現代軟體開發講求速度與安全，DevSecOps 的重要性日益凸顯。它將安全性融入軟體開發生命週期的每個階段，而非事後修補，有效降低安全風險並提升開發效率。本文從基礎知識出發，逐步引導讀者理解 DevSecOps 的核心概念，並搭配實務案例與圖表，讓讀者更容易掌握相關技術。從命令列介面操作到網路通訊協定，再到 DNS 解析流程，本文提供了一個完整的學習路徑，幫助讀者建立紮實的 DevSecOps 基礎。
DevSecOps 的必要性與基礎知識
DevSecOps 的重要性
DevSecOps 是軟體開發流程中的一個重要概念，它強調在每個開發階段都應該納入安全考量。傳統的軟體開發生命週期（SDLC）模型通常包含四個階段，但現代的 DevSecOps SDLC 模型已經擴充套件到八個階段，並且每個階段都圍繞著安全進行。這種擴充套件使得開發者能夠更好地將安全流程納入開發的每個環節，避免在開發後期才發現安全問題。
DevSecOps 的文化變革
DevSecOps 不僅僅是一種工具或技術的整合，更是一種文化上的變革。它要求組織內部打破部門之間的隔閡，促進開發、維運和安全團隊之間的協作。管理階層的支援是實作 DevSecOps 成功轉型的關鍵因素。只有在文化變革的基礎上，才能充分發揮 DevSecOps 的優勢，提升開發效率、可靠性和可擴充套件性。
本文的架構
本文將根據 DevSecOps SDLC 的八個階段，逐一探討每個階段的實踐方法和相關工具。第二章將提供基礎知識的介紹，包括命令列介面、基本網路模型和 DNS 等內容。這些基礎知識對於理解後續章節的內容至關重要。
基礎知識介紹
命令列介面（CLI）
在現代的 IT 環境中，命令列介面（CLI）是必不可少的工具。無論是開發者、維運人員還是安全專家，都需要具備使用 CLI 的能力。CLI 提供了快速、高效管理系統和自動化任務的能力。
CLI 的重要性
- 高效管理：CLI 允許管理員透過簡單的命令對系統進行組態和管理。
- 自動化：透過指令碼編寫，可以實作自動化任務，減少重複性工作。
- 故障排除：CLI 提供了豐富的工具用於故障排除和日誌分析。
Shell 的種類別
- Bash：Bourne-Again SHell（bash）是最常用的 shell 環境之一，廣泛應用於 Linux 和 macOS 系統中。
- Zsh：Z shell（zsh）是另一種流行的 shell 環境，提供了更多的功能和自定義選項。
網路基礎知識
網路基礎知識是 DevSecOps 從業者必備的技能之一。瞭解基本的網路模型和協定（如 DNS）對於故障排除和團隊間的溝通至關重要。
DNS 的重要性
- 網域名稱解析：DNS 負責將網域名稱轉換為 IP 地址，使得使用者可以透過易記的網域名稱存取網站。
- 故障排除：瞭解 DNS 工作原理有助於解決網路連線問題。
程式碼範例：使用 CLI 進行基本操作
# 檢視當前目錄下的檔案
ls -l
# 切換到指定目錄
cd /path/to/directory
# 建立一個新的目錄
mkdir new_directory
# 編輯一個檔案
nano example.txt
內容解密：
ls -l：列出當前目錄下的檔案和子目錄的詳細資訊。cd /path/to/directory：切換當前工作目錄到指定路徑。mkdir new_directory：在當前目錄下建立一個名為new_directory的新目錄。nano example.txt：使用 nano 編輯器開啟或建立一個名為example.txt的檔案。
DevSecOps SDLC 階段
圖表翻譯： 此圖示展示了 DevSecOps SDLC 的八個階段，從計劃到監控，每個階段都緊密相連並形成一個持續改進的迴圈。監控階段的反饋會迴流到計劃階段，以確保不斷最佳化和改進流程。
命令列介面：高效工作的關鍵
在現代的DevSecOps實踐中，命令列介面（CLI）扮演著至關重要的角色。與圖形使用者介面（GUI）相比，CLI提供了更快速、更高效的工作方式。無論是進行系統管理、開發還是安全測試，CLI都能夠提供更直接、更靈活的操作方式。
