搜索

[13858] 2019-03-12_RSAC2019从Comcast看DevSecOps实践

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-03-12_RSAC2019从Comcast看DevSecOps实践 R S A C   2 0 1 9   |   从 C o m c a s t 看 D e v S e c O p s 实 践 A n g e l a Y   F r e e B u f   2 0 1 9 - 0 3 - 1 2 在 在 R S A   2 0 1 9 大 会 上 ， 大 会 上 ， D e v S e c O p s   是 热 词 之 一 ， 大 会 还 特 设 了 是 热 词 之 一 ， 大 会 还 特 设 了 D e v S e c O p s   D a y 来 探 讨 这 一 主 题 。 组 委 会 以 来 探 讨 这 一 主 题 。 组 委 会 以 C o m c a s t 公 司 的 公 司 的 D e v S e c O p s 实 践 为 例 ， 分 析 了 实 践 为 例 ， 分 析 了 D e v S e c O p s 发 展 过 程 中 的 难 题 ， 并 给 出 一 些 参 考 建 议 。 发 展 过 程 中 的 难 题 ， 并 给 出 一 些 参 考 建 议 。 C o m c a s t 的 的 D e v S e c O p s 实 践 实 践 C o m c a s t 是 美 国 三 大 运 营 商 之 一 ， 是 传 统 的 电 信 巨 头 企 业 。 近 几 年 ， C o n c a s t 才 开 始 推 进 软 件 相 关 的 布 局 与 发 展 。 目 前 ， 软 件 业 务 已 经 成 为 C O m c a s t 的 重 要 业 务 之 一 ， 全 公 司 有 数 千 名 开 发 者 整 天 与 代 码 打 交 道 。 在 这 样 的 环 境 中 ， 推 行 并 实 践 D e v S e c O p s 其 实 存 在 一 些 难 度 ， 但 C o m c a s t 却 做 出 了 一 些 成 效 ， 这 其 实 离 不 开 其 首 席 产 品 与 信 息 安 全 官 N o o p u r D a v i s 的 战 略 部 署 。 D a v i s   认 为 ， D e v S e c O p s 要 求 工 程 团 队 全 方 位 自 主 负 责 生 产 过 程 中 的 产 品 性 能 。 在 三 年 前 刚 加 入 C o m c a s t 时 ， 她 就 明 确 将 D e v S e c O p s 提 到 了 优 先 级 ， 并 迅 速 建 立 规 则 并 推 行 。 由 于 C o m c a s t 公 司 的 软 件 业 务 历 史 不 长 ， 更 容 易 接 纳 新 的 开 发 模 式 ， 整 个 团 队 也 认 可 新 的 理 念 ， 为 实 践 D e v S e c O p s 创 造 了 先 决 条 件 。 随 后 的 事 件 ， 大 概 可 以 分 为 以 下 几 步 ： 1 .   获 取 董 事 会 的 支 持 ； 2 .   确 立 安 全 成 熟 度 模 型 ； 3 .   组 建 新 社 群 ； 4 .   建 立 一 系 列 软 件 开 发 生 命 周 期 原 则 性 指 南 这 些 原 则 性 指 南 包 括 ： 在 产 品 开 发 初 期 就 纳 入 安 全 考 量 ， 不 等 到 后 期 补 救 ； 不 仅 仅 依 赖 安 全 专 家 ， 而 是 赋 能 工 程 团 队 ， 让 他 们 也 具 备 安 全 能 力 ， 并 对 安 全 开 发 流 程 负 责 ； 安 全 地 实 现 功 能 ， 而 不 仅 仅 关 注 安 全 功 能 ；
持 续 学 习 提 升 ； 关 注 文 化 浸 润 与 转 变 ， 弱 化 强 迫 性 政 策 基 于 这 些 原 则 ， D a v i s 及 其 团 队 创 建 了 新 的 实 践 模 式 ， 要 求 开 发 团 队 进 行 信 息 搜 集 调 查 、 自 我 评 估 、 设 立 计 划 并 执 行 以 及 设 置 重 新 评 估 流 程 。 而 他 们 设 置 的 安 全 成 熟 度 模 型 也 进 一 步 明 确 在 不 同 场 景 中 都 要 进 行 代 码 分 析 流 程 。 此 外 ， 对 团 队 成 员 也 要 及 时 评 估 ， 经 常 运 用 培 训 、 宣 传 、 沟 通 等 方 法 建 立 更 好 的 D e v S e c O p s 文 化 ， 让 更 多 人 接 受 并 实 践 。 