搜索

[16848] 2021-05-30_某在线教育DevSecOps实践分享

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-05-30_某在线教育DevSecOps实践分享 某 在 线 教 育 D e v S e c O p s 实 践 分 享 窝 窝 2 3 3 3 3 3   F r e e B u f   2 0 2 1 - 0 5 - 3 0 D e v S e c O p s 由 D e v O p s 演 变 而 来 ， 随 着 云 计 算 以 及 微 服 务 的 发 展 以 及 业 务 上 云 成 为 趋 势 化 发 展 。 D e v o p s 自 身 的 模 型 需 要 一 个 更 为 高 效 敏 捷 安 全 的 流 程 。 D e v O p s 经 历 了 瀑 布 模 型 到 敏 捷 模 型 的   “ 进 化 ” 从 传 统 的 开 发 运 维 融 入 了 安 全 。 我 司 基 础 架 构 为 上 云 架 构 目 前 处 于 p h p 向 j a v a 语 言 转 变 过 程 中 ， 其 中 由 于 业 务 快 速 迭 代 和 持 续 交 付 的 速 度 十 分 快 。 需 要 一 个 更 加 高 效 的 流 程 。 由 于 持 续 交 付 和 新 型 软 件 研 发 模 式 （ C I / C D ） 流 程 的 兴 起 。 以 安 全 左 移 内 嵌 自 动 化 为 标 志 的 D e v S e c O p s 开 始 兴 起 ， D e v S e c O p s 与 D e v O p s 之 间 只 多 了 一 个 S e c 但 是 S e c 在 中 间 极 为 关 键 的 作 用 。 其 中 D e v S e c O p s 的 一 个 核 心 理 念 就 是 每 个 环 节 都 在 为 安 全 负 责 。 构 建 了 一 个 贯 穿 了 从 研 发 到 运 维 过 程 的 安 全 模 型 。 从 互 联 网 企 业 构 建 D e v S e c O p s 实 践 来 结 合 公 司 具 体 研 发 流 程 进 行 D e v S e c O p s 的 流 程 构 建 。 1 . D e v S e c O p s 模 型 的 宣 导 。 贯 穿 安 全 理 念 在 研 发 流 程 当 中 从 技 术 评 审   创 建   测 试   预 发 布   发 布   预 防   响 应   检 测 这 几 个 方 面 进 行 一 个 流 程 宣 导 。 D e v S e c O p s 全 程 融 入 与 应 用 开 发 流 程 实 现 安 全 评 审   安 全 测 试   安 全 响 应   安 全 检 测   安 全 运 营 五 个 方 向 的 具 体 融 入 。 2 . 流 程 上 需 要 把 研 发 安 全 运 维 多 线 工 作 串 联 实 现 多 方 协 作 才 能 实 现 把 D e v S e c O p s 的 模 型 成 功 落 地 。 安 全 也 需 要 低 入 侵   柔 和 的 开 发 运 维 流 程 。 3 . 技 术 层 面 构 建 D e v S e c O p s 工 具 链 落 地 。 在 S A T S 与 I A S T 之 间 我 选 择 了 I A S T 进 行 流 程 介 入 。 通 过 I A S T 对 接 j e n k i n s 实 现 研 发 自 助 式 提 交 测 试 请 求 。 在 u a t 环 境 上 进 行 被 动 代 码 插 桩 模 式 扫 描 。 基 本 实 现 了 对 u a t 环 境 应 用 做 到 低 入 侵 性 安 全 测 试 ， 同 时 不 影 响 业 务 接 口 功 能 测 试 。 S A S T 工 具 在 D e v S e c O p s 流 程 中 前 置 实 际 落 地 实 践 应 在 I A S T 与 D A S T 搭 建 完 成 之 后 再 进 行 接 入 S A S T 工 具 进 行 自 动 化 安 全 测 试 工 具 链 路 的 搭 建 。
