搜索

[29411] 2017-05-18_深度好文浅谈安全与DevOps融合的思路

文档创建者：s7ckTeam
浏览次数：124
最后更新：2025-01-19
2017-05-18_深度好文浅谈安全与DevOps融合的思路 深 度 好 文   |   浅 谈 安 全 与 D e v O p s 融 合 的 思 路 S e c Z o n e   O W A S P   2 0 1 7 - 0 5 - 1 8 将 安 全 与 D e v O p s 融 合 ， 可 有 助 于 提 升 产 品 开 发 的 安 全 性 。 根 据 麦 肯 锡 公 司 的 意 见 ， 成 为 一 个 D e v O p s - r e a d y 的 I T 组 织 有 以 下 好 处 ： 增 加 2 5 % 至 3 0 % 的 创 建 能 力 ； 减 少 5 0 % 至 7 5 % 的 市 场 推 广 时 间 ； 降 低 超 过 5 0 % 的 故 障 率 。 根 据 2 0 1 6 年 P u p p e t L a b s   S t a t e   o f   D e v O p s 的 调 查 ， 有 4 5 ％ 受 访 者 表 示 期 望 通 过 D e v O p s 提 高 安 全 性 。 而 已 将 安 全 与 D e v O p s 融 合 的 组 织 表 示 ， 能 减 少 5 0 % 安 全 问 题 修 复 的 时 间 。 言 下 之 意 ： 将 安 全 与 D e v O p s 融 合 ， 提 高 安 全 过 程 的 D e v O p s 成 熟 度 ， 对 产 品 上 线 保 障 和 客 户 信 心 至 关 重 要 。 D e v O p s   -   安 全 的 安 全 的 “ 零 和 博 弈 零 和 博 弈 ” “ 运 营 ” 和 “ 安 全 ” 已 经 变 成 了 一 种 “ 零 和 博 弈 ” ： 7 0 % 的 I T 运 营 团 队 认 为 安 全 降 低 了 I T 的 效 率 ， 而 7 7 % 的 安 全 团 队 也 同 意 该 说 法 。 一 些 公 司 对 敏 捷 方 法 投 资 ， 构 建 和 提 升 D e v O p s 能 力 ， 这 已 经 成 为 了 真 实 需 要 和 实 际 实 现 的 目 标 。 在 这 些 公 司 里 ， 安 全 团 队 ， 特 别 是 那 些 提 供 软 件 应 用 安 全 的 团 队 ， 要 么 成 为 一 个 发 展 的 “ 阻 碍 者 ” ， 要 么 成 为 “ 被 抛 弃 者 ” 。 然 而 ， 一 旦 安 全 团 队 成 为 “ 阻 碍 者 ” 时 ， 企 业 在 代 码 部 署 、 产 品 迭 代 时 都 会 变 慢 ， 从 而 对 产 品 发 布 、 进 入 市 场 产 生 影 响 。 而 当 安 全 团 队 成 为 “ 被 抛 弃 者 ” 时 ， 企 业 发 布 的 产 品 则 易 受 安 全 威 胁 、 合 规 风 险 ， 甚 至 造 成 客 户 信 任 度 降 低 、 企 业 名 誉 受 到 损 害 。 将 安 全 与 将 安 全 与 D e v o p s 融 合 的 思 路 融 合 的 思 路   1 . 提 升 软 件 安 全 开 发 意 识 ， 掌 握 安 全 开 发 技 能 提 升 软 件 安 全 开 发 意 识 ， 掌 握 安 全 开 发 技 能 原 因 ： 原 因 ： 将 结 果 传 递 到 现 有 的 工 具 中 ， 可 以 消 除 开 发 人 员 学 习 新 工 具 和 将 安 全 视 为 “ 阻 碍 ” 的 问 题 。 开 发 人 员 应 该 重 视 安 全 警 告 结 果 ， 就 像 他 们 重 视 测 试 和 崩 溃 的 结 果 一 样 。 开 发 人 员 应 该 提 升 软 件 安 全 开 发 的 基 本 意 识 ， 了 解 应 用 程 序 是 如 何 受 到 攻 击 的 ， 并 掌 握 相 关 的 安 全 开 发 技 术 方 法 。 这 样 做 的 原 因 是 可 以 在 不 增 加 额 外 步 骤 或 工 具 的 情 况 下 ， 将 安 全 开 发 实 践 不 断 地 嵌 入 到 开 发 团 队 中 。 方 法 ： 方 法 ： D e v O p s - r e a d y   的 安 全 程 序 将 安 全 融 入 到 开 发 人 员 和 D e v O p s 的 日 常 工 作 中 。 这 意 味 着 把 需 对 软 件 开 发 相 关 人 员 进 行 有 关 软 件 安 全 开 发 的 意 识 培 训 和 技 能 培 训 ， 并 将 意 识 和 技 能 与 敏 捷 开 发 的 每 一 个 环 节 融 合 。 2 . 在 产 品 中 添 加 传 感 器 来 消 除 安 全 扫 描 ， 以 作 为 在 产 品 中 添 加 传 感 器 来 消 除 安 全 扫 描 ， 以 作 为 S D L C 的 一 个 步 骤 的 一 个 步 骤 原 因 ： 原 因 ： 安 全 扫 描 会 导 致 在 产 品 发 布 环 节 增 加 额 外 步 骤 ， 并 延 缓 部 署 工 作 。 此 外 ， 安 全 扫 描 会 产 生 误 报 ， 因 为 当 扫 描 工 作 停 止 时 ， 无 法 检 测 到 产 品 的 安 全 问 题 。 