DevSecOps Arsenal: Fra Begynder til Ekspert

1. Gitleaks (Hemmelighedsvogteren)

Vær ikke virksomheden, der lækker AWS-nøgler på GitHub.

De fleste kører Gitleaks blindt. De professionelle bruger Baselines.

• --baseline-path: Den gyldne billet. Kør en frisk scanning, gem outputtet. Nu advarer Gitleaks KUN om nye hemmeligheder.
• --redact: Maskér opdagede hemmeligheder i outputloggene (procent 0-100). Aldrig dobbeltlæk.
• --enable-rule: Fokuser på specifikke hemmelighedstyper (f.eks. kun AWS-nøgler) efter ID.
• --follow-symlinks: Lad ikke hemmeligheder gemme sig bag symlinks.
• --ignore-gitleaks-allow: Tillad ikke brugen af inline “skip” kommentarer. Håndhæv reglerne.
• --max-target-megabytes: Undgå at scanne massive binære blobs.

2. Trufflehog (Bekræfteren)

At finde en streng, der ligner en nøgle, er én ting. At tjekke om den virker, er en anden.

Trufflehog skiller sig ud ved at verificere legitimationsoplysninger mod udbyderen.

• --no-verification: Hurtigere tilstand. Springer “live-check” over, hvis du kun ønsker statisk analyse.
• --results: Filtrer output efter verified (den reelle fare) eller unknown.
• --filter-entropy: Find høj-entropi strenge (sandsynligvis adgangskoder) selv uden et regex-match. Start med 3.0.
• --detector-timeout: Begræns udførelsestid pr. detektor for at forhindre CI-hæng.
• --archive-max-depth: Undgå at sidde fast i indlejrede zip-bomber.

3. Opengrep (Hurtig Statisk Analyse)

Grep er død. Længe leve strukturel søgning.

Semgrep-kompatibel motor til at finde fejl ved hjælp af kode mønstre, ikke kun strenge.

• --baseline-commit: Vigtigt. Scan kun kode ændret siden en specifik commit (Delta Scanning).
• --config: Indlæs brugerdefinerede regler fra YAML-begrænsninger eller registret.
• --dataflow-traces: Vis den fulde sti af, hvordan data bevæger sig fra kilde til vask.
• --exclude-minified-files: Spring .min.js og andre tætte, ikke-menneskeligt læsbare filer over.
• --strict: Fejl i build, hvis konfigurationen er ugyldig eller WARN-niveau fejl opstår.

4. Bandit (Python Sikkerhed)

Standard for Python AST-analyse.

• -t / --tests: Kør KUN specifikke test-ID’er (allowlist).
• -s / --skips: Spring specifikke test-ID’er over (denylist).
• --severity-level: Vis kun resultater >= low, medium eller high.
• --confidence-level: Filtrer “gætteri” fra—vis kun høj-sikkerhedsfund.
• --ignore-nosec: Se hvad udviklere forsøger at omgå ved hjælp af # nosec.”

5. Dustilock (Afhængighedsforvirring)

Forhindre en angriber i at injicere en ondsindet privat pakke.

• -a: Kun audit. Tjek om du er sårbar over for pakkenavns kapring uden at stoppe pipelinen.

6. Hadolint (Docker Intelligens)

Din Dockerfile er dårlig. Hadolint ved hvorfor.

• --trusted-registry: Forsyningskædesikkerhed. Tillad kun billeder fra internal.ecr.aws.
• --strict-labels: Håndhæv metadata standarder (f.eks. maintainer, cost-center).
• --ignore: Ignorer regler, der ikke gælder for dit build.
• --error / --warning: Omlæg regel alvorligheder for at matche din politik.
• --require-label: Håndhæv specifikke labelformater (Regex).

7. TFLint (Terraform Logik)

terraform validate er en syntakskontrol. TFLint er en logikkontrol.

• --enable-plugin: Indlæs udbyderspecifikke regler (f.eks. AWS, Azure) for at tjekke mod API-specifikationer.
• --minimum-failure-severity: Kontroller build-break tærsklen (Fejl, Advarsel, Meddelelse).
• --call-module-type: Scan all, local eller none moduler.
• --var-file: Indsæt variabler for at evaluere betinget logik nøjagtigt.

Fase 2: CI Gatekeepers (Tillid, men Verificer)

Dette er krigsrummet. Dybdegående analyse under build-processen.

8. Trivy (Den Tunge Slags)

Den Schweiziske Hærkniv.

• --ignore-unfixed: Obligatorisk. Hvis der ikke er nogen patch, må buildet ikke fejle. Overvåg det.
• --ignore-status: Filtrer sårbarheder med specifikke statusser fra.
• --pkg-types: Fokuser scanninger på os-pakker eller library-afhængigheder.
• --offline-scan: Kør i lufttætte miljøer.
• --include-dev-deps: Ignorer ikke devDependencies—de kan stadig kompromittere build-miljøet.
• --list-all-pkgs: Output alt. Væsentligt for at generere en komplet SBOM.