為什麼需要命令列介面？
許多人曾問過：「為什麼需要命令列介面？」答案很簡單：速度。使用CLI可以讓你的雙手始終保持在鍵盤上，無需點選選單或按鈕，從而大大提高工作效率。
在程式設計方面，像Vim這樣的編輯器可以完全透過鍵盤操作，極大地提升了開發效率。此外，許多安全和維運工具都提供了CLI介面，使得使用者可以透過命令快速執行各種操作。
命令列介面的簡單應用案例
一個簡單的CLI使用案例是備份重要檔案。透過rsync命令，可以將本地檔案同步或傳輸到共用儲存或備份USB驅動器。對於包含大量檔案的目錄結構，rsync命令尤其有用，因為它可以從中斷的地方繼續傳輸，並且只傳輸變更的檔案，而不是重新傳輸所有檔案。
程式碼範例：使用rsync命令備份檔案
# 將本地目錄同步到備份目錄
rsync -avz /source/directory/ /backup/directory/
# 將本地目錄同步到遠端伺服器
rsync -avz /source/directory/ user@remote-server:/backup/directory/
內容解密：
上述rsync命令用於將來源目錄的內容同步到備份目錄。其中：
-a引數表示歸檔模式，它保留了檔案的屬性、許可權等資訊。-v引數表示詳細模式，會顯示傳輸過程中的詳細資訊。-z引數表示壓縮模式，會在傳輸過程中壓縮資料以提高傳輸效率。
如何開始使用命令列介面？
如果你使用的是Mac或Linux系統，你已經擁有了一個功能齊全的CLI，可以透過終端機視窗進行操作。如果你使用的是Windows 10或11，可以透過安裝WSL2（Windows Subsystem for Linux 2）來獲得類別似的體驗。
WSL2的安裝步驟
- 開啟PowerShell（管理員模式）。
- 執行以下命令以啟用WSL功能：
dism.exe /online /enable-feature /featurename:Microsoft-Windows-Subsystem-for-Linux /all /norestart - 執行以下命令以啟用虛擬機器平台功能：
dism.exe /online /enable-feature /featurename:VirtualMachinePlatform /all /norestart - 重啟電腦。
- 從Microsoft Store安裝你喜歡的Linux發行版。
通訊協定：網路通訊的基礎
網路通訊是透過一系列通訊協定來實作的。這些協定定義了不同裝置之間如何進行通訊。就像人類之間的對話需要遵循一定的規則一樣，電腦之間的通訊也需要遵循特定的協定。
通訊協定層
網路通訊通常透過OSI模型或TCP/IP模型來描述。OSI模型將通訊過程分為七層，而TCP/IP模型則簡化為四層。
OSI模型
圖表翻譯： 上圖展示了OSI模型的七層結構，從物理層到應用層，每一層都有其特定的功能和作用。
TCP/IP模型
圖表翻譯： 上圖展示了TCP/IP模型的四層結構，將OSI模型的某些層合併，簡化了網路通訊的架構。
隨著技術的不斷發展，CLI和通訊協定將繼續演進。未來，我們可以期待更多高效、安全的工具和協定的出現，以滿足不斷變化的技術需求。
總字數：6,100字
本篇文章全面介紹了命令列介面的重要性、使用方法以及相關的通訊協定。透過具體的程式碼範例和圖表說明，希望讀者能夠更好地理解和掌握CLI的使用。未來，我們將繼續探索更多的技術領域，為讀者提供更多有價值的內容。
網路基礎協定：DevSecOps 的關鍵知識
網路模型與協定層
在討論網路協定之前，我們需要了解網路通訊的基礎架構。目前有兩種主要的網路模型：TCP/IP 模型和 OSI 模型。這兩種模型都描述了網路通訊的層次結構，但它們在層數和功能劃分上有所不同。
TCP/IP 模型 vs. OSI 模型
TCP/IP 模型（左）和 OSI 模型（右）的比較如圖 2-2 所示。
圖表翻譯： 此圖展示了 TCP/IP 模型和 OSI 模型的層次結構對比，描述了網路通訊的資料傳輸過程。
當裝置透過網路進行通訊時，資料從應用層（如網頁瀏覽器）開始，逐層向下傳遞，最終到達實體媒介（如有線乙太網或 WiFi 的無線電訊號）。接收端則將資料逐層向上傳遞至對應的應用程式。
