科技云報道原創(chuàng)。

隨著DevOps的普及，DevSecOps也開始被一些企業(yè)關(guān)注。根據(jù)GitLab發(fā)布的2021年全球DevSecOps年度調(diào)查報告，36%的受訪者團隊已經(jīng)使用了DevOps或者DevSecOps開發(fā)軟件，尤其是那些遷往云平臺的新興應(yīng)用，DevSecOps的應(yīng)用得到更多普及機會。

Synopsys發(fā)布的《2020年DevSecOps實踐和開源管理報告》也表明，DevSecOps在全球范圍內(nèi)迅速增長，總計63%的受訪者表示他們正在將一些DevSecOps活動融入其軟件開發(fā)計劃中。

盡管DevSecOps已經(jīng)成為DevOps生態(tài)當(dāng)中的一波熱潮，但當(dāng)企業(yè)實際推行DevSecOps時，情況往往變得頗為棘手。DevSecOps并不能“一鍵啟動”，它的落地需要一系列工具與實踐的協(xié)同支持。

DevSecOps與DevOps的區(qū)別

2012年，Gartner首次提出DevSecOps理念。四年后，它發(fā)布了一份名為《DevSecOps: How toSeamlessly integrate Security into DevOps》的報告。

這份報告的核心理念是：安全是全體IT團隊所有成員的責(zé)任，要貫穿到業(yè)務(wù)生命周期的每一個環(huán)節(jié)。對應(yīng)DevOps快速交付和靈活響應(yīng)變化，DevSecOps的價值是在不犧牲安全性的前提下，快速落地和實施安全。

除了強調(diào)每個人都對安全負(fù)責(zé)，DevSecOps還強調(diào)安全前置，以及要柔和的、嵌入到企業(yè)現(xiàn)有的開發(fā)流程體系。

從字面上看，DevSecOps與DevOps的差別是前者比后者多了“Sec（Security）”上。實際上，這兩者之間的差別也正是體現(xiàn)在“安全”上。簡單地說，把Security納入到DevOps的體系之中，人人都是安全員，這就是DevSecOps。

眾所周知，DevOps顛覆了傳統(tǒng)的瀑布流模式，它打通了開發(fā)和運維之間聯(lián)系，讓兩者順利進行溝通、協(xié)作與整合，再通過自動化和持續(xù)迭代、持續(xù)集成的敏捷，實現(xiàn)了軟件的快速迭代和交付。

但這個流程其實和安全關(guān)系不大，軟件的安全性評估還是按照傳統(tǒng)的流程，處于軟件交付的最后階段。這就導(dǎo)致軟件安全檢查和評估要么被忽略，或者軟件被迫延期交付，使得DevOps的效果大打折扣。

DevSecOps的目的就是要設(shè)法改變這一現(xiàn)狀。DevSecOps通過在DevOps流程的每個階段或檢查點嵌入安全性檢查來消除DevOps和安全之間的障礙，從而更快、更安全地生成高質(zhì)量的代碼。

DevSecOps的優(yōu)勢在于，提高軟件安全性的同時，提高開發(fā)團隊的開發(fā)效率，縮短交付時間，讓產(chǎn)品盡快上市。

DevSecOps落地充滿挑戰(zhàn)

DevSecOps“既要快速交付代碼，又要保障代碼安全”，這聽起來似乎是種相互矛盾的要求。正因如此，DevSecOps的落地始終伴隨著一系列挑戰(zhàn)。

阻礙大部分企業(yè)轉(zhuǎn)向DevSecOps的頭號挑戰(zhàn)，來自文化層面的抵觸情緒，畢竟人更喜歡待在自己熟悉的舒適區(qū)內(nèi)。常有人認(rèn)為安全保障會拖慢軟件開發(fā)工作速度、甚至阻礙創(chuàng)新。

同時，DevSecOps強調(diào)將開發(fā)人員與安全專家統(tǒng)一起來，共同建立起協(xié)作環(huán)境。但這兩大團隊間總是存在一定程度的摩擦，甚至認(rèn)定對方總在跟自己作對。

為了滿足業(yè)務(wù)需求，開發(fā)人員希望不斷加快代碼的交付速度。但是安全團隊的核心重點在于保障代碼安全，而這兩個截然不同的目標(biāo)導(dǎo)致團隊之間難以彼此理解、協(xié)同工作。

另外，安全人員的不足也可能影響DevSecOps的落地。根據(jù)Cybersecurity Ventures發(fā)布的報告，到2021年全球網(wǎng)絡(luò)安全職位空缺將多達(dá)350萬個。

