DevSecOps cho Nhà phát triển: Hướng dẫn Thực hành Shift-Left Security

spinny:~/writing $ vim devsecops-shift-left-security-guide.md

1~
2Một lỗ hổng bảo mật được phát hiện khi đang viết code chỉ tốn vài phút để sửa. Cùng lỗ hổng đó nếu bị phát hiện ở production sẽ tốn cả một sprint. Và nếu kẻ tấn công tìm thấy trước, chi phí lên tới hàng triệu đô la. Đây là luận điểm cốt lõi của **shift-left security**  -  đưa các kiểm tra bảo mật lên sớm nhất có thể trong vòng đời phát triển.
3~
4DevSecOps biến ý tưởng này thành thực tiễn: bảo mật không phải là một giai đoạn riêng biệt ở cuối mà là một quá trình liên tục được đan xen vào mọi giai đoạn phát triển, từ dòng code đầu tiên đến khi deploy lên production.
5~
6## Chi phí của Bảo mật Muộn
7~
8Báo cáo Cost of a Data Breach của IBM đã liên tục cho thấy chi phí sửa các vấn đề bảo mật tăng theo cấp số nhân khi phát hiện càng muộn:
9~
10| Giai đoạn | Chi phí Sửa | Thời gian Sửa |
11|-------|------------|-------------|
12| **IDE / Local Dev** | Phút | Giây đến phút |
13| **Code Review / PR** | Giờ | Phút đến giờ |
14| **CI/CD Pipeline** | Ngày | Giờ đến ngày |
15| **Staging / QA** | Tuần | Ngày |
16| **Production** | Tháng | Tuần đến tháng |
17| **Sau khi bị xâm nhập** | Hàng triệu đô la | Tháng đến năm |
18~
19Kết luận rõ ràng: mỗi giai đoạn bạn đưa bảo mật lên sớm hơn sẽ tiết kiệm được một bậc về chi phí và thời gian.
20~
21## DevSecOps Pipeline
22~
23Một DevSecOps pipeline hoàn chỉnh tích hợp kiểm tra bảo mật ở mọi giai đoạn:
24~
25```mermaid
26graph LR
27    IDE[IDE / Editor] --> PC[Pre-commit Hooks]
28    PC --> PR[Pull Request]
29    PR --> CI[CI Pipeline]
30    CI --> Build[Build / Package]
31    Build --> Deploy[Deploy]
32    Deploy --> Runtime[Runtime / Production]
33~
34    IDE -.- S1[SAST\nSecret Detection\nLinting]
35    PC -.- S2[Secrets Scan\nFormat Check]
36    PR -.- S3[Code Review\nDependency Audit]
37    CI -.- S4[SAST\nSCA\nContainer Scan\nSBOM]
38    Build -.- S5[Image Signing\nArtifact Verification]
39    Deploy -.- S6[Policy Enforcement\nAdmission Control]
40    Runtime -.- S7[DAST\nWAF\nMonitoring]
41```
42~
43Hãy cùng phân tích từng giai đoạn với các công cụ và cấu hình cụ thể.
44~
45## Giai đoạn 1: Bảo mật trong IDE
46~
47Vòng phản hồi nhanh nhất. Bắt lỗ hổng trước khi bạn lưu file.
48~
49### Công cụ Khuyên dùng
50~
51- **Semgrep**: công cụ static analysis nhẹ với community rules cho các lỗ hổng OWASP
52- **Snyk IDE Extension**: quét lỗ hổng dependency theo thời gian thực
53- **GitLens + GitLeaks**: phát hiện secret trong editor
54- **ESLint Security Plugins**: `eslint-plugin-security` cho Node.js, `eslint-plugin-no-unsanitized` cho DOM XSS
55~
56### Ví dụ: Cấu hình ESLint Security
57~
58```json
59{
60  "extends": ["eslint:recommended"],
61  "plugins": ["security", "no-unsanitized"],
62  "rules": {
63    "security/detect-object-injection": "warn",
64    "security/detect-non-literal-regexp": "warn",
65    "security/detect-unsafe-regex": "error",
66    "security/detect-buffer-noassert": "error",
67    "security/detect-eval-with-expression": "error",
68    "security/detect-no-csrf-before-method-override": "error",
69    "security/detect-possible-timing-attacks": "warn",
70    "no-unsanitized/method": "error",
71    "no-unsanitized/property": "error"
72  }
73}
74```
75~
76## Giai đoạn 2: Pre-commit Hooks
77~
78Tuyến phòng thủ thứ hai. Tự động chạy trước mọi commit, chặn code nguy hiểm không cho vào repository.
79~
80### Gitleaks: Bắt Secret Trước khi Vào Git
81~
82Lỗi bảo mật phổ biến nhất trong codebase là commit secret  -  API key, mật khẩu cơ sở dữ liệu, token. Một khi secret đã vào git history, việc xóa hoàn toàn là cực kỳ khó khăn (ngay cả khi force push, các fork và cache vẫn có thể giữ lại).
83~
84```yaml
85# .pre-commit-config.yaml
86repos:
87  - repo: https://github.com/gitleaks/gitleaks
88    rev: v8.21.0
89    hooks:
90      - id: gitleaks
91~
92  - repo: https://github.com/semgrep/semgrep
93    rev: v1.90.0
94    hooks:
95      - id: semgrep
96        args: ['--config', 'auto']
97```
98~
99Cài đặt và kích hoạt:
100~
101```bash
102pip install pre-commit
103pre-commit install
104```
105~
106Bây giờ mỗi lần `git commit` sẽ tự động quét secret bị rò rỉ và các lỗ hổng phổ biến. Nếu tìm thấy bất kỳ điều gì, commit sẽ bị chặn.
107~
108### Tùy chỉnh Quy tắc Gitleaks
109~
110Bạn có thể thêm các pattern tùy chỉnh cho secret của tổ chức:
111~
112```toml
113# .gitleaks.toml
