就个人而言，我喜欢 DevSecOps(安全团队在 Dev 和 Ops 正在执行的整个过程中编织安全性)。由于我的热情，客户经常询问我何时、如何以及在何处注入各种类型的测试和其他安全活动。下面是我为客户提供的用于自动化测试的选项列表(在 DevOps 中有更多的安全工作要做——这只是自动化测试)。他们一起分析列表并根据他们当前的状态决定哪些地方最有意义，并根据他们当前的关注点选择工具。
自动化测试的七个地方
1.在集成开发环境中：
- 几乎像拼写检查器一样检查代码的工具(不确定这叫什么，有时称为 SAST)
- 代理管理和依赖工具，只允许您下载安全包
- API 和其他 linting 工具，解释您在哪里没有遵循定义文件
- 软件组合分析告诉你，也许这些软件包不是那么安全使用
2.预提交挂钩：
Secret scanning——让我们在安全事件发生之前将其阻止。
3.在代码存储库级别：
- 每周任务表：SCA 和 SAST
- Linting
- IAC扫描
4.在管道中：必须快速准确(几乎没有误报)
- Secret scanning - 再来一次!
- 基础架构即代码扫描 (IaC)
- 带有来自 Selenium 的 HAR 文件的 DAST，或者只是被动扫描(无模糊测试)
- SCA(如果你愿意，最好使用与第一次不同的工具)
- 容器和基础扫描，以及它们的依赖关系
- 将基础架构扫描为代码以查找不良策略、配置和缺失的补丁
5.管道外：
- DAST 和模糊测试——每周自动运行!
- VA 扫描/基础设施——应每周进行一次
- IAST — 在 QA 测试和渗透测试期间安装，如果您有信心，也可以在产品中安装。
- SAST——测试每个主要版本或每次大更改后的所有内容，然后对结果进行人工审查。
6.单元测试：
- 进行开发人员的测试并将其转化为负面测试/滥用案例。
- 根据渗透测试结果创建单元测试，以确保我们不会重蹈覆辙。
7.持续：
漏洞管理。您应该将所有扫描数据上传到某种系统中，以寻找模式、趋势和(最重要的)改进。
您不需要做所有这些，甚至不需要做其中的一半。本文的目的是向您展示几种可能性，希望您能利用其中的一些。