9. Syft (SBOM Generatoren)

Du kan ikke sikre, hvad du ikke ved, du har.

• --enrich: Tilføj online metadata for en rigere brugskontekst (Golang, Java, etc.).
• -s / --scope: Scan alle lag (all-layers) eller kun det endelige billede (squashed).
• --select-catalogers: Målret specifikke pakkemanagere (npm, pip, apk).
• --platform: Målret specifikke arkitekturer (f.eks. arm64).

10. Grype (SBOM Scanneren)

Tager stafetten fra Syft.

• -f / --fail-on: Bryd buildet, hvis alvorlighed >= medium, high, etc.
• --only-fixed: Rapportér kun sårbarheder, der kan handles på.
• --by-cve: Organiser output efter CVE ID til sporing.
• --ignore-states: Ignorer generiske “wontfix” eller “not-affected” statusser.

11. Checkov (IaC Governance)

Forhindre cloud-misconfigurations, før de koster dig penge.

• -s / --soft-fail: Advarsel, men bryd ikke. Bedst til “observationsmodus.”
• --check / --skip-check: hvidliste eller sortliste specifikke tjek (CKV_AWS_1).
• --skip-framework: Ignorer hele frameworks (f.eks. scan Terraform men spring CloudFormation over).
• --enable-secret-scan-all-files: Udvid hemmelighedsscanning ud over standard konfigurationsfiler.
• --block-list-secret-scan: Ekskluder specifikke filer fra hemmelighedsscanneren.

12. KICS (Keeping IaC Secure)

Alternativet for bred IaC-dækning.

• --exclude-queries: Fjern støj ved at filtrere specifikke forespørgsels-ID’er.
• --exclude-categories: Filtrer fund efter sikkerhedsområde.
• --fail-on: Definer hvilke alvorlighedsniveauer der returnerer en ikke-nul exit-kode.
• --minimal-ui: Forenklet CLI-output for renere logfiler.
• --disable-secrets: Slå intern hemmelighedsscanning fra (brug Gitleaks i stedet).

13. Terrascan (Policy-as-Code)

Specialiseret til multi-cloud politikhåndhævelse.

• -i / --iac-type: Optimer ved at specificere platformen (k8s, helm, terraform).
• -t / --policy-type: Filtrer politikker efter udbyder (aws, azure, gcp).
• --severity: Definer den minimale alvorlighed der skal rapporteres.
• --non-recursive: Scan kun den aktuelle mappe.

14. OWASP Dependency-Check (Legacy & Compliance)

Den tunge løfter for Java og .NET SCA.

• --failOnCVSS: Stop build-processen, hvis et bibliotek overskrider en CVSS-score (f.eks. 7.0).
• --suppression: Brug en XML-fil til at “dæmpe” kendte sikre sårbarheder (VEX-lite).
• --enableExperimental: Brug nye analysatorer til mindre almindelige sprog.

15. DevSkim (Polyglot Hygiene)

Udvikler-centrerede IDE og CI kontroller.

• --rule-ids: Begræns analysen til specifikke regler.
• --ignore-globs: Brug standard glob-mønstre til at springe støjende filer over.
• --skip-git-ignored-files: Synkroniser automatisk med .gitignore.
• --skip-excerpts: Hold rapporter små ved at fjerne kodeeksempler.

Fase 3: Runtime & Artefakter (Den sidste linje)

Scanning af det endelige artefakt eller det levende miljø.

16. Clamscan (Malware Defense)

Fordi nogle gange uploader folk virus til din S3 bucket.

• --exclude / --exclude-dir: Spring fil-/mønstre over for at spare tid.
• --detect-pua: Kig efter “Potentielt Uønskede Applikationer” (adware, miners).
• --detect-structured: Scan for mønstre af følsomme data som kreditkort/SSN’er.
• --scan-pdf / --scan-html: Aktiver dybdegående inspektion for dokumenttyper.
• --cross-fs: Tillad scanning på tværs af forskellige filsystemer (brug med forsigtighed).

17. Nuclei (The Hacker’s Knife)

Skabelonbaseret scanning, der føles ulovlig.

• -t / --templates: Kør specifikke skabelonfiler eller -mapper.
• -tags: Målret scanninger baseret på teknologi (f.eks. wordpress, cve).
• -s / --severity: Filtrer skabeloner efter påvirkningsniveau.
• -fr / --follow-redirects: Følg HTTP 301/302 omdirigeringer for at finde nyttelasten.
• -passive: Scan ved at se på eksisterende headers/responser uden at sende nye “angreb.”
• -etags fuzz: Ekskluder fuzzing-skabeloner i produktion.