18、DevSecOps：构建安全的软件开发与部署体系

DevSecOps：构建安全的软件开发与部署体系

1. 容器安全保障

在软件开发与部署中，容器的使用极为普遍，尤其是 Docker 容器。为确保容器的一致性和安全性，需采取一系列措施。

1.1 定期扫描容器

即使应用处于稳定状态、更新频率降低或开发停止，也应定期扫描容器。因为依赖项可能引入新的安全漏洞，所以只要应用通过容器运行，就必须对容器进行扫描。

1.2 Dockerfile 代码检查

应用的容器由 Dockerfile 定义，可使用代码检查（Linting）进行静态代码分析（SCA），确保 Dockerfile 的安全性。常用的检查工具是 Haskell Dockerfile Linter（Hadolint），可通过以下命令执行：

docker run --rm -i hadolint/hadolint

若代码无误，Hadolint 将返回退出码 0；若发现错误或不良实践，将显示 Hadolint 错误（DL）或 SellCheck 错误（SC）键。常见错误概述可参考：https://github.com/hadolint/hadolint#rules 。

1.3 Docker 安全最佳实践

• 限制 Docker 守护进程访问 ：Docker 使用需要 root 权限的守护进程，存在安全风险。仅允许受信任的用户设置守护进程的控制，同时通过设置 Docker 主机和客户容器的访问权限来限制攻击面，特别是通过 Web 服务器