Security-101 应用安全AppSec关键能力与工具全解从 SAST、DAST 到 RASP、WAF 与 API 安全【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101在 Security-101 课程的「Application security fundamentals应用安全基础」模块中5.1 AppSec key concepts 介绍了应用安全的核心原则安全设计、输入验证、输出编码、认证授权、数据保护、安全 SDLC 等而本课5.2则回答一个更实操的问题到底有哪些关键能力与工具能帮助团队识别、缓解并预防软件应用中的安全漏洞与威胁读完本文你将系统掌握 13 类 AppSec 核心能力SAST、DAST、IAST、RASP、WAF、依赖扫描、渗透测试、容器安全、安全编码培训、安全测试框架、安全代码评审、API 与微服务安全等的定义、工作原理、适用场景与代表性工具并能把它们对应到开发、测试、部署、运行的完整软件生命周期中。为什么需要系统梳理 AppSec 能力与工具应用程序是网络攻击最常瞄准的目标攻击者利用软件中的漏洞与弱点实现未授权访问、数据窃取、服务中断等恶意活动。正如 5.1 AppSec key concepts 所强调的应用安全要保障应用的机密性Confidentiality、完整性Integrity与可用性Availability并把安全内建到从需求到部署维护的每个环节。但原则要落地必须依赖具体的能力与工具。本课列举的 13 类 AppSec 能力覆盖了**开发期构建前→ 测试期构建后运行前→ 运行期上线后**的全链路每类能力解决一类特定的风险彼此互补、形成纵深防御。下面先给出一张总览表再逐类深入。AppSec 关键能力与工具总览#能力类别核心作用代表工具原文列举1Static Application Security TestingSAST分析源码/字节码/二进制发现代码库内的漏洞Fortify、Checkmarx、Veracode2Dynamic Application Security TestingDAST对运行中的应用发送输入请求并分析响应ZAP、Burp Suite、Qualys Web Application Scanning3Interactive Application Security TestingIAST运行时结合 SAST 与 DAST结果更精确、误报更少Contrast Security、HCL AppScan4Runtime Application Self-ProtectionRASP实时监控并保护应用即时检测与响应威胁Veracode Runtime Protection、F5 Advanced WAF with RASP5Web Application FirewallsWAF应用与互联网之间的防护屏障过滤并拦截恶意请求ModSecurity、AWS WAF、Akamai Kona Site Defender6Dependency Scanning识别第三方库与组件中的已知漏洞OWASP Dependency-Check、Snyk7Penetration TestingPen Testing模拟真实攻击评估应用安全状况Metasploit、Nmap由持证道德黑客执行8Security Scanning and Analysis扫描已知漏洞、配置错误与安全误配置Nessus、Qualys Vulnerability Management、OpenVAS9Container Security Tools保护容器化应用及其运行环境Docker Security Scanning、Aqua Security10Secure Development Training面向开发团队的安全编码培训与意识提升定制化培训项目与平台11Security Testing Frameworks提供综合性的应用安全测试框架OWASP Amass、OWASP OWTF、FrAppSec12Secure Code Review Tools审查源码中的安全漏洞与编码最佳实践SonarQube、Checkmarx13Secure APIs and Microservices Tools保障 API 与微服务的认证、授权与数据保护Apigee、AWS API Gateway、Istio这 13 类能力并非互斥而是可以组合进一条完整的安全防线。下面按「检测手段 → 运行时防护 → 供应链 → 主动攻击 → 环境与流程 → API 边界」的顺序逐类拆解。