IAST技术进阶系列（四）：DevOps流水线敏捷实践

数字经济时代，企业的数字化转型已经成为企业发展的重要驱动力之一。无论是传统行业还是互联网数字化转型的内生需求，都需要研发运营模式向敏捷交付一体化发展，即从传统的瀑布式开发到敏捷开发，再演进到当下热门的DevOps研运一体化。

图1 三种应用开发模式对比

随着企业对代码安全性、安全测试与漏洞扫描、第三方开源组件的安全性、设计符合安全标准和规范等安全问题越来越重视，DevOps带动了DevSecOps安全框架的兴起。悬镜安全作为国内DevSecOps敏捷安全领导者，以前瞻性的思维及多年的技术沉淀，助力企业从DevOps到DevSecOps转型。

在转型中，悬镜专利级代码疫苗技术的核心之一——IAST技术凭借独特优势成为DevOps流程中自动化安全测试的“明星”。能否与各类DevOps平台集成，是评判IAST平台成熟的主要标准之一。

一、从DevOps概念演进到工具链诞生

DevOps，由 Development（开发）和Operations（运维）组合而成，是一组过程、方法与系统的统称，重视软件开发人员和运维人员的沟通合作，通过自动化流程使软件构建、测试、发布更加快捷、频繁和可靠。

图2 DevOps概念

一个简易的DevOps开发流程如下： 

开发团队接到任务进行一个变更->开发完成后提交代码到代码仓库Git->Jenkins拉取Git代码执行CI ->构建 Docker image->基于镜像部署应用到测试环境->在测试环境里通过 Jenkins 触发集成测试功能->完成后再部署应用到生产环境。

流程涉及的工具链包含Git、Jenkins、Docker等，其中自动化测试工具是关键。将手动的任务通过DevOps工具链形成自动化，开发效率进而提高。

图3 DevOps工具链

二、不是开发的“安全”，而是“安全地开发”

在DevOps开发模式流行之前，大多人认为安全只是特定团队的责任，在开发的最后阶段才会介入。但是当采用了DevOps开发模式之后，开发周期缩短至数周、数天甚至数小时，后置介入的安全手段会拖累整个开发流程，加重业务人员的负担，急需一种适应DevOps开发模式的安全解决方案，所以DevSecOps（Development Security Operations）诞生了。

DevSecOps是一套基于DevOps敏捷开发和持续运营的全新IT安全实践战略框架，强调安全需要贯穿整个业务生命周期的每个环节，建议将安全保障措施