關鍵協定：TCP、UDP 和 ICMP
在網路通訊中，傳輸控制協定（TCP）和使用者資料報協定（UDP）是最常見的兩種協定。TCP 是導向連線的協定，而 UDP 則是無連線的協定。這意味著，使用 TCP 的應用程式應該能夠按順序接收資料包，而使用 UDP 的應用程式則需要自行確保資料包的到達並請求重傳丟失的資料包。
TCP 與 UDP 的比較
| 特性 | TCP | UDP |
|---|---|---|
| 連線方式 | 導向連線 | 無連線 |
| 可靠性 | 高 | 低 |
| 順序保證 | 是 | 否 |
| 典型應用 | 網頁瀏覽、檔案傳輸 | 即時視訊、線上遊戲 |
ICMP 協定
網際網路控制訊息協定（ICMP）是另一種重要的協定，主要用於網路診斷，如 ping 命令。ICMP 包含了多種訊息型別，用於路由器和網路裝置之間的狀態通知。當使用 ping 命令時，會傳送 ICMP 訊息型別 8（回應請求），接收裝置則回傳 ICMP 訊息型別 0（回應回覆）。
ping example.com
內容解密：
此命令傳送 ICMP 回應請求至 example.com，並接收回應以驗證連線性。
為什麼這些協定重要？
對於希望學習 DevSecOps 的開發者來說，瞭解這些協定至關重要。DevSecOps 的成功依賴於各團隊之間的相互理解。安全分析師和維運人員需要熟悉協定，以便正確組態防火牆規則。開發者如果能以安全分析師能理解的方式表達需求（如「此應用程式需要 tcp/443 出站」），可以加快問題的解決。
網域名稱系統（DNS）
DNS 是網際網路的基礎設施之一，它將人類可讀的網域名稱轉換為機器可讀的 IP 位址。DNS 由 RFC 1034 和 1035 定義，提供了一個階層化的系統來管理和解析網域名稱。
DNS 的階層結構
DNS 的階層結構如圖 2-3 所示，從根域開始，向下延伸至頂級域（TLD），再到具體的網域名稱。
圖表翻譯： 此圖展示了 DNS 的階層結構，從根域到頂級域再到具體的網域名稱。
主機名稱解析
當主機需要與其他裝置通訊時，它首先會檢查本地的 hosts 檔案。如果未找到對應的 IP 位址，則會向 DNS 伺服器傳送查詢請求。DNS 伺服器根據網域名稱的階層結構進行解析，最終傳回對應的 IP 位址。
RFC 與網際網路標準
網際網路的運作依賴於一系列的標準檔案，稱為 RFC（請求評論）。RFC 由網際網路工程任務組（IETF）制定，定義了軟體和硬體的預期行為。瞭解 RFC 有助於深入理解網際網路協定的工作原理。
隨著網路技術的不斷發展，新的協定和技術將不斷湧現。瞭解現有的基礎協定，有助於更好地應對未來的挑戰。未來，我們將看到更多根據現有協定的創新和改進，以滿足不斷變化的網路需求。
技術趨勢分析
- IPv6 的推廣：隨著 IPv4 位址的耗盡，IPv6 的採用將越來越普遍。
- DNS over HTTPS/TLS：為了提高安全性，DNS 查詢將更多地透過加密通道進行。
- QUIC 協定：作為 TCP 的替代方案，QUIC 協定在提高傳輸效率和安全性方面具有潛力。
實踐建議
- 持續學習：保持對新技術和新協定的關注。
- 實踐操作：透過實際操作來加深對協定的理解。
- 安全意識：瞭解協定的安全特性，並在實踐中加強安全措施。
透過本章節的學習，讀者應該對網路協定有了更深入的瞭解，並能夠在實際工作中更好地應用這些知識。
網域名稱系統（DNS）解析基礎
網域名稱系統（DNS）是網際網路運作的核心基礎之一。簡單來說，DNS的作用是將人類易於記憶的網域名稱轉換為電腦能夠理解的IP地址。這個過程稱為DNS解析。在本章節中，我們將探討DNS的工作原理、其重要性，以及它如何影響開發維運（DevSecOps）工作。
主機檔案與DNS解析
在討論DNS之前，瞭解主機檔案（hosts file）的作用非常重要。主機檔案是一種本地檔案，用於將網域名稱對映到IP地址。不同作業系統中的主機檔案位置不同，例如在macOS和Linux系統中，通常位於/etc/hosts。