企 业 内 部 的 组 织 架 构 也 要 合 理 调 整 ， 让 安 全 人 员 融 入 各 个 团 队 和 环 节 。 从 D a v i s 在 C o m c a s t 公 司 实 施 D e v S e c O p s 的 经 验 中 ， 我 们 也 许 可 以 总 结 出 一 些 参 考 。 作 为 C I O 或 者 C I S O ， 在 履 职 初 期 就 应 当 抓 住 时 机 ， 梳 理 业 务 并 及 时 建 立 可 执 行 的 机 制 。 当 然 ， 需 要 注 意 的 是 ， 要 让 团 队 支 持 并 接 受 D e v S e c O p s 的 理 念 ， 让 理 念 能 够 融 入 公 司 的 文 化 当 中 。 这 离 不 开 合 理 的 评 估 与 培 训 。 公 司 规 模 有 大 有 小 ， 不 一 定 能 完 全 实 践 案 例 中 的 环 节 。 D a v i s 也 为 想 要 实 施 D e v S e c O p s 的 企 业 提 供 了 建 议 ： 首 先 要 找 公 司 中 找 到 有 意 愿 实 践 D e v S e c O p s 的 同 事 ， 共 同 谋 划 ； 然 后 找 到 愿 意 融 入 安 全 的 D e v O p s 团 队 ； 最 后 确 立 能 够 将 安 全 融 入 D e v O p 流 程 的 策 略 。 在 实 践 过 程 中 ， 需 要 建 立 安 全 成 熟 度 模 型 ， 与 更 多 团 队 沟 通 联 动 ， 选 择 合 适 的 工 具 。 另 外 ， 在 六 个 月 的 周 期 内 最 好 能 产 出 成 果 、 树 立 榜 样 ， 才 能 走 得 更 远 。 理 念 的 壁 垒 难 以 打 破 理 念 的 壁 垒 难 以 打 破 D e v S e c O p s 作 为 安 全 领 域 中 逐 渐 步 入 成 熟 期 的 技 术 体 系 ， 从 最 初 的 理 念 到 如 今 少 量 的 成 功 实 践 案 例 ， 中 间 经 历 了 大 量 的 探 索 与 发 展 。 现 如 今 ， 很 多 企 业 已 经 意 识 到 D e v S e c O p s 的 重 要 性 并 想 要 有 所 实 践 ， 但 仍 然 面 临 大 量 挑 战 。 正 如 前 文 的 案 例 所 强 调 的 那 样 ， 企 业 组 织 对 于 D e v S e c O p s 的 接 受 程 度 ， 以 及 整 个 企 业 文 化 中 的 安 全 意 识 ， 是 影 响 D e v S e c O p s 实 践 的 重 要 因 素 。 技 术 能 让 安 全 融 入 D e v O p s 过 程 ， 但 人 、 流 程 以 及 文 化 才 能 推 动 D e v S e c O p s 常 态 化 。 很 多 组 织 不 愿 意 接 受 D e v S e c O p s 的 原 因 是 他 们 认 为 一 旦 考 虑 到 安 全 ， 整 个 开 发 运 营 流 程 的 效 率 会 降 低 。 这 样 的 担 心 与 D e v S e c O p s 理 念 发 展 早 期 安 全 与 多 个 环 节 割 裂 的 情 形 有 关 。 一 直 以 来 ， 安 全 部 门 常 常 作 为 一 个 独 立 团 队 存 在 ， 且 与 开 发 和 运 营 分 割 ， 很 多 开 发 人 员 和 运 营 人 员 都 没 有 接 受 过 基 本 安 全 培 训 。 由 此 造 成 的 理 念 与 意 识 壁 垒 ， 一 时 间 很 难 打 破 。 D e v O p s   C o n n e c t R S A   2 0 1 9 大 会 特 设 的 D e v S e c O p s   D a y 以 “ D e v O p s   C o n n e c t ” 为 主 题 , 期 望 通 过 C I / C D （ 持 续 集 成 / 持 续 交 付 ） 并 有 效 度 量 ， 实 现 效 率 提 升 。 演 讲 嘉 宾 认 为 ， D e v S e c O p s 的 奥 义 是 在 D e v O p s 中 融 入 S e c ， 因 此 其 基 于 D e v O p s 架 构 ， 并 在 相 应 阶 段 增 加 安 全 性 检 查 ， 集 成 到 C I / D I 的 流 程 中 ， 并 扩 展 现 有 的 D e v O p s 工 具 与 实 践 。 D e v O p s 的 核 心 是 “ 持 续 整 合 集 成 与 持 续 交 付 ” ， 而 D e v S e c O p s 的 核 心 在 于 “ 安 全 关 口 左 移 ” 。 总 体 来 说 ， D e v S e c O p s 要 想 成 功 实 践 ， 需 要 能 力 集 成 ， 持 续 学 习 以 及 多 方 面 的 融 合 。 此 外 ， 现 场 演 讲 者 也 强 调 了 评 估 （ 度 量 ） 机 制 对 于 效 率 提 升 、 减 少 组 织 间 不 信 任 或 冲 突 的 重 要 性 。 安 全 专 家 L a r r y