如 图 在 实 际 D e v S e c O p s 还 有 一 个 应 用 安 全 防 护 的 r a s p 工 具 。 r a s p 工 具 可 以 保 护 正 在 运 行 时 的 应 用 。 可 以 拦 截 通 用 的 反 序 列 化 C C 链 类 攻 击 第 一 阶 段 目 标 接 入 第 一 阶 段 目 标 接 入 I A S T 自 动 化 灰 盒 测 试 平 台 对 接 到 自 动 化 灰 盒 测 试 平 台 对 接 到 j e n k i n s 。 。 进 行 D e v S e c O p s 文 化 塑 造 。 核 心 点 在 于 保 障 安 全 性 的 同 时 满 足 业 务 快 速 迭 代 需 求 。 在 业 务 团 队 设 置 安 全 对 接 人 （ 即 安 全 主 责 人 ） 。 搭 建 桥 梁 。 让 安 全 对 接 人 配 合 安 全 团 队 进 行 一 些 前 期 安 全 赋 能 工 作 。 进 而 影 响 业 务 团 队 进 行 安 全 指 标 量 化 。 安 全 团 队 和 P M 团 队 一 起 建 立 安 全 质 量 体 系 。 例 如 安 全 性 考 核 积 分 来 对 不 同 的 团 队 进 行 安 全 度 量 。 针 对 研 发 效 能 管 理 平 台 上 线 强 结 合 的 安 全 动 作 。 进 行 不 同 流 程 和 平 台 的 适 配 前 期 进 行 宣 贯 D e v S e c O p s 敏 捷 模 型 。 进 行 安 全 编 码 规 范 培 训 第 二 阶 段 目 标 实 现 内 部 代 码 托 管 平 台 增 量 接 入 第 二 阶 段 目 标 实 现 内 部 代 码 托 管 平 台 增 量 接 入 S A S T 静 态 代 码 扫 描 工 具 。 静 态 代 码 扫 描 工 具 。 检 测 代 码 编 写 过 程 中 是 否 引 入 了 不 安 全 的 依 赖 库 和 三 方 组 件 。 杜 绝 应 用 开 发 当 中 引 入 组 件 层 面 可 能 存 在 的 漏 洞 。 实 现 研 发 自 助 式 进 行 代 码 安 全 扫 描 并 自 动 出 具 报 告 在 研 发 效 能 平 台 中 。 在 应 用 部 署 层 面 实 现 主 机 层 安 全 基 线 检 查 杜 绝 部 署 过 程 中 可 能 产 生 的 未 授 权 以 及 软 件 配 置 方 面 漏 洞 。 第 三 阶 段 目 标 实 现 第 三 阶 段 目 标 实 现 D e v S e c O p s 全 工 具 链 落 地 通 过 工 具 链 完 成 自 动 化 全 工 具 链 落 地 通 过 工 具 链 完 成 自 动 化 D e v S e c O p s 安 全 测 试 。 安 全 测 试 。 宏 观 阶 段 目 标 宏 观 阶 段 目 标 阶 段 一 阶 段 一 原 有 应 用 安 全 风 险 点 进 行 风 险 收 敛 。 对 尚 未 上 线 的 应 用 全 面 融 入 安 全 性 考 核 和 进 行 安 全 测 试 。 争 取 应 用 安 全 能 力 左 移 到 测 试 阶 段 。 阶 段 二 阶 段 二 D e v S e c O p s 工 具 链 的 流 程 跑 通 。 研 发 从 j e n k i n s 上 可 以 提 起 I A S T 灰 盒 安 全 测 试 请 求 。 安 全 团 队 进 行 例 行 性 安 全 测 试 。 同 时 完 善 应 用 入 网 安 全 评 审 流 程 禁 止 应 用 “ 带 病 上 线 ” 阶 段 三 阶 段 三 完 善 多 团 队 安 全 协 作 流 程 。 持 续 贯 穿 D e v S e c O p s 理 念 。 达 到 研 发 运 维 业 务 每 个 环 节 都 存 在 安 全 意 识 。 人 人 都 是 安 全 的
一 个 环 节 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理