114title = "Custom Gitleaks Config"
115~
116[[rules]]
117id = "internal-api-key"
118description = "Internal API key detected"
119regex = '''INTERNAL_KEY_[A-Za-z0-9]{32}'''
120tags = ["key", "internal"]
121```
122~
123## Giai đoạn 3: Bảo mật CI/CD Pipeline
124~
125Đây là nơi công việc nặng nhọc diễn ra. CI pipeline của bạn nên chạy nhiều lượt quét bảo mật trên mỗi pull request.
126~
127### SAST (Static Application Security Testing)
128~
129Các công cụ SAST phân tích mã nguồn mà không cần thực thi, tìm kiếm các pattern cho thấy lỗ hổng.
130~
131```yaml
132# .github/workflows/security.yml
133name: Security Scan
134on:
135  pull_request:
136    branches: [main]
137~
138jobs:
139  sast:
140    name: Static Analysis
141    runs-on: ubuntu-latest
142    steps:
143      - uses: actions/checkout@v4
144~
145      - name: Run Semgrep
146        uses: semgrep/semgrep-action@v1
147        with:
148          config: >-
149            p/owasp-top-ten
150            p/typescript
151            p/nodejs
152            p/react
153          generateSarif: true
154~
155      - name: Upload SARIF
156        uses: github/codeql-action/upload-sarif@v3
157        with:
158          sarif_file: semgrep.sarif
159```
160~
161Ruleset `p/owasp-top-ten` của Semgrep bắt các lỗ hổng phổ biến nhất: SQL injection, XSS, SSRF, path traversal, insecure deserialization và nhiều hơn nữa.
162~
163### SCA (Software Composition Analysis)
164~
165SCA quét các dependency để tìm lỗ hổng đã biết. Điều này rất quan trọng  -  hơn 80% code ứng dụng hiện đại đến từ các dependency mã nguồn mở.
166~
167```yaml
168  dependency-scan:
169    name: Dependency Audit
170    runs-on: ubuntu-latest
171    steps:
172      - uses: actions/checkout@v4
173~
174      - name: Run Snyk
175        uses: snyk/actions/node@master
176        env:
177          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
178        with:
179          args: --severity-threshold=high
180~
181      - name: npm audit
182        run: npm audit --audit-level=high
183```
184~
185### Bảo mật Container với Trivy
186~
187Nếu bạn build Docker image, việc quét lỗ hổng là thiết yếu. **Trivy** là container scanner mã nguồn mở phổ biến nhất.
188~
189```yaml
190  container-scan:
191    name: Container Security
192    runs-on: ubuntu-latest
193    steps:
194      - uses: actions/checkout@v4
195~
196      - name: Build image
197        run: docker build -t my-app:${{ github.sha }} .
198~
199      - name: Run Trivy
200        uses: aquasecurity/trivy-action@master
201        with:
202          image-ref: my-app:${{ github.sha }}
203          format: 'sarif'
204          output: 'trivy-results.sarif'
205          severity: 'CRITICAL,HIGH'
206          exit-code: '1'
207~
208      - name: Upload Trivy SARIF
209        uses: github/codeql-action/upload-sarif@v3
210        with:
211          sarif_file: trivy-results.sarif
212```
213~
214### Tạo SBOM
215~
216**Software Bill of Materials (SBOM)** là danh mục đầy đủ mọi component trong ứng dụng của bạn. Ngày càng được yêu cầu bởi các compliance framework và quy định của chính phủ (Lệnh Hành pháp của Mỹ về Cybersecurity yêu cầu SBOM cho phần mềm của liên bang).
217~
218```yaml
219  sbom:
220    name: Generate SBOM
221    runs-on: ubuntu-latest
222    steps:
223      - uses: actions/checkout@v4
224~
225      - name: Generate SBOM with Syft
226        uses: anchore/sbom-action@v0
227        with:
228          format: spdx-json
229          output-file: sbom.spdx.json
230~
231      - name: Upload SBOM
232        uses: actions/upload-artifact@v4
233        with:
234          name: sbom
235          path: sbom.spdx.json
236```
237~
238## Giai đoạn 4: Docker Image An toàn
239~
240Docker image cho production nên tuân theo nguyên tắc đặc quyền tối thiểu. Đây là một Dockerfile đã được tăng cường:
241~
242```dockerfile
243# Build stage
244FROM node:22-alpine AS builder
245WORKDIR /app
246COPY package.json package-lock.json ./
247RUN npm ci
248COPY . .
249RUN npm run build
250~
251# Production stage
252FROM node:22-alpine AS runner
253WORKDIR /app
254~
255# Install dumb-init before dropping root
256RUN apk add --no-cache dumb-init
257~
258# Don't run as root
259RUN addgroup -S app && adduser -S app -G app
260~
261# Copy only what's needed
262COPY --from=builder --chown=app:app /app/dist ./dist
263COPY --from=builder --chown=app:app /app/node_modules ./node_modules
