DevSecOps パイプラインによって使用されるイメージ

DevSecOps Continuous Integration (CI)、Continuous Deployment (CD)、および Continuous Compliance (CC) の各パイプラインは、さまざまなツールの Docker イメージを使用して、パイプライン実行内でスキャンを実行します。 イメージは、グローバル IBM Container Registry (ICR) で使用可能であり、パイプラインの実行中にプルされて実行されます。

1. DevSecOps ベース・イメージ-コンプライアンス・パイプラインを実行するために使用されます。 このイメージは、パイプライン内のすべてのステージを実行し、さまざまなスキャンをトリガーし、エビデンスを収集し、問題を作成します。
2. OWASP ZAP API スキャナー-デプロイされたアプリケーションの API エンドポイントに対して OWASP ZAP API スキャンを起動して脆弱性を検出するために使用されます。
3. OWASP ZAP UI Scanner-UI によって公開された脆弱性を検出するために、デプロイされたアプリケーションの URL に対して OWASP ZAP UI スキャンをトリガーするために使用されます。
4. OWASP ZAP UI プロキシー-デプロイされたアプリケーションに対して ZAP UI スキャンをトリガーするプロキシー・サービスとして OWASP ZAP UI スキャン・イメージとともに使用します。
5. シークレットの検出-アプリケーション・ソース・コードによって公開されるパスワードやシークレット・キーなどのシークレットを検出するために使用されます。
6. Docker In Docker (DinD)-別の Docker コンテナー内で Docker コンテナーを実行するために使用されます。 DinD は、 DevSecOps Baseimage 内のツールに属するさまざまなイメージを実行します。
7. Sonarqube-脆弱性を検出するためにアプリケーション・ソース・コードに対して静的スキャンを実行するために使用されます。
8. Sonarqube Scanner CLI- SonarQube スキャンをトリガーするコマンド・ライン・ユーティリティー。