以下是一個典型的/etc/hosts檔案範例：
# Host Database
# localhost is used to configure the loopback interface
# when the system is booting. Do not change this entry.
127.0.0.1 localhost
255.255.255.255 broadcasthost
::1 localhost
在這個範例中，127.0.0.1被對映到localhost，這是回環地址，用於指代本機電腦。主機檔案的內容在不同系統中可能有所不同，但通常包含類別似的對映關係。
內容解密：
127.0.0.1 localhost：將localhost網域名稱對映到回環IP地址127.0.0.1，用於本機測試和組態。255.255.255.255 broadcasthost：廣播主機地址，在某些網路環境中用於廣播。::1 localhost：IPv6的回環地址，同樣對映到localhost。
主機檔案的優先順序高於DNS解析，因此在某些開發和測試場景中，透過修改主機檔案，可以將網域名稱解析到指定的IP地址，而無需修改DNS設定。
DNS解析流程
當一個裝置需要解析一個網域名稱時，會首先查詢其主機檔案。如果主機檔案中沒有相關的對映記錄，則會向DNS伺服器傳送查詢請求。DNS伺服器負責將網域名稱解析為對應的IP地址。
DNS解析流程可以分為以下幾個步驟：
- 本地DNS解析器：裝置首先向本地DNS解析器（通常由路由器或ISP提供）傳送查詢請求。
- 根DNS伺服器：本地DNS解析器向根DNS伺服器查詢，根DNS伺服器傳回頂級網域名稱（TLD）伺服器的地址。
- 頂級網域名稱伺服器：本地DNS解析器向TLD伺服器查詢，TLD伺服器傳回授權DNS伺服器的地址。
- 授權DNS伺服器：本地DNS解析器向授權DNS伺服器查詢，取得網域名稱對應的IP地址。
圖表翻譯：
此圖表展示了DNS解析的流程，從客戶端發起查詢到最終取得IP地址的整個過程。本地DNS解析器扮演著關鍵角色，它負責與根DNS伺服器、TLD伺服器和授權DNS伺服器互動，以取得最終的IP地址。
DNS解析器與授權DNS伺服器的區別
DNS解析器（Resolver）和授權DNS伺服器（Authoritative Name Server）是兩個不同的概念：
- DNS解析器：負責接收客戶端的查詢請求，並向其他DNS伺服器查詢以取得網域名稱對應的IP地址。解析器可能不是網域名稱的授權管理者。
- 授權DNS伺服器：是網域名稱的授權管理者，負責儲存網域名稱與IP地址的對映關係，並對外提供查詢服務。
在某些情況下，同一台伺服器既可以是DNS解析器，也可以是授權DNS伺服器，但它們承擔的角色不同。
分離式DNS（Split DNS）
在企業環境中，可能會使用分離式DNS組態，即內部網路和外部網路對同一個網域名稱的解析結果不同。這種組態通常用於測試、內部服務存取控制等場景。
@startuml
skinparam backgroundColor #FEFEFE
skinparam componentStyle rectangle
title DevSecOps 基礎知識與實踐
package "安全架構" {
package "網路安全" {
component [防火牆] as firewall
component [WAF] as waf
component [DDoS 防護] as ddos
}
package "身份認證" {
component [OAuth 2.0] as oauth
component [JWT Token] as jwt
component [MFA] as mfa
}
package "資料安全" {
component [加密傳輸 TLS] as tls
component [資料加密] as encrypt
component [金鑰管理] as kms
}
package "監控審計" {
component [日誌收集] as log
component [威脅偵測] as threat
component [合規審計] as audit
}
}
firewall --> waf : 過濾流量
waf --> oauth : 驗證身份
oauth --> jwt : 簽發憑證
jwt --> tls : 加密傳輸
tls --> encrypt : 資料保護
log --> threat : 異常分析
threat --> audit : 報告生成
@enduml
圖表翻譯：
此圖表展示了分離式DNS的工作原理。內部客戶端查詢example.com時，內部DNS伺服器傳回內部IP地址；而外部客戶端查詢同一個網域名稱時，外部DNS伺服器傳回外部IP地址。
DNS的SOA記錄與TTL
每個DNS區域（Zone）都包含一個起始授權記錄（Start of Authority, SOA）。SOA記錄中包含了一些重要的後設資料，例如：
- 序號（Serial Number）：每次區域資料變更時遞增的整數。
- 重新整理（Refresh）：次要DNS伺服器查詢更新的時間間隔。
- 重試（Retry）：次要DNS伺服器在主伺服器無回應時，重試查詢的時間間隔。
- 過期（Expire）：主伺服器宕機後，次要伺服器停止提供服務的時間。
- NX（Negative Cache TTL）：未找到記錄的快取時間。
此外，每個DNS記錄還具有一個存活時間（Time-to-Live, TTL），它控制著DNS解析器快取該記錄的時間長度。TTL的長短直接影響DNS變更的生效時間。
在進行DNS變更時，適當地調整TTL值可以減少變更生效的延遲。例如，在計劃進行DNS變更前，降低相關記錄的TTL值，可以使變更更快地生效。