藉由 Lucent Sky AVM 的自動化來建立 DevSecOps
DevOps 讓企業和組織能以極快的速度將程式碼的變更佈署至生產環境。隨著上線時程成為重要指標，開發和安全團隊必須用最快的方式發現和修正安全問題。自動弱點修正工具如 Lucent Sky AVM 能降低弱點修正時間（MTTR），讓安全軟體開發流程變得更高效並建立「讓每個環節都安全」的 DevSecOps文化。
什麼是DevSecOps？
就像 DevOps 結合了開發（development）及營運（operations）一樣，DevSecOps 將安全性整合到軟體開發流程的每個階段。這並不是要在開發與作業之間增加一個單獨的安全步驟，而是要採用「左移安全性」（shift-left security）的方式，在早期就將安全納入整個流程中並持續進行。
左移安全性的核心是自動化。透過自動化安全測試，企業和組織可以在每次程式碼提交或組建時發動掃描。這可讓開發者及早發現並修正弱點，而不會減慢交付速度。
將靜態檢測（SAST，又稱原始碼檢測）、軟體組成分析（SCA）、動態測試（DAST）等工具整合到 CI 管道中，有助於及早發現弱點、縮短平均修正時間（MTTR）、改善法規遵循，以及支援安全的敏捷開發。對於必須在快速交付與法規要求之間取得平衡的團隊而言，Lucent Sky AVM 等自動化安全工具對於建立一個可擴展 DevSecOps 實務是不可或缺的。
在開發階段使用 Lucent Sky AVM
在開發階段，Lucent Sky AVM 可以整合到 CI 流程中，在變更提交到原始碼控制時自動掃描程式碼。與傳統的 SAST 工具不同，它使用脈絡分析（contextual analysis）來提供更精確的結果，並顯著減少誤判的比率。
其專利的自動修正演算法可產生「Instant Fix」 — 安全、可直接上線的替換程式碼。開發者可以逐一檢視或整批套用這些修正，然後繼續進行測試。
除了 CI 整合之外，Lucent Sky AVM 還能在 Visual Studio、Eclipse 和 IntelliJ 等熱門 IDE 中運作。這可讓開發者直接在其熟悉的開發環境中評估和修正安全弱點。無論是在 CI 管道還是 IDE 中使用，Lucent Sky AVM 都能幫助開發者在弱點被引入時即對其進行識別並修正，確保只有安全的程式碼才能在 CI 管道中繼續前進。
在組建階段使用 Lucent Sky AVM
對於需要編譯的應用程式（例如使用 .NET、C++ 或 Java 開發的應用程式），Lucent Sky AVM 可整合至 CI 管道的組建階段。它可以分析 .dll、.elf、.exe、 和 .jar 檔案等組建成品，以偵測二進位檔案中的安全弱點。
使用混成分析，Lucent Sky AVM 結合了程式碼與二進位分析，以提高掃描的涵蓋範圍與精確度。它的修正演算法甚至可以產生「Instant Fix」來修正在二進位檔案中發現的弱點，讓開發者可以有效率地處理問題。對於沒有程式碼的第三方函式庫或外部開發的程式，它可以精確地指出弱點所在的指令碼。
由於許多應用程式會在組建階段引入第三方元件，因此這也是進行軟體組成分析（SCA）的理想時機。Lucent Sky AVM 可在程式碼、二進位檔案、和組態檔案中執行單層級和多層級相依性分析。它可以識別軟體元件，並根據公開弱點資料庫和專有的即時情報進行檢查。當發現弱點時，修正演算法會針對應用程式的相容性情境提供更新指引，協助開發者放心地升級軟體元件至安全版本。
在測試階段使用 Lucent Sky AVM
當開發團隊和利害關係人進行功能測試和驗證時，Lucent Sky AVM 可以對最終的軟體成品執行安全測試。除了驗證應用程式安全狀態（application security posture）外，它還可以產生幫助安全佈署和法規遵循的證明（attestations）。
常見的證明包括：
- 數位簽章的安全測試報告： 這些報告詳述軟體元件的內容、執行的安全測試，以及發現的任何問題。這些報告可作為合規性的稽核追蹤。
- 軟體物料清單（SBOM）： 以 SPDX 或 CycloneDX 格式提供，SBOM 包含軟體成品中發現的軟體元件的詳細資訊，例如其製造商、供應商、識別簽章和授權等。
這些證明對於符合歐盟資訊安全韌性法案（EU Cybersecurity Resilience Act，CRA）和美國 14028 號行政命令等法規的要求至關重要。此外，這些證明還能提供清楚、可執行的軟體組成與安全狀態資訊，有助於縮短資訊安全事件中，從發現弱點到完成修正的時間。
DevSecOps 實作：金融服務業的成功故事
平衡資訊安全與上線時間是現代開發團隊的共同挑戰。然而，藉由將適合的自動化工具整合至安全軟體開發流程中，組織就能在不影響安全性或合規性的情況下加速軟體交付。
例如，亞太地區一家大型商業銀行自 2014 年以來一直使用傳統的 SAST 工具來滿足法規要求。然而，掃描時間長和誤判率高成為主要瓶頸 — 尤其是在該銀行 250 人的 IT 部門採用 DevOps 之後。
在評估期間，與既有的 SAST 工具相比，Lucent Sky AVM 的掃描速度提高了 40%，結果中偽陽性（false positives，又稱誤判）和偽陰性（false negatives，又稱漏判）則降低了 90%。DevOps 團隊將 Lucent Sky AVM 整合到他們的 CI 管道中，在開發、組建、和測試階段執行掃描。有了自動化的弱點修正，該銀行的 IT 部門將程式碼變更至上線的平均時程從兩週縮短到三天。
自動化識別及修正弱點是DevSecOps 成功之鑰
Lucent Sky AVM 透過自動偵測和修正程式碼、二進位檔案和第三方元件中的弱點，讓團隊能夠將安全性嵌入軟體開發流程的每個階段 。
準備好要導入更高效的 DevSecOps 了嗎？請與我們連絡，了解 Lucent Sky AVM 如何幫助你的團隊加速應用程式安全流程。
連絡我們