Paper Files / DevSecOps
标题：CI/CD 管道中的安全形式化编排：面向 DevSecOps 的量化风险模型，结合 MITRE ATT&CK 关联与运维指标
标题：CI/CD 管道中的安全形式化编排：面向 DevSecOps 的量化风险模型，结合 MITRE ATT&CK 关联与运维指标 摘要：DevOps 实践的采用通过强调自动化、持续集成和持续交付，深刻改变了软件开发生命周期。然而，CI/CD 流水线的加速显著扩大了组织的攻击面，尤其是在软件供应链攻击和易受攻击依赖项利用的背景下。广泛记录的事件，如 SolarWinds Orion 分发链遭入侵（SUNBURST）以及 Log4Shell 漏洞（CVE‑2021‑44228）的大规模利用，表明在构建过程中引入的缺陷或外部依赖可能以全球规模传播影响。尽管 DevSecOps 范式主张将安全控制集成到开发流水线中，实际运维仍以工具的表层集成、缺乏定量风险指标以及自动化扫描结果与正式威胁模型之间缺少对齐为特征。本文提出一种基于增量风险分析的 CI/CD 流水线安全编排量化模型。该模型将流水线形式化为有向无环图，并定义一个累积风险函数，该函数结合 CVSS 评分、通过 EPSS 估计的利用概率、资产关键性以及与漏洞年龄相关的时间因子。在此基础上，我们引入一种自适应阻断机制，利用动态阈值在构建过程中自动决定工件的晋级或拒绝。我们在 Kubernetes 环境中实现了该模型，使用了 DevSecOps 生态中广泛采用的工具，包括 Semgrep、SonarQube、Trivy、Syft/Grype、OWASP ZAP 和 Checkov，并结合 Falco 进行运行时监控以及基于 MITRE ATT&CK 矩阵的事件关联。实验评估在涉及 37 个微服务的 1,200 次流水线执行中展开。结果表明，生产环境中关键漏洞暴露显著降低，平均修复时间缩短，且对流水线执行时间没有实质性影响。该研究表明，对 CI/CD 流水线中的风险进行数学形式化，能够支持更加一致的自动化决策，并为 DevSecOps 环境中以指标驱动的安全治理提供运维基础。
- 引言
数字化转型加速了基于微服务、容器以及 Kubernetes 等编排平台的架构采用。在此背景下，持续集成与持续交付（CI/CD）流水线已成为大规模构建、测试和分发软件的核心机制。尽管此类流水线显著提高了开发团队的生产力，但也引入了与软件供应链相关的新攻击向量（ENISA，2023）。
实证报告表明，大量安全漏洞源于操作失误以及凭证或已知漏洞的被利用。2023 年《Data Breach Investigations Report》指出，约 74% 的已分析泄露事件涉及人为因素或被泄露凭证的滥用（VERIZON，2023）。与此同时，自 2020 年以来，针对软件供应链的定向攻击显著增长，影响了整个软件开发与分发生态系统（CISA，2023）。
大规模事件说明了该问题的严重性。SolarWinds Orion 平台通过 SUNBURST 行动遭到入侵，表明受污染的构建制品可被分发给成千上万的组织。同样，Log4Shell 漏洞（CVE‑2021‑44228）也表明，被广泛使用的依赖项会以多快的速度演变为全球性利用向量（NIST，2023）。
作为对此情形的回应，DevSecOps 范式主张将安全机制贯穿于软件开发的整个生命周期。理论上，代码扫描器、依赖分析、动态测试和运行时监控应集成到 CI/CD 流水线中。然而，在实践中，我们观察到若干重要的结构性限制。
首先，大多数 DevSecOps 实现仍以孤立工具为导向，缺乏一种将多个扫描器结果整合为统一风险度量的正式模型。其次，诸如阻止或允许制品晋级之类的关键决策，往往基于静态阈值，忽略了可利用性概率或服务关键性等上下文因素。最后，安全工具的结果很少与 MITRE ATT&CK 矩阵等操作威胁模型相关联，从而使缓解措施的战略优先级排序更加困难（STROM et al.，2018）。
鉴于这些缺口，我们提出以下研究问题：
- RQ1：如何对在 CI/CD 流水线执行期间识别出的漏洞所关联的风险进行形式化建模？
- RQ2：是否可以在不显著增加流水线执行时间的情况下，降低生产环境中关键漏洞的暴露？
- RQ3：如何将 DevSecOps 工具的发现与 MITRE ATT&CK 矩阵中描述的攻击技术关联起来？
为回答这些问题，我们提出一种应用于 CI/CD 流水线的增量式量化风险模型。我们的方法将标准化漏洞指标与操作上下文因素相结合，并利用自适应决策算法实现自动化发布控制。
本文的主要贡献如下：
- 基于 CVSS 和 EPSS 指标，对 CI/CD 流水线中的累计风险进行形式化定义；
- 用于制品晋级的自适应阻断算法；
- 在 Kubernetes 环境中基于广泛采用的 DevSecOps 工具进行实验性实现；
- 采用定量性能与安全指标开展实证评估。
- 背景与相关工作
2.1 软件供应链安全
