devops_DevOps专业人员如何成为安全冠军

devops

安全是DevOps中一个被误解的元素。 有些人认为它不在DevOps的职权范围之内，而另一些人则认为它很重要（被忽略），足以建议您转向DevSecOps 。 无论您从哪个角度看，很明显，安全都会影响到每个人。

每年， 关于黑客的统计数据都变得更加令人震惊。 例如，每39秒就有一次黑客攻击，这可能会导致您为公司编写的记录，身份和专有项目被盗。 您的安全团队可能需要花费几个月（甚至可能永远）的时间，才能发现黑客的身份，身份，地点或时间。

这些严重问题应由运营专家做什么？ 我说现在是时候让我们成为安全支持者，成为解决方案的一部分了。

筒仓和草皮战争

在与本地IT安全（ITSEC）团队并肩工作的多年中，我注意到了很多事情。 一个很大的问题是，DevOps和安全性之间的矛盾非常普遍。 这种紧张关系几乎总是源于安全团队为防止漏洞（例如，通过设置规则或禁用事物）而进行的努力，这些漏洞会中断DevOps的工作并阻碍其快速部署应用程序的能力。

您已经看到了，我已经看到了，您在现场遇到的每个人至少都有一个故事。 一小撮怨恨变成了一座烧毁的桥梁，需要花费一些时间进行修复-或这些团体开始一场小规模的草皮战，而由此产生的孤岛使实现DevOps的可能性不大。

换个角度看

考虑一下查找，分析和撤消已完成操作所需的大量知识。 或者要弄清楚DevOps团队在没有背景信息的情况下正在做什么，然后复制并测试它。 并由通常配备不足的安全团队来完成所有这些工作。

这是您的安全团队的日常生活，而您的DevOps团队则看不到它。 ITSEC的日常工作可能意味着加班和加班，以确保公司，其团队及其团队进行的专有工作安全。

成为安全冠军的方法

这就是您自己的安全支持者可以提供帮助的地方。 这意味着-对于您从事的所有工作-您必须认真，认真地观察别人可以登录到它的所有方式以及可以从中获得什么。

帮助您的安全团队帮助您。 将工具引入您的管道中，以将您知道的工作与他们将工作的工作集成在一起。 从小事情入手，例如阅读常见漏洞和披露（CVE）并将扫描功能添加到CI / CD管道。 对于您构建的所有内容，都有一个开源扫描工具，从长远来看，添加小型开源工具（例如下面的工具）可以加倍努力。

容器扫描工具：

• 锚固引擎
• 克莱尔
• 外阴
• OpenSCAP

代码扫描工具：

• OWASP SonarQube
• 查找安全漏洞
• Google Hacking Diggity Project

Kubernetes安全工具：

• 印花布项目
• 酷比猎人
• NeuVector

戴上DevOps帽子

如果您担任与DevOps有关的角色，那么学习新技术以及如何用新技术创造新事物是工作的一部分。 安全性也不例外。 这是我在保持DevOps安全的同时，在安全方面保持最新状态的方法列表。

• 每周阅读一篇文章，介绍与您正在从事的工作有关的安全性。
• 每周查看CVE网站，以了解新功能。
• 尝试进行黑客马拉松。 一些公司每月这样做一次； 如果您没有，请访问Beginner Hack 1.0网站，并且您想了解更多。
• 尝试每年至少与您的安全团队成员一起参加一次安全会议，以从他们的角度看待事情。

永远成为冠军

您应该成为自己的安全拥护者有几个原因。 首先也是最重要的是增进您的知识并发展您的职业。 第二个原因是帮助其他团队，建立新的关系并打破对您的组织有害的孤岛。 在整个组织内建立友谊有很多好处，包括树立桥接团队的良好榜样，并鼓励人们一起工作。 您还将促进在整个组织中共享知识，并为每个人提供有关安全性和加强内部合作的新契约。

总体而言，成为安全拥护者将使您成为整个组织的良好拥护者。

翻译自: https://opensource.com/article/19/9/devops-security-champions

devops