264COPY --from=builder --chown=app:app /app/package.json ./
265~
266# Drop to non-root user
267USER app
268ENTRYPOINT ["dumb-init", "--"]
269~
270# Health check
271HEALTHCHECK --interval=30s --timeout=3s --retries=3 \
272  CMD wget -qO- http://localhost:3000/health || exit 1
273~
274EXPOSE 3000
275CMD ["node", "dist/server.js"]
276```
277~
278Các thực hành chính:
279~
2801. **Sử dụng multi-stage build**: giai đoạn builder có dev dependency; giai đoạn runner chỉ có code production
2812. **Không chạy bằng root**: tạo non-root user và chuyển sang
2823. **Sử dụng Alpine image**: bề mặt tấn công nhỏ hơn (ít package được cài đặt mặc định)
2834. **Ghim phiên bản image**: `node:22-alpine` thay vì `node:latest` để tránh supply chain attack
2845. **Sử dụng `npm ci`**: cài đặt xác định từ lock file, không phải `npm install`
285~
286## Giai đoạn 5: Quản lý Secret
287~
288Secret được hard-code là nguyên nhân hàng đầu gây ra các vụ xâm nhập trong các sự cố do nhà phát triển gây ra.
289~
290### Điều KHÔNG nên Làm
291~
292```typescript
293// NEVER do this
294const API_KEY = "sk-1234567890abcdef";
295const DB_PASSWORD = "supersecret123";
296~
297const client = new Client({
298  connectionString: `postgres://admin:${DB_PASSWORD}@db.example.com/prod`
299});
300```
301~
302### Điều Nên Làm Thay Thế
303~
304```typescript
305// Use environment variables
306const client = new Client({
307  connectionString: process.env.DATABASE_URL
308});
309~
310// Or use a secret manager
311import { SecretManagerServiceClient } from '@google-cloud/secret-manager';
312~
313const client = new SecretManagerServiceClient();
314const [version] = await client.accessSecretVersion({
315  name: 'projects/my-project/secrets/db-password/versions/latest',
316});
317const dbPassword = version.payload?.data?.toString();
318```
319~
320### Phân cấp Quản lý Secret
321~
322```mermaid
323graph TD
324    A[Secret Manager\nAWS Secrets Manager\nGCP Secret Manager\nHashiCorp Vault] --> B[Best: Rotated, audited, centralized]
325    C[Environment Variables\nInjected at deploy time] --> D[Good: Not in code, but static]
326    E[.env files\nWith .gitignore] --> F[Acceptable: Local development only]
327    G[Hard-coded in source] --> H[NEVER: Instant breach risk]
328~
329    style A fill:#d4edda
330    style C fill:#fff3cd
331    style E fill:#ffeeba
332    style G fill:#f8d7da
333```
334~
335## OWASP Top 10: Tham khảo Nhanh
336~
337Mọi nhà phát triển đều nên biết OWASP Top 10. Phiên bản tóm tắt:
338~
339| # | Lỗ hổng | Mô tả | Phòng ngừa |
340|---|--------------|-----------|------------|
341| 1 | **Broken Access Control** | Người dùng truy cập tài nguyên không được phép | Từ chối mặc định, xác thực phía server |
342| 2 | **Cryptographic Failures** | Mã hóa yếu, dữ liệu dạng plaintext | Sử dụng thuật toán mạnh (AES-256, bcrypt), TLS mọi nơi |
343| 3 | **Injection** | SQL, NoSQL, OS command injection | Parameterized query, kiểm tra input |
344| 4 | **Insecure Design** | Kiến trúc có lỗ hổng | Threat modeling, secure design pattern |
345| 5 | **Security Misconfiguration** | Thông tin đăng nhập mặc định, cloud bucket để mở | Giá trị mặc định cứng hóa, kiểm tra config tự động |
346| 6 | **Vulnerable Components** | CVE đã biết trong dependency | SCA scanning, cập nhật thường xuyên |
347| 7 | **Auth Failures** | Mật khẩu yếu, session bị hỏng | MFA, rate limiting, quản lý session an toàn |
348| 8 | **Data Integrity Failures** | Bản cập nhật chưa ký, CI/CD không tin cậy | Code signing, SBOM, pipeline integrity |
349| 9 | **Logging Failures** | Không có audit trail | Structured logging, cảnh báo bất thường |
350| 10 | **SSRF** | Server-side request forgery | Allowlist URL đầu ra, kiểm tra input |
351~
352## Workflow Bảo mật GitHub Actions Hoàn chỉnh
353~
354Một workflow sẵn sàng cho production kết hợp tất cả những điều trên:
355~
356```yaml
357# .github/workflows/security.yml
358name: Security Pipeline
359on:
360  pull_request:
361    branches: [main]
362  push:
363    branches: [main]
364~
365permissions:
366  contents: read
367  security-events: write
368~
369jobs:
370  secrets-scan:
371    name: Secret Detection
372    runs-on: ubuntu-latest
373    steps:
374      - uses: actions/checkout@v4
375        with:
376          fetch-depth: 0
377      - uses: gitleaks/gitleaks-action@v2
378        env:
379          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
380~
381  sast:
382    name: Static Analysis (SAST)
