Centralized Security Scanner Profiles for Scalable Codebase Protection

•GitLab 19.0 中引入的安全配置檔案現已全面推出 (GA)，適用於機密偵測、SAST 和依賴掃描，允許團隊透過現有的掃描執行策略和管線執行策略來強制執行掃描。
•依賴掃描功能在 GitLab 19.0 中為 Ultimate 級別使用者新增了軟體物料清單 (SBOM) 功能，提供可稽核的第三方元件清單，並與 GitLab 安全諮詢資料庫進行比對，無需額外工具即可證明每個建置中包含的內容。
•GitLab 的機密偵測功能包含推播保護，可在 Git 推播事件期間掃描程式碼中的機密並阻止偵測到的推播，從而防止機密進入程式碼庫。它還支援對所有分支和提交進行歷史掃描。
•集中式安全政策管理允許實例管理員指定一個合規性和安全政策 (CSP) 群組，從單一、集中位置跨多個群組和專案應用安全政策。
•除了預設配置檔案外，GitLab 還提供超過 50 種開箱即用的合規性控制措施，可根據 HIPAA、GDPR 或 SOC2 等特定法規要求進行客製化，有助於將合規性驗證直接整合到開發工作流程中。

📊 競品分析▸ Show

功能/產品	GitLab	Snyk	GitHub Advanced Security	Checkmarx
核心優勢	整合式 DevSecOps 平台，一站式解決方案，原生安全整合。	軟體組成分析 (SCA) 強大，以開發者為中心，提供 IDE 和儲存庫整合。	直接整合到 GitHub 平台，提供 CodeQL 靜態分析、機密掃描和依賴項審查。	企業級應用程式安全平台，結合 SAST、SCA 和 API 安全。
安全掃描	SAST、DAST、依賴掃描、機密偵測、容器掃描、授權合規性、模糊測試、API 安全。	SAST、SCA、容器安全、基礎設施即程式碼安全。	CodeQL 靜態分析、機密掃描、依賴項審查。	SAST、SCA、API 安全。
政策管理	集中式安全政策管理、合規性框架、稽核管理。	提供開發者友善的工具和修復建議。	統一的安全概覽儀表板。	企業治理功能和政策管理全面。
整合性	原生 CI/CD 整合，減少工具蔓延和整合開銷。	與 IDE、儲存庫和 CI/CD 工作流程良好整合。	與 GitHub 平台無縫整合。	傳統 SAST 工具，可能與現代 DevSecOps 需求不符，掃描時間長、誤報多。

安全配置檔案應用於群組內的每個獨立專案，不支援配置檔案或子群組之間的繼承。
預設配置檔案是預先配置的掃描器設定，可實現最少配置的安全性掃描。
機密偵測透過模式比對、正規表達式和啟發式方法來識別機密，掃描檔案內容和名稱，並包含超過 100 個預設模式。
SAST 分析器是第三方程式碼分析工具的包裝器，以 Docker 映像檔形式發布，需要至少 4 GB RAM。GitLab SAST 使用進階漏洞追蹤演算法來更準確地識別因重構或不相關變更而移動的相同漏洞。
GitLab Advanced SAST (於 GitLab 17.1 引入，17.3 全面推出) 使用跨函數和跨檔案的污染分析來偵測複雜漏洞，減少誤報，並可與標準 SAST 並行執行。
依賴掃描識別執行時、開發和傳遞性依賴項中的已知漏洞。建議的方法是使用 SBOM (CycloneDX 格式) 報告。Gemnasium 分析器已在 GitLab 17.9 中棄用，並預計在 GitLab 20.0 中移除。
安全政策以 YAML 檔案形式儲存在獨立的安全政策專案中，實現政策即程式碼、版本控制和安全與開發團隊之間的職責分離。

集中式安全配置檔案將加速 DevSecOps 的採用和合規性遵循。

透過簡化配置並在專案中強制執行政策，組織可以更容易地將安全性整合到開發生命週期的早期階段並符合法規標準。

AI 驅動的程式碼生成將增加對自動化和強大安全掃描的需求。

儘管 AI 加快了程式碼生成速度，但它本身並不能使程式碼更安全，因此需要進階工具來大規模信任和保護程式碼。

GitLab 的整合平台將繼續鞏固 DevSecOps 工具。

一體化方法減少了工具蔓延和整合開銷，使 GitLab 成為安全和開發的綜合解決方案。

2017

GitLab 首次推出靜態應用程式安全測試 (SAST)。

2018-11

GitLab 11.9 引入機密偵測功能。

2020

GitLab 成為首個被 Gartner 應用程式安全測試魔力象限認可的 DevSecOps 平台。

2024-03

GitLab 收購 Oxeye 以推進 SAST 發展藍圖。

2025-02

機密偵測支援對所有分支和提交進行歷史掃描。

2026-05-21

GitLab 19.0 發布，引入安全配置檔案 (機密偵測、SAST、依賴掃描全面推出) 和基於 SBOM 的依賴掃描。

集中式安全掃描配置，實現大規模程式碼庫防護