M a c c h e r o n e 提 出 了 实 践 D e v S e c O p s 的 九 大 关 键 因 素 。 安 全 意 识 安 全 编 码 威 胁 建 模 第 三 方 导 入 代 码 分 析 代 码 编 写 分 析 团 队 合 作 协 议 高 危 脆 弱 性 清 理 同 业 人 员 评 审 安 全 评 估 这 九 大 关 键 因 素 中 ， 安 全 意 识 、 评 审 、 评 估 以 及 团 队 合 作 协 议 等 都 对 应 着 企 业 对 D e v S e c O p s 的 理 念 修 正 以 及 文 化 融 合 。 正 如 本 文 第 二 部 分 所 说 ， 理 念 与 文 化 的 壁 垒 ， 一 时 间 难 以 打 破 ， 需 要 重 视 且 持 续 改 进 。 综 合 威 胁 模 型 和 风 险 缓 解 、 持 续 的 安 全 自 动 化 等 ， 是 很 多 企 业 风 险 管 理 者 对 D e v S e c O p s 的 期 待 。 其 中 ， 自 动 化 需 要 通 过 多 种 工 具 实 现 。 现 场 演 讲 者 也 推 荐 了 一 些 参 考 工 具 ， 此 处 列 出 以 供 参 考 。
工 具 推 荐 工 具 推 荐 1 .   P o w e r S h e l l 2 .   P o w e r S h e l l   D S C 3 .   R E S T   A P I 4 .   C l o u d F o r m a t i o n 5 .   A R M   T e m p l a t e s 6 .   A z u r e   A u t o m a t i o n ： 7 .   C h e f ： h t t p s : / / l e a r n . c h e f . i o / # / 8 .   P u p p e t ： h t t p s : / / l e a r n . p u p p e t . c o m / c a t e g o r y / s e l f - p a c e d - t r a i n i n g 9 .   N e t O p s ： h t t p s : / / f 5 . c o m / e d u c a t i o n / s u p e r - n e t o p s - t r a i n i n g 学 习 书 目 推 荐 学 习 书 目 推 荐 L e a r n   W i n d o w s   P o w e r S h e l l   i n   a   M o n t h   o f   L u n c h e s ,   3 r d   E d i t i o n   –   B y   D o n   J o n e s   a n d   J e f f e r y   H i c k s P r o   P o w e r S h e l l   D e s i r e d   S t a t e   C o n f i g u r a t i o n   –   B y   R a v i k a n t h   C h a g a n i I m p l e m e n t i n g   D e v O p s   w i t h   M i c r o s o f t   A z u r e   –   B y   M i t e s h   S o n i E f f e c t i v e   D e v O p s   w i t h   A W S   –   B y   N a t h a n i e l   F e l s e n W i n d o w s   S e r v e r   2 0 1 9   &   P o w e r S h e l l   A l l - i n - O n e   D e s k   R e f e r e n c e   F o r   D u m m i e s   ( R e l e a s e   d a t e :   A p r i l   3 0 ,   2 0 1 9 ) –   B y   S a r a   P e r r o t t * 参 考 来 源 ： r s a c o n f e r e n c e ， r s a u s 1 9 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理