DevSecOps 融合了开发、安全和运营，代表了一种在应用程序或软件开发生命周期的每个阶段都根深蒂固的安全措施的方法。其主要目标是自动化安全协议并减少漏洞，与 IT 和业务实体的安全性和合规性目标保持一致。通过在开发周期的早期嵌入安全措施，并将其与持续集成、持续交付和持续部署 （CI/CD） 管道无缝集成，DevSecOps 使组织能够确保其应用程序的强大安全性。
接下来，我们将介绍一些流行的 DevSecOps 工具。
01 Xmirror 悬镜安全
悬镜安全（https://www.xmirror.cn）起源于北京大学网络安全技术研究团队“XMIRROR”，专注于以“AI智能代码疫苗”技术为内核，凭借原创专利级“全流程数字供应链安全赋能平台+敏捷安全工具链”的第三代DevSecOps智适应威胁管理体系，协助行业用户建立DevSecOps CI/CD黄金管道，利用关键技术（IAST交互式应用安全测试、SCA第三方组件成分分析、RASP运行时应用自保护等）实现CI/CD工具链自动化，通过识别漏洞，实现漏洞信息统一规范性命名与标准化描述，及时修复漏洞为业务保驾护航。
02 GitLab
GitLab（https://about.gitlab.com）起初是 GitHub 的开源替代品，专注于开发者的版本控制和协作。多年来，它已发展成为一个全面的 DevSecOps 平台，将安全直接嵌入软件开发的生命周期。2024 年 3 月，GitLab 收购了专门从事云原生应用安全和风险管理的 Oxeye 公司，这表明它们进一步加强了对安全的关注。
GitLab 收购 Oxeye：https://about.gitlab.com/press/releases/2024-03-20-gitlab-acq...
03 Snyk
Snyk（https://snyk.io）是一个以开发者为先的安全平台，专注于将安全集成到开发工作流中，使团队能够在整个软件开发生命周期（SDLC）中识别和修复漏洞。
作为 DevSecOps 领域的重要参与者，Snyk 将自动安全检查直接嵌入编码、构建和部署流水线，在开发者和安全团队之间架起了一座桥梁。通过在集成开发环境、CI/CD 流水线和资源库中提供实时反馈，Snyk 的平台使开发者能够在不中断工作流程的情况下掌握安全的主动权。
Snyk 还通过收购扩展其能力。2024 年，它收购了 Probely 和 Helios。
同领域的其他选择：
JFrog（https://jfrog.com）
Sonar（https://www.sonarsource.com）
04 HashiCorp Terraform + Vault
HashiCorp Terraform 和 Vault 是 DevSecOps 领域的强大组合，可将安全性嵌入基础架构配置和机密管理。
Terraform（https://www.terraform.io）通过声明式代码实现跨云提供商、数据中心和服务的基础设施的自动配置、修改和管理。它能实现一致且可重复的基础架构部署，同时最大限度地减少人为错误。
Vault（https://www.vaultproject.io）通过统一界面管理机密和敏感数据，在分布式基础架构和应用之间提供动态机密、数据加密和基于身份的访问。
将 Terraform 和 Vault 结合使用，可以创建安全、自动化，遵循 DevSecOps 原则的基础架构流水线。
Terraform 使用 IaC 配置云资源（如 AWS EC2、RDS）和服务。
配置过程中，Terraform 会动态地从 Vault 获取机密，确保 Terraform 代码或资源库中不存储静态凭据。
哨兵策略会在部署前验证基础架构合规性，确保所有资源符合安全要求。
Vault 在部署后继续管理机密，动态轮换机密并防止未经授权的访问。
同领域的其他选择：
Pulumi（https://www.pulumi.com）
Infisical（https://infisical.com）
05 Cortex
Cortex（https://www.cortex.io）是一个内部开发者门户（IDP），旨在提高整个开发工作流程的可视性、治理和安全性，使开发、安全和运维团队保持一致，以确保合规性并提高系统弹性。
Cortex 与上述 Sonar、Snyk 等工具集成（https://www.cortex.io/integrations），在 CI/CD 流水线中嵌入了安全检查。
同领域的其他选择：
Backstage（https://backstage.io）
**粗体** _斜体_ [链接](http://example.com) `代码` - 列表 > 引用。你还可以使用@来通知其他用户。