開發者須知的七種免費安全工具
譯文【51CTO.com快譯】不知您是否已注意到：如今的程序員們，已經改變了過去在開發過程中完全無視安全性的狀況。得益于SAST(Static Application Security Testing，靜態應用安全測試)、DAST(Dynamic Application Security Testing，動態應用安全測試)、SCA(Service Component Analysis，軟件組成分析)等脆弱性管理工具，他們在研發的過程中，不斷地將安全性進行“左移(shift-left)”。在為用戶創建各種軟件的同時，他們已能夠自覺地將應用程序的安全性融入到了日常的編程環節之中。
近年來，隨著DevOps及其相關技術在各個領域，特別是軟件行業的落地與實踐，安全相關任務在程序開發中的占比逐步增強。許多開發人員都能夠在軟件開發生命周期(SDL)的更早階段，自行發現和修復產品原型中的各類漏洞。最近，業界甚至有種觀點認為：由于了解手頭代碼的內部復雜性和具體內容，許多開發人員實際上比那些安全專業人員更適合處理應用程序中潛在的安全相關問題，而安全專業人員往往只能從經驗和外部功能上予以分析。
在敏捷和DevOps理念中，“安全左移”是指：在軟件開發的整個生命周期中，將安全性盡可能地推向、并嵌入到左側的開始環節，而不是到了進程的最后，再去考慮安全性問題。因此，這就要求每一位開發人員通過使用恰當的工具，來關注和保證代碼的安全態勢。
鑒于上述特點，我在此為大家收集并羅列了七種免費的安全工具，以便開發人員能夠將它們收納在自己的工具箱之中。
1. Burp Suite
參考鏈接：https://portswigger.net/burp/communitydownload
Burp Suite是一種基于Java的Web滲透測試框架。該框架自帶的各種工具能夠通過無縫的協作方式，來支持整個測試過程。Burp Suite能夠在應用程序的攻擊面上進行各種初始化的映射與分析，進而發現那些可能被利用的安全漏洞。
同時，該工具能夠通過攔截HTTP/S的各種請求，來充當用戶和網站之間的中間人角色。其付費版本提供了一套更為靈活的自動化測試工具，能夠與Jenkins等其他框架相集成。
2. ZED Attack Proxy(ZAP)
由OWASP(Open Web Application Security Project，開放式Web應用程序安全項目)開發的ZAP(或稱Zed Attack Proxy)，是一款多平臺的Web應用安全測試類工具。在開發的過程中，ZAP可以被運用到針對Web應用的各種安全漏洞及測試階段中。由于具有直觀的GUI(Graphical User Interface，圖形用戶界面)，新用戶很容易上手并使用ZAP。同時，該安全測試工具也支持高級用戶使用命令行的方式進行訪問。除了作為漏洞掃描器被使用之外，ZAP還可以作為攔截代理，被用于手動測試網頁的場景中。
3. ModSecurity
參考鏈接：https://www.modsecurity.org/download.html
ModSecurity是一款開源的、基于Web的應用級防火墻(或稱WAF)。它能夠支持諸如Apache、Nginx和IIS等不同的Web服務器。它能夠對Web應用提供一系列針對各類攻擊的保護，并允許用戶進行HTTP流量監控、日志記錄和實時分析。
ModSecurity通常是與開源Web服務器--Apache一起被安裝的。它能夠防御多種基于Web的攻擊，包括代碼注入和暴力攻擊等。同時，ModSecurity可以通過靈活的規則引擎，來執行各種簡繁不等的安全操作。另外，它還自帶有一個包含了：跨站腳本、惡意用戶代理、SQL注入、木馬、會話劫持、以及其他類型漏洞的核心規則集(Core Rule Set，CRS)。
4. WhiteSource Bolt
參考鏈接：https://bolt.whitesourcesoftware.com/
用戶可以從GitHub和微軟Azure的DevOps/TFS處獲取WhiteSource Bolt。如果開發人員能夠在編寫代碼的早期階段使用該工具的話，他們就能夠更早地獲取重要的安全警報，以開發出更加安全的開源組件。
根據那些在GitHub中自動生成的安全警報，用戶可以查看諸如CVE(Common Vulnerabilities & Exposures，公共漏洞和暴露)的參考、CVSS(Common Vulnerability Scoring System，通用漏洞評估方法)的評級、以及相關的修復建議和重要細節。同時，該工具可以為用戶提供在規劃補救方案時所需的其他相關信息，甚至還支持以“里程碑”的方式將發現的漏洞分配給其他團隊的成員。
5. LGTM
參考鏈接：https://github.com/apps/lgtm-com
LGTM是一個能夠通過自動檢查用戶代碼，以獲得確有CVE相關漏洞的變種分析平臺。通過將深層次的語義代碼搜索、與數據科學的洞悉相結合，LGTM能夠以查詢結果相關度排名的方式，僅顯示出那些重要的警報信息。另外，LGTM還可以提供各種來自大型社區的、那些頂級安全研究人員的經驗分析。這些都有助于開發人員交付出安全的程序代碼。
6. Find Security Bugs
參考鏈接：https://find-sec-bugs.github.io/
FSB是FunBugs靜態代碼分析工具的一個免費插件。其特長是能夠通過檢索Bug的特征模型，來查找代碼中的安全問題。它可以被用來掃描Java Web應用、Android應用、以及Scala與Groovy等應用程序。由于它是從字節碼級別進行分析的，因此它并不對源代碼進行強制性的分析。FSB可以被集成到諸如IntelliJ、Eclipse和Android Studio等大多數Java IDE(Integrated Development Environment，集成開發環境)之中，并能夠提供諸如Jenkins或SonarQube之類的連續性集成。
7. Skipfish
參考鏈接：https://tools.kali.org/web-applications/skipfish
作為一款Web應用的安全工具，Skipfish能夠通過“爬取”用戶的網站，以檢索出每個頁面上潛在的各類安全威脅，進而提供最終的安全報告。同時，它能夠最優化HTTP的處理，并最小化CPU的占有。
通過執行遞歸式的爬取和基于字典式的探測，Skipfish能夠為用戶提供針對目標網站的交互式站點地圖。這些地圖都帶有主動式安全檢查的結果標注。因此，由該工具所生成的最終報告，可以作為專業評估Web應用安全性的基礎性依據。
安全性最佳實踐的重要性
隨著各類企業對于軟件產品安全性的持續關注，我們的研發團隊應當在整個SDLC中，將恰當的管控工具與各種優秀的實踐相結合，通過不斷的迭代與改進，進而保障各類Web應用的安全態勢。
原文標題：7 Free Security Tools That All Developers Will Want in Their Toolbox，作者：Zev Brodsky
【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】