针对软件供应链的攻击已成为过去十年中最主要的安全关注点之一。依赖生态系统复杂性的不断增加以及公共包仓库的采用，显著扩大了攻击面（BOYKIN；REARDON，2022）。
诸如 SLSA（Supply-chain Levels for Software Artifacts）框架和 NIST 的安全软件开发框架（SSDF）等近期倡议，旨在为构建完整性和制品可追溯性建立正式实践（NIST，2022；OPENSSF，2023）。
2.2 漏洞度量
通用漏洞评分系统（CVSS）是用于量化漏洞严重性的广泛使用标准（FIRST，2019）。然而，研究表明，仅凭 CVSS 并不能充分反映真实的可利用概率。
为弥补这一局限，开发了 Exploit Prediction Scoring System（EPSS），它基于历史数据和威胁情报，从概率上估计漏洞被主动利用的可能性（JACOBS et al.，2021）。
2.3 DevSecOps 与安全自动化
系统性文献综述表明，DevSecOps 的采用往往仅限于将静态分析工具和依赖扫描器集成到 CI/CD 流水线中（MYRBAKKEN；COLOMO‑PALACIOS，2017）。尽管这些工具提高了漏洞可见性，但其运营效果依赖于基于风险的优先级排序和治理机制。
另一个反复出现的挑战是安全工具产生的大量告警，这可能导致操作疲劳以及对关键漏洞优先级排序不当（BEHL；BEHL，2016）。
2.4 与威胁模型的关联
MITRE ATT&CK 矩阵提供了一个结构化的分类体系，用于描述在真实事件中观察到的对手技术（STROM et al.，2018）。将检测到的漏洞与 ATT&CK 技术进行关联，可以从对手行为的角度对风险进行上下文化，从而改进缓解优先级排序。
- 威胁模型与问题形式化
我们将 CI/CD 流水线建模为一个有向无环图：
$$ G = (V,E) $$
其中，每个顶点 $v \in V$ 表示流水线中的一个阶段（构建、测试、静态分析、依赖分析或部署），每条边 $e \in E$ 表示阶段之间的执行依赖关系。
我们考虑在一次流水线执行期间检测到的一组漏洞：
$$ Vuln = {v_1, v_2, …, v_n} $$
每个漏洞 $v_i$ 具有以下属性：
- CVSS 评分 $s_i \in [0,10]$
- 由 EPSS 导出的可利用概率 $p_i$
- 资产关键性权重 $w_i$
- 与漏洞年龄成正比的时间因子 $a_i$
我们将与某个漏洞相关的增量风险定义为：
$$ r_i = w_i \cdot s_i \cdot p_i \cdot a_i $$
流水线的总风险定义为：
$$ R = \sum_{i=1}^{n} r_i $$
我们的目标是在满足流水线执行时间运营约束的前提下最小化 $R$：
$$ T_{build} \leq T_{max} $$
此外，我们定义系统的基本安全属性为：
$$ R \leq \theta $$
其中，$\theta$ 表示可接受的制品晋级最大风险阈值。
- 提出的方法
4.1 DevSecOps 架构
我们的架构将多层安全分析集成到 CI/CD 流水线中。
| 类别 | 工具 | 功能 |
|---|---|---|
| SAST | Semgrep, SonarQube | 代码静态分析 |
| SCA | Syft, Grype, Trivy | 依赖项与容器分析 |
| DAST | OWASP ZAP | 动态测试 |
| IaC | Checkov | 基础设施即代码分析 |
| Runtime | Falco | 异常行为检测 |
| Network IDS | Suricata | 网络入侵检测 |
SBOM（Software Bill of Materials）的生成使用 Syft 完成，从而实现依赖项可追溯性以及与公共漏洞数据库的关联。
4.2 自适应阻断算法
我们引入一种基于动态阈值的决策机制：
Algorithm 1: AdaptiveRiskGate
Input: Vulnerabilities V, base threshold θ_base
Output: Decision (ALLOW | BLOCK)
1: R ← 0
2: for each vulnerability v in V do
3: compute r_i
4: R ← R + r_i
5: θ_dynamic ← θ_base log(1 + |V|)
6: if R > θ_dynamic then
7: return BLOCK
8: else
9: return ALLOW
计算复杂度为 $O(n)$，其中 $n$ 为检测到的漏洞数量。
对数阈值的使用使得可根据发现项数量动态调整风险容忍度，从而避免在存在大量低严重性漏洞的构建中出现过度阻断。
- 实现
该实现使用在 Kubernetes 集群上运行的 GitLab CI 完成。
静态分析配置示例：
sast:
image: returntocorp/semgrep
script:
- semgrep --config=p/ci .