检测类SAST、DAST 与 IASTSAST在代码提交阶段发现漏洞Static Application Security Testing静态应用安全测试检查源代码、字节码或二进制代码在应用运行之前定位代码库内部的安全缺陷。它不执行程序而是通过词法、语法与数据流分析来识别问题因此又被称为白盒测试。能力检查源码、字节码或二进制代码检测应用代码库内的安全漏洞。工具示例Fortify、Checkmarx、Veracode。适用场景集成到 CI/CD 流水线中在每次提交或合并时自动扫描把漏洞拦截在最早阶段。这与 README.md 模块概览中提到的pipeline security tools, code scanning, secret scanning定位一致——SAST 正是流水线安全扫描的核心组成部分。局限对运行期才暴露的逻辑漏洞、配置问题覆盖有限且可能产生误报需要人工研判。DAST对运行中的应用发起黑盒探测Dynamic Application Security Testing动态应用安全测试面向正在运行的应用通过发送构造的输入请求并分析其响应来发现漏洞。DAST 不需要源码从攻击者视角黑盒工作。能力向运行中的应用发送输入请求、分析响应从而揭示漏洞。工具示例ZAPOWASP ZAP开源 Web 应用扫描器、Burp Suite、Qualys Web Application Scanning。适用场景应用部署到测试环境后执行常用于发现 SQL 注入、跨站脚本XSS、认证绕过等 Web 层问题弥补 SAST 无法覆盖的运行时行为。局限覆盖面取决于对应用行为的探测深度部分漏洞可能因路径未触达而漏报。IAST运行时结合静态与动态分析Interactive Application Security Testing交互式应用安全测试结合 SAST 与 DAST 的特点在应用运行时进行代码分析从而获得更精确的结果并显著减少误报。能力在运行时分析代码兼具静态分析的代码上下文与动态分析的真实请求链路结果更精准、误报更少。工具示例Contrast Security、HCL AppScan。适用场景作为测试阶段单元测试、集成测试、手工测试的探针在真实流量经过代码路径时标记漏洞减少单独维护扫描流水线的成本。三者最直观的对照如下维度SASTDASTIAST是否需要运行应用否静态分析是黑盒探测是运行时插桩/观测需要源码吗需要不需要视实现方式而定发现时机开发期测试期测试期/运行期主要优势早发现、覆盖全代码贴近真实攻击视角精确、低误报运行时防护类RASP 与 WAFRASP应用自身的实时免疫系统Runtime Application Self-Protection运行时应用自保护与应用运行在同一环境中实时监控并保护应用在威胁发生的瞬间进行检测与响应。能力实时监控并守护应用在安全威胁发生时即时检测、即时响应。工具示例Veracode Runtime Protection、F5 Advanced WAF with RASP。适用场景应用上线后的最后一公里防线。由于 RASP 与应用同进程运行能感知应用上下文对攻击的判断比网络层更准确可拦截 DAST 扫描器难以模拟的业务逻辑攻击。WAF应用与互联网之间的屏障Web Application FirewallWeb 应用防火墙充当应用与互联网之间的保护屏障过滤流入的流量并拦截恶意请求。它与 3.3 Network security capabilities 中介绍的 WAF 是同一类能力专门用于保护 Web 应用免受 SQL 注入、跨站脚本XSS等攻击通过分析 HTTP 请求与响应来识别和阻断恶意流量。能力过滤流入流量、阻断恶意请求防止应用直接暴露于攻击面。工具示例ModSecurity开源 WAF 引擎、AWS WAF、Akamai Kona Site Defender。部署位置通常位于应用入口之前云负载均衡、CDN 或反向代理层是纵深防御中网络边界 → 应用边界之间的关键一环。供应链安全依赖扫描现代应用大量复用第三方库与开源组件供应链已成为攻击者高价值目标。Dependency Scanning依赖扫描专门识别应用使用的第三方库与组件中的已知漏洞。能力识别应用中使用的第三方库与组件内的漏洞。工具示例OWASP Dependency-Check开源、Snyk。实战要点与 5.1 AppSec key concepts 中的「Secure Dependencies安全依赖」原则一一对应——保持所有软件依赖与安全补丁同步以预防漏洞。依赖扫描应内置到 CI 流水线中对引入新依赖的合并请求自动阻断存在已知高危 CVE 的版本并对存量依赖持续跟踪补丁。