為了將安全性和合規(guī)性分析引入給開發(fā)人員，IBM已將其代碼風(fēng)險分析器功能添加到其IBM Cloud Continuous Delivery服務(wù)中。
IBM將代碼風(fēng)險分析器描述為一種安全措施，可以將其配置為在開發(fā)人員的代碼管道開始時運行，以分析和查看Git存儲庫以發(fā)現(xiàn)開源代碼的問題。目的是幫助應(yīng)用程序團隊識別網(wǎng)絡(luò)安全威脅，確定應(yīng)用程序安全問題的優(yōu)先級并解決安全問題。IBM Cloud Continuous Delivery幫助供應(yīng)工具鏈，自動化測試和構(gòu)建以及通過分析控制軟件質(zhì)量。
IBM表示，隨著微服務(wù)和容器等云原生開發(fā)實踐改變了安全性和合規(guī)性流程，集中式運營團隊管理應(yīng)用程序的安全性和合規(guī)性不再可行。開發(fā)人員需要諸如Code Risk Analyzer之類的云原生功能才能嵌入到現(xiàn)有工作流程中。代碼風(fēng)險分析器可幫助開發(fā)人員確保例行工作流程的安全性和合規(guī)性。
在開發(fā)Code Risk Analyzer時，IBM調(diào)查了IT組織在構(gòu)建和部署應(yīng)用程序以及供應(yīng)和配置Kubernetes基礎(chǔ)架構(gòu)和云服務(wù)中使用的源工件?，F(xiàn)有的云解決方案在整個源代碼范圍內(nèi)提供有限的安全控制，包括對應(yīng)用程序清單進行漏洞掃描。因此，有必要設(shè)計一個包含跨工件的安全性和合規(guī)性評估的解決方案。
Code Risk Analyzer掃描基于Git的Python，Node.js和Java代碼的源代碼存儲庫，并對部署配置執(zhí)行漏洞檢查，許可證管理檢查和CIS（Internet安全中心）合規(guī)性檢查，并生成“材料清單”對于所有依賴項及其來源。掃描用于預(yù)配置云服務(wù)（例如Cloud Object Store）的Terraform文件，以查找任何安全性錯誤配置。
IBM試圖將安全控制納入NIST或CIS等標(biāo)準(zhǔn)中，并在向用戶介紹新的安全實踐的同時拉平學(xué)習(xí)曲線。通過提供可操作的反饋，開發(fā)人員無需了解安全性定義和策略。