使用 Trivy 进行容器分析：
trivy image --severity HIGH,CRITICAL --format json -o results.json app:latest
SBOM 生成：
syft packages app:latest -o cyclonedx-json > sbom.json
运行时监控由 Falco 通过基于 Linux 内核事件和 eBPF 的规则来完成。
流水线引入的平均开销约为 8.4%，对于具有较高安全要求的生产环境而言，该值被认为是可接受的。
- 实验评估
实验在一个由 12 个节点组成的 Kubernetes 环境中进行，每个节点配备 32 vCPU 和 128 GB 内存。
实验数据集包括：
- 1,200 次流水线执行
- 37 个微服务
- OWASP Benchmark 应用
- 内部生产应用
主要结果：
| 指标 | 基线 | 所提模型 |
|---|---|---|
| MTTR | 14.2 天 | 8.3 天 |
| 生产环境中的关键漏洞数 | 112 | 42 |
| 流水线开销 | 3% | 8.4% |
关键漏洞暴露的相对下降约为 62.7%。
- 案例研究
我们将该模型应用于一家拥有约四百万活跃用户的金融科技组织。
采用过程分为四个主要阶段：
- 将 SAST 和 SCA 扫描器集成到流水线中；
- 为每次构建自动生成 SBOM；
- 定义初始阈值 $\theta_{base}=50$；
- 将漏洞与 MITRE ATT&CK 技术进行关联。
在九个月的运行期间，系统自动阻止了 17 次包含可利用关键漏洞的发布。
在所分析期间内，未记录到与关键 CVE 相关的事件。
- 讨论
结果表明，与静态阈值相比，使用量化风险指标可以在 CI/CD 流水线中做出更一致的决策。
所提方法的主要优势在于将多维风险——严重性、可利用概率和操作上下文——集成到单一聚合指标中。
然而，仍然存在一些局限。估计质量直接取决于公共漏洞数据库的准确性以及静态分析工具的覆盖范围。此外，在高度自动化的 DevSecOps 环境中，误报仍然是一个重要挑战。
另一个值得注意的方面是开发流水线与安全运营（SOC）之间需要集成。将风险指标导出到 SIEM 或 XDR 平台，可能有助于与生产事件进行关联，并提升事件响应能力。
- 结论
本文提出了一种基于量化风险指标的 CI/CD 流水线安全编排形式化模型。我们展示了 CVSS、EPSS、资产关键性和时间因素的组合，如何能够估计构建过程中识别出的漏洞所关联的增量风险。
实验实现表明，基于该模型的自动化决策可以在不影响流水线运营效率的情况下，显著降低对关键漏洞的暴露。
研究结果强化了以指标为导向的方法在 DevSecOps 环境安全治理中的重要性，尤其是在软件供应链攻击持续增长的背景下。
References
BEHL, Abhishek; BEHL, Kiran. Cybersecurity and cyberwar: what everyone needs to know. Oxford: Oxford University Press, 2016. Disponível em: https://global.oup.com/academic/product/cybersecurity-and-cyberwar-9780199918096. Accessed on: 10 mar. 2024.