主动攻击视角渗透测试Pen TestingPenetration Testing渗透测试通过模拟真实世界的攻击来发现漏洞并评估应用的安全状况是最接近攻击者视角的验证手段。能力模拟真实攻击发现漏洞并评估应用安全性。工具由持证道德黑客certified ethical hackers与安全专业人员实施常用 Metasploit漏洞利用框架与 Nmap网络侦察与端口扫描等工具。与自动化扫描的区别SAST/DAST/依赖扫描是自动化、常态化的广度覆盖渗透测试则是周期性、人工主导的深度验证能发现自动化工具难以识别的业务逻辑漏洞与攻击链组合。两者配合构成完整的检测体系。漏洞与配置扫描Security Scanning and AnalysisSecurity Scanning and Analysis安全扫描与分析扫描已知漏洞、配置错误与安全误配置属于典型的漏洞管理能力。能力扫描已知漏洞、配置错误与安全误配置。工具示例Nessus、Qualys Vulnerability Management、OpenVAS。与漏洞管理流程的关系本课这一能力与 6.2 Infrastructure security capabilities 中介绍的漏洞管理Vulnerability Management闭环相通——识别扫描→ 评估CVSS 评分与业务上下文→ 优先级排序 → 缓解补丁/加固/补偿控制→ 验证 → 持续监控。应用侧的配置扫描聚焦应用服务器、框架配置与部署清单中的错误设置是默认安全落地的检测保障。环境安全容器安全工具随着云原生架构普及Container Security Tools容器安全工具专注于保护容器化应用及其运行环境。能力聚焦容器化应用及其运行环境的防护。工具示例Docker Security Scanning、Aqua Security。关注维度容器镜像的已知漏洞扫描、镜像签名与来源可信度、运行时行为监控异常进程、特权提升、以及容器编排平台如 Kubernetes的配置安全。这与 6.2 Infrastructure security capabilities 中 CNAPP云原生应用保护平台把容器扫描作为核心数据源之一的思路完全一致——现代 AppSec 与基础设施安全在容器场景中高度重叠。人与流程安全培训、安全测试框架与安全代码评审工具无法替代人的安全意识与工程实践本课用三类能力补足人因环节。Secure Development Training安全开发培训能力为开发团队提供培训与意识提升项目推动安全编码实践。工具定制化培训项目与平台。价值从源头减少漏洞。研究表明多数 Web 漏洞源于开发者的安全意识不足培训与 5.1 的「Secure by Design安全设计」原则互为表里——只有当团队理解输入校验、输出编码、会话管理等原则工具扫描出的问题才能真正被正确修复。Security Testing Frameworks安全测试框架能力为不同的应用安全测试需求提供综合性测试框架。工具OWASP Amass外部资产与子域名枚举、OWASP OWTFOffensive Web Testing Framework攻击性 Web 测试框架、FrAppSec。定位这类框架多为开源社区产物帮助安全测试人员系统化组织侦察、枚举与测试步骤常作为渗透测试与 DAST 的辅助支撑。Secure Code Review Tools安全代码评审工具能力审查源码识别安全漏洞并确保遵循编码最佳实践。工具示例SonarQube、Checkmarx。定位介于 SAST 与人工评审之间——自动发现坏味道与已知漏洞模式为人工代码评审Peer Review提供聚焦清单提升评审效率与覆盖率。API 与微服务安全认证、授权与数据保护现代应用大量拆分为 API 与微服务攻击面随之迁移到 API 边界。Secure APIs and Microservices Tools安全 API 与微服务工具专注于保障 API 与微服务的安全包括认证Authentication、授权Authorization与数据保护。能力保障 API 与微服务安全涵盖认证、授权与数据保护。工具示例ApigeeAPI 管理网关、AWS API Gateway云 API 网关、Istio服务网格。实战要点API 网关层Apigee、AWS API Gateway统一实施流量限速、认证令牌校验、密钥管理与 API 策略形成 API 的单一安全入口服务网格层Istio在微服务之间提供双向 TLSmTLS、细粒度授权策略与可观测性实现服务间通信的加密与最小权限与 2.3 IAM capabilities 中介绍的身份能力MFA、SSO、RBAC 等联动——API 的授权最终要落到身份体系上。