本文來源：about.gitlab.com
作者：Sandra Gittlen
譯者：極狐(GitLab) 市場部內容團隊

應用程序安全測試（AST）對於應用程序研發來説，是一個正在快速發展並且十分重要的領域。DevOps 方法論提到：需要將測試集成到開發人員的工作流中。GitLab 相信在軟件研發中，AST 越成熟，應用程序就會越安全，同時企業也能夠更容易滿足合規要求。相信 DevSecOps 平台化戰略，也就是將安全嵌入到 DevOps 生命週期即從計劃到上線全過程，能夠比傳統應用程序安全測試，提供更高的效率和價值。

2022 年 Gartner 應用程序安全測試魔力象限中，GitLab 位列挑戰者象限。根據 Gartner 的説法：“支撐企業落地實踐 DevSecOps 以及雲原生轉型，是 AST 市場發展的主要驅動力。”

這是 GitLab 連續三年在 Gartner 應用程序安全測試魔力象限中獲得認可。

“我們很高興看到，將安全嵌入 DevOps 工作流程這種獨特方法，具有持續的發展勢頭。”GitLab 產品管理總監 Hillary Benson 表示，“我們相信，挑戰者魔力象限的認可，代表市場對 DevSecOps 方法和價值的深入理解，這種方法賦能開發人員發現和修復漏洞，並通過 DevOps 平台提升便利性。”

GitLab 一體化 DevOps 平台提供了 DevOps 所需的自動化，以及安全專家所需的策略和漏洞管理功能。極狐GitLab 作為 GitLab 中國發行版，極狐GitLab / GitLab 提供了一系列已集成的、可審查、可管理的掃描器，滿足現代應用程序研發以及雲原生環境下的安全合規需求。

獨特的 AST 方法

GitLab 在應用程序安全領域持續創新。讓我們來看看，GitLab 和傳統 AST 廠商有何不同。正是這些差異帶來了使用一體化平台來實現 DevOps 和安全的眾多好處。例如：

GitLab 將更全面的掃描集成到 CI 流水線中，以便構建出更具有交互性的測試環境。

這是一種獨特的方法，有別於將產品重點放在基於工具的交互式 AST。在 GitLab 上，開發人員能夠更加全面地瞭解安全漏洞的產生，這也讓開發人員能夠更高效地去解決這些安全問題。

同樣，雖然 Gartner 分析師將重點放在類似拼寫檢查的輕量級 SAST 功能上，但我們發現這些功能對於 GitLab 用户來説，並不是那麼重要。當然，這也是因為 GitLab 將功能內置了。打個比方：我們習慣於經常保存文件，這樣編輯的文件就不會丟失。開發人員開發軟件時也在做同樣的事情：變更被頻繁 “提交” 到代碼倉庫。

點擊 “提交” 按鈕後，GitLab 會對代碼變更做一次真正的 SAST 掃描，為開發人員提供了更及時和完整的反饋。

DevOps 團隊可以選擇啓用 DAST 掃描，該掃描使用 GitLab 審核特性來評估合併前的變更。

並且，依賴項掃描、容器掃描、基礎設施即代碼以及更多其他的掃描，也會在點擊提交按鈕時進行。

此外，GitLab 還關注為 DevOps 團隊提供關於漏洞挖掘和修復的培訓教育。

▶ 極狐GitLab 將為開發者提供一系列清晰明瞭的培訓，諸如如何減少創建安全漏洞的風險等，有助於開發者學習正確的編碼技能，而不是僅僅標記問題以待日後解決。敬請期待。

專注於合規

將合規左移並將其嵌入到軟件開發生命週期中，也就是持續的軟件合規性，是 GitLab 的優先事項。

“我們賦能組織創建與其合規政策相符合的策略，並確保這些策略能夠貫穿到應用開發整個流程中。” Benson 説道，“你無需兼顧多個策略執行應用程序，只需要擁有一個對整個生命週期的可見性視角。”

比如，公司可以制定精細化的合規性流水線策略，即要求特定項目中的每個 MR 都要進行 SAST 掃描和每個開發人員都無法避免的 MR 審核。

“這些通用的控制形態和職責分離，有效簡化了軟件安全審計，加速了應用程序部署。” Benson 補充道。

全球領先企業選擇 GitLab

至今，GitLab 已經擁有 30000000+ 註冊用户， 100000+ 企業實例，服務了包括富士通、西門子、喜利得、HackerOne、The Zebra 等全球領先企業，幫助客户充分利用一體化 DevSecOps 平台 ，實現更快、更高質量和更安全的開發和發佈週期。

GitLab 應用程序安全測試有助於我們在 GitLab 安全儀表板中清晰查看和分析源代碼漏洞。它可以通過 Docker 輕鬆配置，在項目中創建新的合併請求後，立即顯示完整的漏洞報告，並根據關鍵、高、低、中等級別對漏洞進行優先級排序，這有助於我們團隊有計劃地專注於最重要的事情。

——高級軟件工程師

GitLab 的應用程序測試功能對於掃描應用程序中的漏洞非常有用，並且有多種測試功能供選擇。我們主要使用這些工具來掃描 Docker 容器、依賴項、源代碼和 Web 應用程序的漏洞。

—— Android 應用程序開發人員

我們從使用 GitLab 開始，真正嘗試引入開源文化，到目前為止，我們真的成功了。使用 CI/CD，我們每個月有 50 萬次構建。整個文化已經完全改變了。

——Fabio Huser，西門子智能基礎設施軟件架構師