383    runs-on: ubuntu-latest
384    steps:
385      - uses: actions/checkout@v4
386      - uses: semgrep/semgrep-action@v1
387        with:
388          config: p/owasp-top-ten p/typescript p/nodejs
389~
390  dependency-audit:
391    name: Dependency Scan (SCA)
392    runs-on: ubuntu-latest
393    steps:
394      - uses: actions/checkout@v4
395      - uses: actions/setup-node@v4
396        with:
397          node-version: 22
398      - run: npm ci
399      - run: npm audit --audit-level=high
400      - uses: snyk/actions/node@master
401        env:
402          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
403        with:
404          args: --severity-threshold=high
405        continue-on-error: true
406~
407  container-scan:
408    name: Container Scan
409    runs-on: ubuntu-latest
410    needs: [sast, dependency-audit]
411    steps:
412      - uses: actions/checkout@v4
413      - run: docker build -t app:${{ github.sha }} .
414      - uses: aquasecurity/trivy-action@master
415        with:
416          image-ref: app:${{ github.sha }}
417          severity: CRITICAL,HIGH
418          exit-code: '1'
419~
420  sbom:
421    name: SBOM Generation
422    runs-on: ubuntu-latest
423    needs: [container-scan]
424    steps:
425      - uses: actions/checkout@v4
426      - uses: anchore/sbom-action@v0
427        with:
428          format: spdx-json
429          output-file: sbom.spdx.json
430```
431~
432```mermaid
433graph TD
434    PR[Pull Request] --> S1[Secret Detection]
435    PR --> S2[SAST - Semgrep]
436    PR --> S3[SCA - Snyk + npm audit]
437    S2 --> S4[Container Scan - Trivy]
438    S3 --> S4
439    S4 --> S5[SBOM Generation]
440    S5 --> Deploy[Deploy]
441~
442    S1 -.- F1[Block if secrets found]
443    S2 -.- F2[Block on critical vulns]
444    S3 -.- F3[Block on high severity]
445    S4 -.- F4[Block on critical CVEs]
446```
447~
448## Chỉ số Cần Theo dõi
449~
450Làm sao biết chương trình DevSecOps của bạn có hiệu quả? Theo dõi các chỉ số này:
451~
452- **Thời gian khắc phục trung bình (MTTR)**: tốc độ sửa lỗ hổng sau khi phát hiện
453- **Tỷ lệ lỗ hổng thoát ra**: phần trăm lỗ hổng đến được production
454- **Tỷ lệ false positive**: quá nhiều false positive dẫn đến mệt mỏi cảnh báo và bỏ qua các cảnh báo
455- **Độ mới của dependency**: tuổi trung bình của dependency (càng cũ càng có khả năng có CVE đã biết)
456- **Độ phủ SBOM**: phần trăm dự án có SBOM cập nhật
457~
458## Bắt đầu: Lộ trình Thực tế
459~
460Đừng cố làm tất cả mọi thứ cùng một lúc. Cách tiếp cận theo giai đoạn sẽ hiệu quả hơn:
461~
462```mermaid
463flowchart TD
464    A[Week 1-2: Foundations] --> B[Week 3-4: CI/CD Integration]
465    B --> C[Month 2: Container Security]
466    C --> D[Month 3+: Advanced]
467~
468    A --> A1[Add Gitleaks pre-commit hooks]
469    A --> A2[Enable npm audit in CI]
470    A --> A3[Add .gitignore for .env files]
471~
472    B --> B1[Add Semgrep to GitHub Actions]
473    B --> B2[Add Snyk dependency scanning]
474    B --> B3[Set up SARIF upload to GitHub]
475~
476    C --> C1[Add Trivy container scanning]
477    C --> C2[Harden Dockerfiles]
478    C --> C3[Generate SBOMs]
479~
480    D --> D1[Secret manager integration]
481    D --> D2[Runtime protection - DAST]
482    D --> D3[Policy as code - OPA]
483```
484~
485## Kết luận
486~
487DevSecOps không phải là thêm nhiều công cụ hơn vào pipeline  -  mà là làm cho bảo mật trở thành một phần tự nhiên trong cách bạn xây dựng phần mềm. Mục tiêu không phải chặn mọi PR bằng cảnh báo bảo mật mà là cung cấp phản hồi nhanh cho nhà phát triển để họ có thể sửa lỗi khi code còn mới trong đầu.
488~
489Bắt đầu từ những điều cơ bản: pre-commit hooks cho secret, dependency scanning trong CI và container scanning cho Docker image. Sau đó cải tiến dần dựa trên nhu cầu của đội.
490~
491Bảo mật không phải là một tính năng bạn phát hành một lần. Đó là một thực hành bạn xây dựng vào mọi commit.
492~
493> **Danh sách Kiểm tra Khởi đầu DevSecOps:**
494>
495> - [x] Cài đặt Gitleaks pre-commit hooks
496> - [x] Thêm .env và các file secret vào .gitignore
497> - [x] Tích hợp Semgrep SAST vào CI pipeline
498> - [x] Sử dụng Snyk hoặc npm audit để quét dependency
499> - [x] Sử dụng Trivy để quét container image
500> - [x] Sử dụng non-root user trong Dockerfile
501> - [x] Lưu secret trong environment variable hoặc secret manager
502> - [x] Tạo SBOM mỗi lần release
503> - [x] Toàn đội nhận thức về OWASP Top 10
504~