把 13 类能力编排进软件生命周期本课列举的能力看似庞杂实则都能映射到 5.1 AppSec key concepts 提出的「Secure Software Development Lifecycle安全 SDLC」的各个阶段生命周期阶段建议引入的 AppSec 能力需求与设计Secure Development Training、Security Testing Frameworks威胁建模辅助编码SAST、Secure Code Review Tools、Dependency Scanning引入依赖时构建与测试SAST、DAST、IAST、Dependency ScanningCI/CD 流水线内部署前Pen Testing、Security Scanning and Analysis配置基线核查运行与维护WAF、RASP、Container Security Tools、Secure APIs and Microservices Tools其中 SAST、依赖扫描等流水线安全工具正是 README.md 模块概览对本课定位的概括Learn about AppSec tooling: pipeline security tools, code scanning, secret scanning, etc.——即把安全检测内建到持续集成/持续交付流水线中让每次构建都自动接受安全检查。小结应用安全不是单一工具能解决的而是由检测SAST/DAST/IAST→ 运行时防护RASP/WAF→ 供应链治理依赖扫描→ 主动验证渗透测试→ 环境加固容器安全、配置扫描→ 人与流程培训、框架、代码评审→ API 边界网关与服务网格构成的多层防线。建议学习者按先理解每类能力解决什么问题再思考如何编排进自己团队的 SDLC的顺序消化本课内容并可在学完后通过 5.3 End of module quiz 自测或继续学习模块 6基础设施安全能力了解云原生侧的漏洞管理与 CNAPP 平台。【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Security-101 应用安全（AppSec）关键能力与工具全解：从 SAST、DAST 到 RASP、WAF 与 API 安全
Security-101 应用安全AppSec关键能力与工具全解从 SAST、DAST 到 RASP、WAF 与 API 安全【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101在 Security-101 课程的「Application security fundamentals应用安全基础」模块中5.1 AppSec key concepts 介绍了应用安全的核心原则安全设计、输入验证、输出编码、认证授权、数据保护、安全 SDLC 等而本课5.2则回答一个更实操的问题到底有哪些关键能力与工具能帮助团队识别、缓解并预防软件应用中的安全漏洞与威胁读完本文你将系统掌握 13 类 AppSec 核心能力SAST、DAST、IAST、RASP、WAF、依赖扫描、渗透测试、容器安全、安全编码培训、安全测试框架、安全代码评审、API 与微服务安全等的定义、工作原理、适用场景与代表性工具并能把它们对应到开发、测试、部署、运行的完整软件生命周期中。为什么需要系统梳理 AppSec 能力与工具应用程序是网络攻击最常瞄准的目标攻击者利用软件中的漏洞与弱点实现未授权访问、数据窃取、服务中断等恶意活动。正如 5.1 AppSec key concepts 所强调的应用安全要保障应用的机密性Confidentiality、完整性Integrity与可用性Availability并把安全内建到从需求到部署维护的每个环节。但原则要落地必须依赖具体的能力与工具。本课列举的 13 类 AppSec 能力覆盖了**开发期构建前→ 测试期构建后运行前→ 运行期上线后**的全链路每类能力解决一类特定的风险彼此互补、形成纵深防御。下面先给出一张总览表再逐类深入。