             --config=p/default             --error

現代應用程式 80% 的程式碼其實來自開源套件。你可能寫了完美的程式碼，但如果你依賴的 npm 套件有後門或漏洞，你的整個系統都是脆弱的。

SCA (Software Composition Analysis) 會比對你的依賴清單（如 package.json）與全球漏洞資料庫 (CVE)。

手動執行掃描：

# Node.js 內建檢查
npm audit

# 使用 Snyk (業界常用工具)
snyk test

這是最常見的慘案：工程師不小心把 AWS Access Key 或 Database Password 寫在程式碼裡，然後 `git push` 到公開倉庫。
駭客通常在 1 分鐘內就會掃描到並盜用你的帳號。

我們可以使用 gitleaks 這樣的工具，在 CI 流程中阻斷包含敏感資訊的提交：

name: Secret Scan
on: [push]
jobs:
  gitleaks:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - uses: gitleaks/gitleaks-action@v2
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

在 DevOps 世界，我們把程式碼包進 Docker Image。但如果你的 Base Image (例如舊版的 Ubuntu 或 Node) 本身就有漏洞呢？

我們需要掃描 Docker Image。這兩年最受歡迎的工具是 Trivy。它不僅能掃描 OS 漏洞，還能檢查配置錯誤。

# 掃描本地 Image 的漏洞
trivy image my-app:latest

# 只顯示「嚴重 (Critical)」等級的漏洞，並產生 JSON 報告
trivy image --severity CRITICAL --format json --output results.json my-app:latest

現代 DevOps 使用 Terraform, Kubernetes (K8s) 或 CloudFormation 來定義機器。
如果你的 S3 Bucket 被設定成「公開讀取」，或者你的 K8s Pod 擁有過大的權限，這就是嚴重的安全威脅。

實戰範例：使用 Checkov 掃描 Terraform

Checkov 是一個強大的開源工具，可以在你部署到 AWS 之前，先檢查你的設定檔是否符合資安最佳實踐。

# 安裝 Checkov
pip install checkov

# 掃描目前的目錄
checkov -d . --check CKV_AWS_20,CKV_AWS_52

2021 年的 **SolarWinds** 案告訴我們：即便程式碼沒問題，如果駭客攻進了你的 **CI/CD Server (GitHub Actions/Jenkins)**，他們就能在打包時偷偷塞進木馬。

# 使用 Syft 產生 SBOM
syft my-app:latest -o json > sbom.json

# 檢視所有依賴套件與版本
cat sbom.json | jq '.artifacts[].name'

與 SAST 不同，DAST (Dynamic Analysis Security Testing) 是在應用程式「執行中」進行掃描。它不知道你的程式碼長怎樣，而是像駭客一樣從外面發送請求。

在 CI/CD 中，我們通常在部署到 Staging 環境後，自動觸發掃描：

# 使用 Docker 執行快速掃描
docker run -t owasp/zap2docker-stable zap-baseline.py \
    -t https://staging.chullin.tw \
    -r report.html

DevSecOps 不只是一堆工具的堆疊，而是一種文化的轉變。身為軟體工程師，我們有責任寫出安全的程式碼，而身為 DevOps 工程師，我們有責任建立一個「讓安全變得簡單」的自動化流程。