NORMAL · devsecops-shift-left-security-guide.md [readonly]504 lines · :q to close

2Một lỗ hổng bảo mật được phát hiện khi đang viết code chỉ tốn vài phút để sửa. Cùng lỗ hổng đó nếu bị phát hiện ở production sẽ tốn cả một sprint. Và nếu kẻ tấn công tìm thấy trước, chi phí lên tới hàng triệu đô la. Đây là luận điểm cốt lõi của **shift-left security** - đưa các kiểm tra bảo mật lên sớm nhất có thể trong vòng đời phát triển.

4DevSecOps biến ý tưởng này thành thực tiễn: bảo mật không phải là một giai đoạn riêng biệt ở cuối mà là một quá trình liên tục được đan xen vào mọi giai đoạn phát triển, từ dòng code đầu tiên đến khi deploy lên production.

6## Chi phí của Bảo mật Muộn

8Báo cáo Cost of a Data Breach của IBM đã liên tục cho thấy chi phí sửa các vấn đề bảo mật tăng theo cấp số nhân khi phát hiện càng muộn:

10| Giai đoạn | Chi phí Sửa | Thời gian Sửa |

11|-------|------------|-------------|

12| **IDE / Local Dev** | Phút | Giây đến phút |

13| **Code Review / PR** | Giờ | Phút đến giờ |

14| **CI/CD Pipeline** | Ngày | Giờ đến ngày |

15| **Staging / QA** | Tuần | Ngày |

16| **Production** | Tháng | Tuần đến tháng |

17| **Sau khi bị xâm nhập** | Hàng triệu đô la | Tháng đến năm |

18~

19Kết luận rõ ràng: mỗi giai đoạn bạn đưa bảo mật lên sớm hơn sẽ tiết kiệm được một bậc về chi phí và thời gian.

20~

21## DevSecOps Pipeline

22~

23Một DevSecOps pipeline hoàn chỉnh tích hợp kiểm tra bảo mật ở mọi giai đoạn:

24~

25```mermaid

26graph LR

27 IDE[IDE / Editor] --> PC[Pre-commit Hooks]

28 PC --> PR[Pull Request]

29 PR --> CI[CI Pipeline]

30 CI --> Build[Build / Package]

31 Build --> Deploy[Deploy]

32 Deploy --> Runtime[Runtime / Production]

33~

34 IDE -.- S1[SAST\nSecret Detection\nLinting]

35 PC -.- S2[Secrets Scan\nFormat Check]

36 PR -.- S3[Code Review\nDependency Audit]

37 CI -.- S4[SAST\nSCA\nContainer Scan\nSBOM]

38 Build -.- S5[Image Signing\nArtifact Verification]

39 Deploy -.- S6[Policy Enforcement\nAdmission Control]

40 Runtime -.- S7[DAST\nWAF\nMonitoring]

41```

42~

43Hãy cùng phân tích từng giai đoạn với các công cụ và cấu hình cụ thể.

44~

45## Giai đoạn 1: Bảo mật trong IDE

46~

47Vòng phản hồi nhanh nhất. Bắt lỗ hổng trước khi bạn lưu file.

48~

49### Công cụ Khuyên dùng

50~

51- **Semgrep**: công cụ static analysis nhẹ với community rules cho các lỗ hổng OWASP

52- **Snyk IDE Extension**: quét lỗ hổng dependency theo thời gian thực

53- **GitLens + GitLeaks**: phát hiện secret trong editor

54- **ESLint Security Plugins**: `eslint-plugin-security` cho Node.js, `eslint-plugin-no-unsanitized` cho DOM XSS

55~

56### Ví dụ: Cấu hình ESLint Security

57~

58```json

59{

60 "extends": ["eslint:recommended"],

61 "plugins": ["security", "no-unsanitized"],

62 "rules": {

63 "security/detect-object-injection": "warn",

64 "security/detect-non-literal-regexp": "warn",

65 "security/detect-unsafe-regex": "error",

66 "security/detect-buffer-noassert": "error",

67 "security/detect-eval-with-expression": "error",

68 "security/detect-no-csrf-before-method-override": "error",

69 "security/detect-possible-timing-attacks": "warn",

70 "no-unsanitized/method": "error",

71 "no-unsanitized/property": "error"

72 }

73}

74```

75~

76## Giai đoạn 2: Pre-commit Hooks

77~

78Tuyến phòng thủ thứ hai. Tự động chạy trước mọi commit, chặn code nguy hiểm không cho vào repository.