AppSec 关键能力与工具总览#能力类别核心作用代表工具原文列举1Static Application Security TestingSAST分析源码/字节码/二进制发现代码库内的漏洞Fortify、Checkmarx、Veracode2Dynamic Application Security TestingDAST对运行中的应用发送输入请求并分析响应ZAP、Burp Suite、Qualys Web Application Scanning3Interactive Application Security TestingIAST运行时结合 SAST 与 DAST结果更精确、误报更少Contrast Security、HCL AppScan4Runtime Application Self-ProtectionRASP实时监控并保护应用即时检测与响应威胁Veracode Runtime Protection、F5 Advanced WAF with RASP5Web Application FirewallsWAF应用与互联网之间的防护屏障过滤并拦截恶意请求ModSecurity、AWS WAF、Akamai Kona Site Defender6Dependency Scanning识别第三方库与组件中的已知漏洞OWASP Dependency-Check、Snyk7Penetration TestingPen Testing模拟真实攻击评估应用安全状况Metasploit、Nmap由持证道德黑客执行8Security Scanning and Analysis扫描已知漏洞、配置错误与安全误配置Nessus、Qualys Vulnerability Management、OpenVAS9Container Security Tools保护容器化应用及其运行环境Docker Security Scanning、Aqua Security10Secure Development Training面向开发团队的安全编码培训与意识提升定制化培训项目与平台11Security Testing Frameworks提供综合性的应用安全测试框架OWASP Amass、OWASP OWTF、FrAppSec12Secure Code Review Tools审查源码中的安全漏洞与编码最佳实践SonarQube、Checkmarx13Secure APIs and Microservices Tools保障 API 与微服务的认证、授权与数据保护Apigee、AWS API Gateway、Istio这 13 类能力并非互斥而是可以组合进一条完整的安全防线。下面按「检测手段 → 运行时防护 → 供应链 → 主动攻击 → 环境与流程 → API 边界」的顺序逐类拆解。检测类SAST、DAST 与 IASTSAST在代码提交阶段发现漏洞Static Application Security Testing静态应用安全测试检查源代码、字节码或二进制代码在应用运行之前定位代码库内部的安全缺陷。它不执行程序而是通过词法、语法与数据流分析来识别问题因此又被称为白盒测试。能力检查源码、字节码或二进制代码检测应用代码库内的安全漏洞。工具示例Fortify、Checkmarx、Veracode。适用场景集成到 CI/CD 流水线中在每次提交或合并时自动扫描把漏洞拦截在最早阶段。这与 README.md 模块概览中提到的pipeline security tools, code scanning, secret scanning定位一致——SAST 正是流水线安全扫描的核心组成部分。局限对运行期才暴露的逻辑漏洞、配置问题覆盖有限且可能产生误报需要人工研判。DAST对运行中的应用发起黑盒探测Dynamic Application Security Testing动态应用安全测试面向正在运行的应用通过发送构造的输入请求并分析其响应来发现漏洞。DAST 不需要源码从攻击者视角黑盒工作。能力向运行中的应用发送输入请求、分析响应从而揭示漏洞。工具示例ZAPOWASP ZAP开源 Web 应用扫描器、Burp Suite、Qualys Web Application Scanning。适用场景应用部署到测试环境后执行常用于发现 SQL 注入、跨站脚本XSS、认证绕过等 Web 层问题弥补 SAST 无法覆盖的运行时行为。局限覆盖面取决于对应用行为的探测深度部分漏洞可能因路径未触达而漏报。IAST运行时结合静态与动态分析Interactive Application Security Testing交互式应用安全测试结合 SAST 与 DAST 的特点在应用运行时进行代码分析从而获得更精确的结果并显著减少误报。能力在运行时分析代码兼具静态分析的代码上下文与动态分析的真实请求链路结果更精准、误报更少。工具示例Contrast Security、HCL AppScan。适用场景作为测试阶段单元测试、集成测试、手工测试的探针在真实流量经过代码路径时标记漏洞减少单独维护扫描流水线的成本。