搜索

[12436] 2018-03-07_DevSecOps现状：理论叫得响，实践待发展

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2018-03-07_DevSecOps现状：理论叫得响，实践待发展 D e v S e c O p s 现 状 ： 理 论 叫 得 响 ， 实 践 待 发 展 A n g e l a Y   F r e e B u f   2 0 1 8 - 0 3 - 0 7 近 年 来 ， 近 年 来 ， D e v S e c O p s   的 理 念 越 叫 越 响 ， 业 内 似 乎 对 此 都 喜 闻 乐 见 ， 但 是 的 理 念 越 叫 越 响 ， 业 内 似 乎 对 此 都 喜 闻 乐 见 ， 但 是   D e v S e c O p s   在 具 体 实 践 上 还 有 待 发 在 具 体 实 践 上 还 有 待 发 展 。 展 。 D e v O p s   快 速 发 展 ， 快 速 发 展 ， S e c O p s   成 为 牺 牲 者 成 为 牺 牲 者 D e v O p s   就 是 开 发 与 运 营 相 结 合 ， 最 初 源 自 打 破 业 务 隔 离 、 整 体 作 战 创 造 更 高 效 率 的 理 念 。 目 前 ， 越 来 越 多 的 人 意 识 到 在 开 发 过 程 中 将 安 全 融 入 到 新 产 品 的 重 要 性 ， 而 且 对 于 产 品 安 全 的 监 管 需 求 也 也 越 来 越 严 格 ， 因 此 ， 当 前 流 行 的 理 念 是 将 安 全 纳 入 新 的 组 合 式 工 作 模 型 ： D e v S e c O p s 。 很 多 人 都 认 可 甚 至 迫 切 想 看 到   D e v S e c O p s   发 挥 优 势 ， 但 事 实 情 况 确 是 有 关   D e v S e c O p s   的 实 践 并 不 多 见 。 美 国 威 胁 检 测 公 司   T h r e a t   S t a c k   的 一 项 新 调 查 和 报 告 表 明 ， D e v S e c O p s   仍 然 停 留 在 理 论 阶 段 。 T h r e a t   S t a c k   针 对 北 美 大 公 司 和 中 小 企 业 的   2 0 0   多 名 安 全 、 开 发 和 运 营 专 业 人 员 发 起 了 问 卷 调 查 ， 结 果 显 示 ， D e v S e c O p s   的 理 念 易 于 理 解 和 接 受 ， 也 经 常 受 到 公 司 赞 誉 ， 但 却 没 有 多 少 实 践 案 例 。 造 成 这 种 情 况 的 主 要 原 因 是 缺 少 高 层 的 支 持 ， 业 务 领 导 者 甚 对 此 并 不 鼓 励 。 5 2 %   的 公 司 承 认 会 削 减 安 全 措 施 ， 以 便 在 截 止 日 期 前 完 成 目 标 。 报 告 作 者 表 示 ： 速 度 成 为 开 发 业 务 中 的 首 要 目 标 ， 往 往 需 要 牺 牲 安 全 。 业 务 领 导 者 对 于 开 发 速 度 的 追 求 促 成 了 许 多   D e v O p s   团 队 。 6 2 %   的 受 访 者 表 示 ， D e v O p s   不 利 于 在 产 品 中 实 现 安 全 技 术 部 署 ； 5 7 %   的 受 访 者 认 为   D e v O p s   阻 碍 了 安 全 最 佳 实 践 。 主 要 原 因 都 是 安 全 考 量 与 高 速 开 发 互 相 掣 肘 。 这 种 情 形 其 实 很 常 见 。 飞 塔 安 全 战 略 专 家   M i k e   S m a r t   把 安 全 比 喻 成 汽 车 的 刹 车 。 业 务 领 导 者 总 认 为 安 全 会 减 慢 业 务 发 展 ， 就 像 刹 车 会 减 缓 汽 车 的 速 度 一 样 。 创 新 者 的 观 点 则 恰 恰 相 反 ： 刹 车 赋 予 司 机 勇 气 和 信 息 ， 让 他 们 跑 得 尽 可 能 快 （ 而 不 担 心 停 不 下 来 ） 。 ” 从 这 个 角 度 看 ， 安 全 其 实 是 业 务 灵 活 发 展 的 催 化 剂 ， 但 事 实 往 往 是 安 全 负 责 人 无 法 向 业 务 领 导 者 充 分 解 释 安 全 的 功 用 。