79~

80### Gitleaks: Bắt Secret Trước khi Vào Git

81~

82Lỗi bảo mật phổ biến nhất trong codebase là commit secret - API key, mật khẩu cơ sở dữ liệu, token. Một khi secret đã vào git history, việc xóa hoàn toàn là cực kỳ khó khăn (ngay cả khi force push, các fork và cache vẫn có thể giữ lại).

83~

84```yaml

85# .pre-commit-config.yaml

86repos:

87 - repo: https://github.com/gitleaks/gitleaks

88 rev: v8.21.0

89 hooks:

90 - id: gitleaks

91~

92 - repo: https://github.com/semgrep/semgrep

93 rev: v1.90.0

94 hooks:

95 - id: semgrep

96 args: ['--config', 'auto']

97```

98~

99Cài đặt và kích hoạt:

100~

101```bash

102pip install pre-commit

103pre-commit install

104```

105~

106Bây giờ mỗi lần `git commit` sẽ tự động quét secret bị rò rỉ và các lỗ hổng phổ biến. Nếu tìm thấy bất kỳ điều gì, commit sẽ bị chặn.

107~

108### Tùy chỉnh Quy tắc Gitleaks

109~

110Bạn có thể thêm các pattern tùy chỉnh cho secret của tổ chức:

111~

112```toml

113# .gitleaks.toml

114title = "Custom Gitleaks Config"

115~

116[[rules]]

117id = "internal-api-key"

118description = "Internal API key detected"

119regex = '''INTERNAL_KEY_[A-Za-z0-9]{32}'''

120tags = ["key", "internal"]

121```

122~

123## Giai đoạn 3: Bảo mật CI/CD Pipeline

124~

125Đây là nơi công việc nặng nhọc diễn ra. CI pipeline của bạn nên chạy nhiều lượt quét bảo mật trên mỗi pull request.

126~

127### SAST (Static Application Security Testing)

128~

129Các công cụ SAST phân tích mã nguồn mà không cần thực thi, tìm kiếm các pattern cho thấy lỗ hổng.

130~

131```yaml

132# .github/workflows/security.yml

133name: Security Scan

134on:

135 pull_request:

136 branches: [main]

137~

138jobs:

139 sast:

140 name: Static Analysis

141 runs-on: ubuntu-latest

142 steps:

143 - uses: actions/checkout@v4

144~

145 - name: Run Semgrep

146 uses: semgrep/semgrep-action@v1

147 with:

148 config: >-

149 p/owasp-top-ten

150 p/typescript

151 p/nodejs

152 p/react

153 generateSarif: true

154~

155 - name: Upload SARIF

156 uses: github/codeql-action/upload-sarif@v3

157 with:

158 sarif_file: semgrep.sarif

159```

160~

161Ruleset `p/owasp-top-ten` của Semgrep bắt các lỗ hổng phổ biến nhất: SQL injection, XSS, SSRF, path traversal, insecure deserialization và nhiều hơn nữa.

162~

163### SCA (Software Composition Analysis)

164~

165SCA quét các dependency để tìm lỗ hổng đã biết. Điều này rất quan trọng - hơn 80% code ứng dụng hiện đại đến từ các dependency mã nguồn mở.

166~

167```yaml

168 dependency-scan:

169 name: Dependency Audit

170 runs-on: ubuntu-latest

171 steps:

172 - uses: actions/checkout@v4

173~

174 - name: Run Snyk

175 uses: snyk/actions/node@master

176 env:

177 SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}

178 with:

179 args: --severity-threshold=high

180~

181 - name: npm audit

182 run: npm audit --audit-level=high

183```

184~

185### Bảo mật Container với Trivy

186~

187Nếu bạn build Docker image, việc quét lỗ hổng là thiết yếu. **Trivy** là container scanner mã nguồn mở phổ biến nhất.

188~

189```yaml

190 container-scan:

191 name: Container Security

192 runs-on: ubuntu-latest

193 steps:

194 - uses: actions/checkout@v4

195~

196 - name: Build image

197 run: docker build -t my-app:${{ github.sha }} .

198~

199 - name: Run Trivy

200 uses: aquasecurity/trivy-action@master

201 with:

202 image-ref: my-app:${{ github.sha }}

203 format: 'sarif'

204 output: 'trivy-results.sarif'

205 severity: 'CRITICAL,HIGH'

206 exit-code: '1'

207~

208 - name: Upload Trivy SARIF

209 uses: github/codeql-action/upload-sarif@v3

210 with:

211 sarif_file: trivy-results.sarif

212```

213~

214### Tạo SBOM

215~

216**Software Bill of Materials (SBOM)** là danh mục đầy đủ mọi component trong ứng dụng của bạn. Ngày càng được yêu cầu bởi các compliance framework và quy định của chính phủ (Lệnh Hành pháp của Mỹ về Cybersecurity yêu cầu SBOM cho phần mềm của liên bang).