由此可以推斷，盡管安全漏洞與攻擊事件一直在不斷增加，但市場上仍然缺乏充足的網(wǎng)絡(luò)安全工程師人才。

DevSecOps落地的另一個挑戰(zhàn)，是自動化工具還需要優(yōu)化和豐富。和DevOps一樣，DevSecOps也非常依賴自動化的工具，需要借助工具來構(gòu)建腳本、將源代碼進行編譯、進行軟件漏洞掃描。

總體而言，DevSecOps落地有三個關(guān)鍵點：人和文化、流程、技術(shù)。

在人和文化方面，DevSecOps 強調(diào)的是人人參與安全，人人為安全負(fù)責(zé)，安全是大家的事。

在流程方面，要更多地考慮整合流程，建立相關(guān)安全流程，加強不同團隊間的協(xié)作。同時，安全需要低入侵、柔和的嵌入開發(fā)和運維流程。

在技術(shù)方面，通過構(gòu)建安全工具鏈，實現(xiàn)更多的自動化安全檢測。

DevSecOps實踐有章可循

既然DevSecOps的實施是一個復(fù)雜的流程，那么是否有方法能夠?qū)evSecOps落地？

雖然還沒有任何具體的、連續(xù)的路線圖式步驟設(shè)計，但可以嘗試將DevSecOps流程拆解為幾個具體步驟。

一切以規(guī)劃為起點

規(guī)劃的戰(zhàn)略水平與簡潔程度將直接決定最終實施結(jié)果。因此，單靠對功能特性的描述還遠(yuǎn)遠(yuǎn)不夠，企業(yè)還需要建立起測試驗收標(biāo)準(zhǔn)、用戶設(shè)計以及威脅模型。

開發(fā)環(huán)節(jié)

團隊?wèi)?yīng)首先對現(xiàn)有實踐的成熟度開展評估。在此階段，可以通過多個來源收集資源以作為路線指導(dǎo)，也可以建立起代碼審查系統(tǒng)。由此支撐起的統(tǒng)一架構(gòu)，將成為DevSecOps后期成功的重要基礎(chǔ)。

構(gòu)建環(huán)節(jié)

自動化構(gòu)建工具無疑是這一階段中絕對的主角。利用此類工具，我們可以構(gòu)建腳本、將源代碼組合為機器碼等。自動化構(gòu)建工具不僅提供多種強大的功能、豐富的插件庫，還具備多種易于上手的用戶界面，其中一部分甚至能夠自動檢測易受攻擊的庫并及時加以替換。

DevSecOps工具集擁有廣泛的覆蓋范圍，包括源代碼版本控制、構(gòu)建自動化、測試自動化、安全驗證、性能測試、配置管理等等，甚至可能進一步擴展至優(yōu)先級劃分、問題跟蹤與團隊協(xié)作式項目管理系統(tǒng)等相對細(xì)化的領(lǐng)域。

測試環(huán)節(jié)

通過穩(wěn)定可靠的測試實踐，將強大的自動化測試框架全面引入管道當(dāng)中。部署工作通常通過IaC工具進行，由其自動執(zhí)行流程并加快軟件交付速度。

運維環(huán)節(jié)

運營維護無疑是運營團隊的一項常規(guī)職能?？紤]到零日漏洞可能引發(fā)的巨大威脅，運營團隊必須給予關(guān)注。

此外，運營團隊還需要重視人為錯誤蔓延，包括使用DevSecOps通過IaC工具快速高效地保護企業(yè)自有基礎(chǔ)設(shè)施。同時，使用強大且持續(xù)性的監(jiān)控工具，借此保證安全系統(tǒng)能夠按預(yù)期形式運行。

以上只是DevSecOps實施中的一些基礎(chǔ)步驟。根據(jù)項目的具體規(guī)模與復(fù)雜性，路線圖可能還需要涵蓋另外一些特定附加步驟。

結(jié)語

盡管DevSecOps在實施落地上充滿著挑戰(zhàn)，但DevSecOps的體系正日趨成熟，相關(guān)方法論、技術(shù)與實踐經(jīng)驗都有了明顯的提升，配套工具鏈技術(shù)也日趨完善。隨著DevSecOps在國內(nèi)大型互聯(lián)網(wǎng)公司的落地實踐，讓大眾對DevSecOps也有了更深的理解和認(rèn)識。

從需求層面看，DevSecOps市場正逐步進入成長期。軟件開發(fā)商、大型互聯(lián)網(wǎng)廠商、銀行和具有一定規(guī)模和技術(shù)實力、自建IT系統(tǒng)的大型集團性企事業(yè)單位，是目前DevSecOps市場中主要的三類客戶。以軟件投入金額3%-5%的比例估算安全投入，DevSecOps市場未來還是極具成長性的。

生成海報

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。