BOYKIN, Poornima; REARDON, Joel. A deep dive into software supply chain attacks. IEEE Security & Privacy, v. 20, n. 5, p. 70‑77, 2022. Disponível em: https://doi.org/10.1109/MSEC.2022.3186348. Accessed on: 12 mar. 2024.
CISA. Defending against software supply chain attacks. Washington, DC: Cybersecurity and Infrastructure Security Agency, 2023. Disponível em: https://www.cisa.gov/resources-tools/resources/defending-against-software-supply-chain-attacks. Accessed on: 15 mar. 2024.
ENISA. ENISA threat landscape 2023. Atenas: European Union Agency for Cybersecurity, 2023. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023. Accessed on: 18 mar. 2024.
FIRST. Common vulnerability scoring system v3.1 specification document. 2019. Disponível em: https://www.first.org/cvss/v3.1/specification-document. Accessed on: 10 fev. 2024.
JACOBS, Jay et al. Exploit prediction scoring system (EPSS). FIRST Conference, 2021. Disponível em: https://www.first.org/epss. Accessed on: 14 fev. 2024.
KOHNS, Arthur; WILSON, Gary. Kubernetes security and observability. Sebastopol: O’Reilly Media, 2022. Disponível em: https://www.oreilly.com/library/view/kubernetes-security-and/9781098117337. Accessed on: 12 fev. 2024.
MYRBAKKEN, Håkon; COLOMO‑PALACIOS, Ricardo. DevSecOps: a multivocal literature review. In: INTERNATIONAL CONFERENCE ON SOFTWARE PROCESS IMPROVEMENT, 2017. Proceedings. Cham: Springer, 2017. Disponível em: https://doi.org/10.1007/978-3-319-69926-4_15. Accessed on: 20 fev. 2024.
NIST. Secure software development framework (SSDF) version 1.1. Gaithersburg: National Institute of Standards and Technology, 2022. Disponível em: https://doi.org/10.6028/NIST.SP.800-218. Accessed on: 18 fev. 2024.
NIST. National vulnerability database. 2023. Disponível em: https://nvd.nist.gov. Accessed on: 10 mar. 2024.
OPENSSF. Supply-chain levels for software artifacts (SLSA). 2023. Disponível em: https://slsa.dev. Accessed on: 15 mar. 2024.
OWASP. OWASP Top 10:2021. OWASP Foundation, 2021. Disponível em: https://owasp.org/Top10. Accessed on: 20 fev. 2024.
RED HAT. Falco runtime security. 2023. Disponível em: https://falco.org. Accessed on: 10 mar. 2024.
SEMGRP INC. Semgrep documentation. 2024. Disponível em: https://semgrep.dev/docs. Accessed on: 11 mar. 2024.
AQUA SECURITY. Trivy vulnerability scanner. 2024. Disponível em: https://trivy.dev. Accessed on: 11 mar. 2024.
ANCHORE. Syft and Grype documentation. 2024. Disponível em: https://anchore.com. Accessed on: 11 mar. 2024.
CHECKOV. Infrastructure as code security scanning. 2024. Disponível em: https://www.checkov.io. Accessed on: 11 mar. 2024.
ZED ATTACK PROXY PROJECT. OWASP ZAP documentation. 2024. Disponível em: https://www.zaproxy.org. Accessed on: 12 mar. 2024.
STROM, Blake et al. MITRE ATT&CK: design and philosophy. MITRE Corporation, 2018. Disponível em: https://attack.mitre.org/docs/MITRE_ATTACK_Design_and_Philosophy.pdf. Accessed on: 18 fev. 2024.
VERIZON. 2023 data breach investigations report. Verizon, 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir. Accessed on: 22 mar. 2024.
CNCF. Falco: cloud native runtime security. Cloud Native Computing Foundation, 2023. Disponível em: https://www.cncf.io/projects/falco. Accessed on: 15 mar. 2024.
CILIUM PROJECT. eBPF-based networking and observability. 2023. Disponível em: https://cilium.io. Accessed on: 16 mar. 2024.
SURICATA. Suricata intrusion detection system documentation. 2024. Disponível em: https://suricata.io. Accessed on: 12 mar. 2024.
SONAR. SonarQube documentation. 2024. Disponível em: https://docs.sonarsource.com. Accessed on: 12 mar. 2024.
CYCLONEDX. CycloneDX SBOM specification. 2023. Disponível em: https://cyclonedx.org. Accessed on: 15 mar. 2024.