217~

218```yaml

219 sbom:

220 name: Generate SBOM

221 runs-on: ubuntu-latest

222 steps:

223 - uses: actions/checkout@v4

224~

225 - name: Generate SBOM with Syft

226 uses: anchore/sbom-action@v0

227 with:

228 format: spdx-json

229 output-file: sbom.spdx.json

230~

231 - name: Upload SBOM

232 uses: actions/upload-artifact@v4

233 with:

234 name: sbom

235 path: sbom.spdx.json

236```

237~

238## Giai đoạn 4: Docker Image An toàn

239~

240Docker image cho production nên tuân theo nguyên tắc đặc quyền tối thiểu. Đây là một Dockerfile đã được tăng cường:

241~

242```dockerfile

243# Build stage

244FROM node:22-alpine AS builder

245WORKDIR /app

246COPY package.json package-lock.json ./

247RUN npm ci

248COPY . .

249RUN npm run build

250~

251# Production stage

252FROM node:22-alpine AS runner

253WORKDIR /app

254~

255# Install dumb-init before dropping root

256RUN apk add --no-cache dumb-init

257~

258# Don't run as root

259RUN addgroup -S app && adduser -S app -G app

260~

261# Copy only what's needed

262COPY --from=builder --chown=app:app /app/dist ./dist

263COPY --from=builder --chown=app:app /app/node_modules ./node_modules

264COPY --from=builder --chown=app:app /app/package.json ./

265~

266# Drop to non-root user

267USER app

268ENTRYPOINT ["dumb-init", "--"]

269~

270# Health check

271HEALTHCHECK --interval=30s --timeout=3s --retries=3 \

272 CMD wget -qO- http://localhost:3000/health || exit 1

273~

274EXPOSE 3000

275CMD ["node", "dist/server.js"]

276```

277~

278Các thực hành chính:

279~

2801. **Sử dụng multi-stage build**: giai đoạn builder có dev dependency; giai đoạn runner chỉ có code production

2812. **Không chạy bằng root**: tạo non-root user và chuyển sang

2823. **Sử dụng Alpine image**: bề mặt tấn công nhỏ hơn (ít package được cài đặt mặc định)

2834. **Ghim phiên bản image**: `node:22-alpine` thay vì `node:latest` để tránh supply chain attack

2845. **Sử dụng `npm ci`**: cài đặt xác định từ lock file, không phải `npm install`

285~

286## Giai đoạn 5: Quản lý Secret

287~

288Secret được hard-code là nguyên nhân hàng đầu gây ra các vụ xâm nhập trong các sự cố do nhà phát triển gây ra.

289~

290### Điều KHÔNG nên Làm

291~

292```typescript

293// NEVER do this

294const API_KEY = "sk-1234567890abcdef";

295const DB_PASSWORD = "supersecret123";

296~

297const client = new Client({

298 connectionString: `postgres://admin:${DB_PASSWORD}@db.example.com/prod`

299});

300```

301~

302### Điều Nên Làm Thay Thế

303~

304```typescript

305// Use environment variables

306const client = new Client({

307 connectionString: process.env.DATABASE_URL

308});

309~

310// Or use a secret manager

311import { SecretManagerServiceClient } from '@google-cloud/secret-manager';

312~

313const client = new SecretManagerServiceClient();

314const [version] = await client.accessSecretVersion({

315 name: 'projects/my-project/secrets/db-password/versions/latest',

316});

317const dbPassword = version.payload?.data?.toString();

318```

319~

320### Phân cấp Quản lý Secret

321~

322```mermaid

323graph TD

324 A[Secret Manager\nAWS Secrets Manager\nGCP Secret Manager\nHashiCorp Vault] --> B[Best: Rotated, audited, centralized]

325 C[Environment Variables\nInjected at deploy time] --> D[Good: Not in code, but static]

326 E[.env files\nWith .gitignore] --> F[Acceptable: Local development only]

327 G[Hard-coded in source] --> H[NEVER: Instant breach risk]

328~

329 style A fill:#d4edda

330 style C fill:#fff3cd

331 style E fill:#ffeeba

332 style G fill:#f8d7da

333```

334~

335## OWASP Top 10: Tham khảo Nhanh

336~

337Mọi nhà phát triển đều nên biết OWASP Top 10. Phiên bản tóm tắt:

338~

340|---|--------------|-----------|------------|

351~

352## Workflow Bảo mật GitHub Actions Hoàn chỉnh

353~

354Một workflow sẵn sàng cho production kết hợp tất cả những điều trên:

355~

356```yaml

357# .github/workflows/security.yml

358name: Security Pipeline

359on:

360 pull_request:

361 branches: [main]

362 push:

363 branches: [main]

364~

365permissions:

366 contents: read

367 security-events: write

368~

369jobs:

370 secrets-scan:

371 name: Secret Detection

372 runs-on: ubuntu-latest

373 steps:

374 - uses: actions/checkout@v4

375 with:

376 fetch-depth: 0

377 - uses: gitleaks/gitleaks-action@v2

378 env:

379 GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

380~

381 sast:

382 name: Static Analysis (SAST)

383 runs-on: ubuntu-latest

384 steps:

385 - uses: actions/checkout@v4

386 - uses: semgrep/semgrep-action@v1

387 with:

388 config: p/owasp-top-ten p/typescript p/nodejs

389~

390 dependency-audit:

391 name: Dependency Scan (SCA)

392 runs-on: ubuntu-latest

393 steps:

394 - uses: actions/checkout@v4

395 - uses: actions/setup-node@v4

396 with:

397 node-version: 22

398 - run: npm ci

399 - run: npm audit --audit-level=high

400 - uses: snyk/actions/node@master

401 env:

402 SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}

403 with:

404 args: --severity-threshold=high

405 continue-on-error: true

406~

407 container-scan:

408 name: Container Scan

409 runs-on: ubuntu-latest

410 needs: [sast, dependency-audit]

411 steps:

412 - uses: actions/checkout@v4

413 - run: docker build -t app:${{ github.sha }} .