三者最直观的对照如下维度SASTDASTIAST是否需要运行应用否静态分析是黑盒探测是运行时插桩/观测需要源码吗需要不需要视实现方式而定发现时机开发期测试期测试期/运行期主要优势早发现、覆盖全代码贴近真实攻击视角精确、低误报运行时防护类RASP 与 WAFRASP应用自身的实时免疫系统Runtime Application Self-Protection运行时应用自保护与应用运行在同一环境中实时监控并保护应用在威胁发生的瞬间进行检测与响应。能力实时监控并守护应用在安全威胁发生时即时检测、即时响应。工具示例Veracode Runtime Protection、F5 Advanced WAF with RASP。适用场景应用上线后的最后一公里防线。由于 RASP 与应用同进程运行能感知应用上下文对攻击的判断比网络层更准确可拦截 DAST 扫描器难以模拟的业务逻辑攻击。WAF应用与互联网之间的屏障Web Application FirewallWeb 应用防火墙充当应用与互联网之间的保护屏障过滤流入的流量并拦截恶意请求。它与 3.3 Network security capabilities 中介绍的 WAF 是同一类能力专门用于保护 Web 应用免受 SQL 注入、跨站脚本XSS等攻击通过分析 HTTP 请求与响应来识别和阻断恶意流量。能力过滤流入流量、阻断恶意请求防止应用直接暴露于攻击面。工具示例ModSecurity开源 WAF 引擎、AWS WAF、Akamai Kona Site Defender。部署位置通常位于应用入口之前云负载均衡、CDN 或反向代理层是纵深防御中网络边界 → 应用边界之间的关键一环。供应链安全依赖扫描现代应用大量复用第三方库与开源组件供应链已成为攻击者高价值目标。Dependency Scanning依赖扫描专门识别应用使用的第三方库与组件中的已知漏洞。能力识别应用中使用的第三方库与组件内的漏洞。工具示例OWASP Dependency-Check开源、Snyk。实战要点与 5.1 AppSec key concepts 中的「Secure Dependencies安全依赖」原则一一对应——保持所有软件依赖与安全补丁同步以预防漏洞。依赖扫描应内置到 CI 流水线中对引入新依赖的合并请求自动阻断存在已知高危 CVE 的版本并对存量依赖持续跟踪补丁。主动攻击视角渗透测试Pen TestingPenetration Testing渗透测试通过模拟真实世界的攻击来发现漏洞并评估应用的安全状况是最接近攻击者视角的验证手段。能力模拟真实攻击发现漏洞并评估应用安全性。工具由持证道德黑客certified ethical hackers与安全专业人员实施常用 Metasploit漏洞利用框架与 Nmap网络侦察与端口扫描等工具。与自动化扫描的区别SAST/DAST/依赖扫描是自动化、常态化的广度覆盖渗透测试则是周期性、人工主导的深度验证能发现自动化工具难以识别的业务逻辑漏洞与攻击链组合。两者配合构成完整的检测体系。漏洞与配置扫描Security Scanning and AnalysisSecurity Scanning and Analysis安全扫描与分析扫描已知漏洞、配置错误与安全误配置属于典型的漏洞管理能力。能力扫描已知漏洞、配置错误与安全误配置。工具示例Nessus、Qualys Vulnerability Management、OpenVAS。与漏洞管理流程的关系本课这一能力与 6.2 Infrastructure security capabilities 中介绍的漏洞管理Vulnerability Management闭环相通——识别扫描→ 评估CVSS 评分与业务上下文→ 优先级排序 → 缓解补丁/加固/补偿控制→ 验证 → 持续监控。应用侧的配置扫描聚焦应用服务器、框架配置与部署清单中的错误设置是默认安全落地的检测保障。环境安全容器安全工具随着云原生架构普及Container Security Tools容器安全工具专注于保护容器化应用及其运行环境。能力聚焦容器化应用及其运行环境的防护。工具示例Docker Security Scanning、Aqua Security。关注维度容器镜像的已知漏洞扫描、镜像签名与来源可信度、运行时行为监控异常进程、特权提升、以及容器编排平台如 Kubernetes的配置安全。这与 6.2 Infrastructure security capabilities 中 CNAPP云原生应用保护平台把容器扫描作为核心数据源之一的思路完全一致——现代 AppSec 与基础设施安全在容器场景中高度重叠。