调 查 结 果 还 显 示 ， 很 多 人 都 乐 于 接 受   D e v S e c O p s   的 理 念 。 8 5 %   的 受 访 组 织 认 为 缩 小   D e v O p s   和 安 全 之 间 的 差 距 应 当 成 为 企 业 的 重 大 目 标 。 而   6 2 %   的 开 发 者 和 运 营 专 家 认 为 把 安 全 融 入   D e v O p s   已 成 为 重 中 之 重 。 安 全 与 安 全 与   D e v O p s   分 割 的 三 大 关 键 因 素 分 割 的 三 大 关 键 因 素 首 先 ， 安 全 仍 然 是 孤 立 的 ； 人 们 依 然 认 为 安 全 是 个 单 独 的 功 能 。 调 查 报 告 指 出 ： 在 全 部 调 查 的 企 业 组 织 中 ， 只 有   2 7 ％   的 运 营 团 队 配 备 了 安 全 专 家 。 只 有   1 8 %   的 卡 法 团 队 配 备 了 安 全 专 家 。 在   3 8 ％   的 企 业 组 织 中 ， 安 全 是 一 个 完 全 独 立 的 团 队 ， 只 有 在 需 要 的 时 候 才 会 启 用 。 其 次 ， 开 发 与 安 全 分 割 ； 4 4 ％   的 开 发 人 员 没 有 接 受 过 安 全 编 码 的 培 训 。 如 果 没 有 这 些 基 础 知 识 ， 开 发 人 员 会 在 不 考 虑 安 全 的 情 况 下 完 成 编 码 。 这 导 致 安 全 必 须 介 入 开 发 的 时 候 ， 成 为 了 一 大 瓶 颈 。 第 三 ， 安 全 与 运 营 分 割 ； 高 达   4 2 ％   的 运 营 人 员 承 认 没 有 接 受 过 基 本 安 全 实 践 方 面 的 培 训 ， 这 意 味 着 他 们 无 法 安 全 地 配 置 服 务 器 ， 也 意 味 着 他 们 没 有 意 识 到 安 全 性 部 署 应 当 成 为 配 置 管 理 过 程 的 一 部 分 ， 结 果 导 致 安 全 最 佳 实 践 无 法 落 地 。 如 果 运 营 专 业 人 员 不 接 受 安 全 培 训 ， S e c O p s   也 无 法 成 功 。 安 全 本 身 也 是 造 成   D e v S e c O p s   无 法 开 展 的 一 个 因 素 。 很 多 开 发 人 员 无 法 安 全 编 写 代 码 ， 而 安 全 团 队 也 很 少 有 会 写 代 码 的 成 员 。 T h r e a t   S t a c k   建 议 安 全 团 队 “ 学 习 如 何 编 写 代 码 ， 并 将 安 全 工 作 集 成 到 持 续 的 部 署 周 期 当 中 。 不 能 等 到 出 问 题 了 才 去 考 虑 安 全 ， 必 须 有 意 识 且 连 贯 地 对 整 个 团 队 进 行 安 全 教 育 。 ” 如 何 应 对 ？ 如 何 应 对 ？ T h r e a t   S t a c k   主 席 兼 首 席 执 行 官   B r i a n   A h e r n   表 示 ： 企 业 多 年 来 一 直 在 “ 速 度 或 安 全 ” 当 中 做 选 择 ， S e c O p s   实 践 的 出 现 意 味 着 企 业 可 以 同 时 实 现 这 两 个 目 标 。 调 查 结 果 显 示 ， 绝 大 多 数 公 司 已 经 引 入 了   S e c O p s ， 但 是 实 践   S e c O p s   往 往 与 企 业 快 速 发 展 的 业 务 之 间 存 在 巨 大 差 距 。 对 于 企 业 而 言 ， 每 个 企 业 的 利 益 相 关 者 都 应 该 优 先 考 虑   D e v O p s   和 安 全 ， 这 至 关 重 要 。
促 进   D e v S e c O p s   高 效 发 展 的 关 键 在 于 打 破 安 全 与   D e v O p s   之 间 的 独 立 状 态 ， 不 仅 要 将 人 为 划 分 的 孤 立 团 体 融 合 起 来 ， 还 要 转 变 企 业 将 安 全 与   D e v O p s   隔 离 开 的 传 统 意 识 。 * 参 考 来 源 ： S e c u r i t y W e e k ， A n g e l a Y   编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理