414 - uses: aquasecurity/trivy-action@master

415 with:

416 image-ref: app:${{ github.sha }}

417 severity: CRITICAL,HIGH

418 exit-code: '1'

419~

420 sbom:

421 name: SBOM Generation

422 runs-on: ubuntu-latest

423 needs: [container-scan]

424 steps:

425 - uses: actions/checkout@v4

426 - uses: anchore/sbom-action@v0

427 with:

428 format: spdx-json

429 output-file: sbom.spdx.json

430```

431~

432```mermaid

433graph TD

434 PR[Pull Request] --> S1[Secret Detection]

435 PR --> S2[SAST - Semgrep]

436 PR --> S3[SCA - Snyk + npm audit]

437 S2 --> S4[Container Scan - Trivy]

438 S3 --> S4

439 S4 --> S5[SBOM Generation]

440 S5 --> Deploy[Deploy]

441~

442 S1 -.- F1[Block if secrets found]

443 S2 -.- F2[Block on critical vulns]

444 S3 -.- F3[Block on high severity]

445 S4 -.- F4[Block on critical CVEs]

446```

447~

448## Chỉ số Cần Theo dõi

449~

450Làm sao biết chương trình DevSecOps của bạn có hiệu quả? Theo dõi các chỉ số này:

451~

452- **Thời gian khắc phục trung bình (MTTR)**: tốc độ sửa lỗ hổng sau khi phát hiện

453- **Tỷ lệ lỗ hổng thoát ra**: phần trăm lỗ hổng đến được production

454- **Tỷ lệ false positive**: quá nhiều false positive dẫn đến mệt mỏi cảnh báo và bỏ qua các cảnh báo

455- **Độ mới của dependency**: tuổi trung bình của dependency (càng cũ càng có khả năng có CVE đã biết)

456- **Độ phủ SBOM**: phần trăm dự án có SBOM cập nhật

457~

458## Bắt đầu: Lộ trình Thực tế

459~

460Đừng cố làm tất cả mọi thứ cùng một lúc. Cách tiếp cận theo giai đoạn sẽ hiệu quả hơn:

461~

462```mermaid

463flowchart TD

464 A[Week 1-2: Foundations] --> B[Week 3-4: CI/CD Integration]

465 B --> C[Month 2: Container Security]

466 C --> D[Month 3+: Advanced]

467~

468 A --> A1[Add Gitleaks pre-commit hooks]

469 A --> A2[Enable npm audit in CI]

470 A --> A3[Add .gitignore for .env files]

471~

472 B --> B1[Add Semgrep to GitHub Actions]

473 B --> B2[Add Snyk dependency scanning]

474 B --> B3[Set up SARIF upload to GitHub]

475~

476 C --> C1[Add Trivy container scanning]

477 C --> C2[Harden Dockerfiles]

478 C --> C3[Generate SBOMs]

479~

480 D --> D1[Secret manager integration]

481 D --> D2[Runtime protection - DAST]

482 D --> D3[Policy as code - OPA]

483```

484~

485## Kết luận

486~

487DevSecOps không phải là thêm nhiều công cụ hơn vào pipeline - mà là làm cho bảo mật trở thành một phần tự nhiên trong cách bạn xây dựng phần mềm. Mục tiêu không phải chặn mọi PR bằng cảnh báo bảo mật mà là cung cấp phản hồi nhanh cho nhà phát triển để họ có thể sửa lỗi khi code còn mới trong đầu.

488~

489Bắt đầu từ những điều cơ bản: pre-commit hooks cho secret, dependency scanning trong CI và container scanning cho Docker image. Sau đó cải tiến dần dựa trên nhu cầu của đội.

490~

491Bảo mật không phải là một tính năng bạn phát hành một lần. Đó là một thực hành bạn xây dựng vào mọi commit.

492~

493> **Danh sách Kiểm tra Khởi đầu DevSecOps:**

494>

495> - [x] Cài đặt Gitleaks pre-commit hooks

496> - [x] Thêm .env và các file secret vào .gitignore

497> - [x] Tích hợp Semgrep SAST vào CI pipeline

498> - [x] Sử dụng Snyk hoặc npm audit để quét dependency

499> - [x] Sử dụng Trivy để quét container image

500> - [x] Sử dụng non-root user trong Dockerfile

501> - [x] Lưu secret trong environment variable hoặc secret manager

502> - [x] Tạo SBOM mỗi lần release

503> - [x] Toàn đội nhận thức về OWASP Top 10

504~