而 若 将 I A S T （ 交 互 式 应 用 程 序 安 全 测 试 ） 和 R A S P （ 运 行 应 用 程 序 自 我 保 护 ） 产 品 传 感 器 嵌 入 到 应 用 程 序 中 ， 则 从 根 本 上 使 产 品 的 安 全 保 护 处 于 “ 一 直 工 作 ” 的 状 态 。 I A S T 和 R A S P 工 具 将 安 全 测 试 作 为 S D L C 中 的 一 个 独 立 步 骤 ， 并 能 提 高 检 测 的 准 确 性 。   方 法 ： 方 法 ： 寻 找 能 嵌 入 到 需 要 被 保 护 资 产 内 部 的 安 全 控 件 。 对 于 应 用 程 序 而 言 ， 许 多 传 统 的 软 件 安 全 解 决 方 案 是 扫 描 或 审 查 软 件 和 应 用 程 序 本 身 的 扫 描 技 术 （ 静 态 分 析 或 S A S T 、 动 态 分 析 或 D A S T ） 。 而 对 于 为 D e v O p s 构 建 的 安 全 工 具 ， 如 ： I A S T 和 R A S P ， 则 在 应 用 程 序 运 行 时 “ 驻 留 ” 在 应 用 程 序 内 部 。   3 . 将 安 全 与 持 续 集 成 、 持 续 开 发 渠 道 及 将 安 全 与 持 续 集 成 、 持 续 开 发 渠 道 及 D e v O p s 工 具 链 融 合 工 具 链 融 合 原 因 ： 原 因 ： 将 安 全 性 作 为 持 续 集 成 （ C I ） 和 持 续 开 发 （ C D ） 渠 道 的 一 部 分 ， 可 以 加 快 软 件 发 布 上 市 的 速 度 。 这 样 就 不 需 要 开 发 团 队 和 运 营 团 队 共 同 面 临 新 工 具 的 使 用 问 题 ， 并 能 从 S D L C 中 消 除 额 外 的 安 全 测 试 步 骤 。   方 法 ： 方 法 ： 安 全 控 制 应 与 开 发 和 运 营 环 境 融 合 。 这 可 以 通 过 两 种 方 式 来 完 成 。 利 用 D e v O p s 工 具 提 供 的 现 有 A P I ， 传 递 安 全 数 据 。 找 到 一 个 安 全 解 决 方 案 ， 并 集 成 到 公 司 的 D e v O p s 堆 栈 中 。 理 想 的 情 况 下 ， 安 全 解 决 方 案 应 该 是 直 接 集 成 到 S D L C 每 个 阶 段 使 用 的 工 具 。   4 . 在 云 环 境 中 能 容 易 地 迁 移 和 扩 展 安 全 控 制 在 云 环 境 中 能 容 易 地 迁 移 和 扩 展 安 全 控 制 原 因 ： 原 因 ： 随 着 应 用 程 序 的 发 展 和 规 模 扩 大 ， 安 全 控 制 措 施 也 必 须 与 时 俱 进 。 否 则 ， 安 全 性 会 再 次 成 为 阻 碍 或 影 响 应 用 程 序 稳 定 性 和 性 能 的 风 险 。 这 对 基 于 云 环 境 的 应 用 程 序 尤 其 重 要 ， 因 为 应 用 程 序 和 基 础 设 施 在 云 环 境 中 会 进 行 部 署 、 迁 移 和 扩 展 。 方 法 ： 方 法 ： 安 全 控 制 的 有 效 性 不 应 伴 随 应 用 程 序 部 署 方 式 的 变 化 而 产 生 变 化 。 该 解 决 方 案 应 该 能 很 好 地 解 决 在 硬 件 盒 子 、 虚 拟 机 或 容 器 中 部 署 的 问 题 。 它 还 应 该 与 底 层 基 础 设 施 架 构 无 关 ， 无 论 是 私 有 数 据 中 心 、 公 有 云 （ 如 ： A W S 、 G o o g l e C l o u d 、 A z u r e 、 R a c k s p a c e ） ， 还 是 混 合 云 ， 都 应 该 是 行 之 有 效 的 。
  5 . 与 具 有 成 熟 经 验 的 供 应 商 合 作 与 具 有 成 熟 经 验 的 供 应 商 合 作 原 因 ： 原 因 ： 协 助 供 应 商 了 解 客 户 的 设 置 、 工 具 链 和 优 先 级 别 ， 以 从 侧 面 了 解 供 应 商 是 如 何 快 速 迭 代 产 品 、 交 付 功 能 和 对 运 营 支 持 提 供 响 应 。   方 法 ： 方 法 ： 寻 找 使 用 D e v O p s 来 交 付 产 品 的 供 应 商 。 如 果 可 能 的 话 ， 让 你 的 D e v O p s 团 队 和 安 全 团 队 与 供 应 商 的 D e v O p s 团 队 和 研 发 团 队 进 行 交 流 ， 了 解 其 D e v O p s 的 设 置 方 式 和 工 具 链 。 他 们 之 间 能 够 建 立 起 良 好 的 合 作 关 系 ， 因 为 他 们 可 以 分 享 最 佳 实 践 、 了 解 你 的 运 行 环 境 ， 并 知 道 如 何 使 用 D e v O p s 流 程 研 发 产 品 。   s e c z o n e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理