人与流程安全培训、安全测试框架与安全代码评审工具无法替代人的安全意识与工程实践本课用三类能力补足人因环节。Secure Development Training安全开发培训能力为开发团队提供培训与意识提升项目推动安全编码实践。工具定制化培训项目与平台。价值从源头减少漏洞。研究表明多数 Web 漏洞源于开发者的安全意识不足培训与 5.1 的「Secure by Design安全设计」原则互为表里——只有当团队理解输入校验、输出编码、会话管理等原则工具扫描出的问题才能真正被正确修复。Security Testing Frameworks安全测试框架能力为不同的应用安全测试需求提供综合性测试框架。工具OWASP Amass外部资产与子域名枚举、OWASP OWTFOffensive Web Testing Framework攻击性 Web 测试框架、FrAppSec。定位这类框架多为开源社区产物帮助安全测试人员系统化组织侦察、枚举与测试步骤常作为渗透测试与 DAST 的辅助支撑。Secure Code Review Tools安全代码评审工具能力审查源码识别安全漏洞并确保遵循编码最佳实践。工具示例SonarQube、Checkmarx。定位介于 SAST 与人工评审之间——自动发现坏味道与已知漏洞模式为人工代码评审Peer Review提供聚焦清单提升评审效率与覆盖率。API 与微服务安全认证、授权与数据保护现代应用大量拆分为 API 与微服务攻击面随之迁移到 API 边界。Secure APIs and Microservices Tools安全 API 与微服务工具专注于保障 API 与微服务的安全包括认证Authentication、授权Authorization与数据保护。能力保障 API 与微服务安全涵盖认证、授权与数据保护。工具示例ApigeeAPI 管理网关、AWS API Gateway云 API 网关、Istio服务网格。实战要点API 网关层Apigee、AWS API Gateway统一实施流量限速、认证令牌校验、密钥管理与 API 策略形成 API 的单一安全入口服务网格层Istio在微服务之间提供双向 TLSmTLS、细粒度授权策略与可观测性实现服务间通信的加密与最小权限与 2.3 IAM capabilities 中介绍的身份能力MFA、SSO、RBAC 等联动——API 的授权最终要落到身份体系上。把 13 类能力编排进软件生命周期本课列举的能力看似庞杂实则都能映射到 5.1 AppSec key concepts 提出的「Secure Software Development Lifecycle安全 SDLC」的各个阶段生命周期阶段建议引入的 AppSec 能力需求与设计Secure Development Training、Security Testing Frameworks威胁建模辅助编码SAST、Secure Code Review Tools、Dependency Scanning引入依赖时构建与测试SAST、DAST、IAST、Dependency ScanningCI/CD 流水线内部署前Pen Testing、Security Scanning and Analysis配置基线核查运行与维护WAF、RASP、Container Security Tools、Secure APIs and Microservices Tools其中 SAST、依赖扫描等流水线安全工具正是 README.md 模块概览对本课定位的概括Learn about AppSec tooling: pipeline security tools, code scanning, secret scanning, etc.——即把安全检测内建到持续集成/持续交付流水线中让每次构建都自动接受安全检查。小结应用安全不是单一工具能解决的而是由检测SAST/DAST/IAST→ 运行时防护RASP/WAF→ 供应链治理依赖扫描→ 主动验证渗透测试→ 环境加固容器安全、配置扫描→ 人与流程培训、框架、代码评审→ API 边界网关与服务网格构成的多层防线。建议学习者按先理解每类能力解决什么问题再思考如何编排进自己团队的 SDLC的顺序消化本课内容并可在学完后通过 5.3 End of module quiz 自测或继续学习模块 6基础设施安全能力了解云原生侧的漏洞管理与 CNAPP 平台。【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考