DevSecOps基本概念介绍

DevSecOps是把安全的最佳实践集成到DevOps的流程里面，它是一个很形象的词，拆分理解：Dev（开发）、Sec（安全）、Ops（运维）三个部分。DevSecOps包括创立一种安全即代码（Security as Code）的文化，从而在发布开发工程师和安全团队之间，建立一种可以持续的，灵活合作的机制和流程，从而把在传统软件开发流程里面最后由安全测试团队把关扫描的安全工作，左移到整个软件开发的全流程，从而大大降低了应用在上线后出现的安全隐患，也大大加快了上线的速度，同时也让其他非安全团队的软件人员在设计、开发、测试、发布的全过程中具备安全意识，以避免后续反复多次的补救，甚至需要推翻整个产品重新开发的尴尬局面。

一、DevSecOps适用对象

1． 需要有完整的软件研发流程，包括版本控制、 代码仓库。

2． 软件开发有成熟的第三方包管理，例：如 maven。

3． 软件应用系统较多，短迭代周期，目前与 Java应用适配程度较高。

4． 安全团队有参与研发过程管控的能力。

二、SDL、SDLC以及S-SDLC三种开发模型的概念

SDL（Security Development Lifecycle）是安全开发生命周期的简称，它是由微软微软提出的从安全角度指导软件开发过程的管理模式。SDL是一个安全保证的过程，其重点是软件开发，它在开发的所有阶段都引入了安全和隐私的原则。通俗的讲就是一个帮助开发人员“构建更安全的软件”和“解决安全合规要求”的同时“降低开发成本”的“软件开发过程”。

它由以下7个部分组成：

1、安全培训(training)：推广安全编程意识

2、需求分析(requirements)：寻找安全嵌入的最优方式

3、系统设计(design):威胁建模设计

4、实现(implementation)：安全开发

5、验证(verification)：黑/白盒测试

6、发布(release)：最后检查确认

7、响应(response)：应急响应，bug跟踪解决

SDLC（Software Development Life Cycle）是软件开发生命周期的简称。SDLC是一个连续的过程，它从决定启动项目的那一刻开始，并在它完全从开发中移除的那一刻结束。SDLC并不包含安全的部分，它旨在完整的描述软件开发到落地的过程。 SDLC的6个过程： 1、 评估现有系统 （问题定义与规划）。

2、 确定新系统的要求（需求分析）。

3、 设计提议的系统（软件设计）。

4、 开发新系统（程序编码）。

5、 新系统投入使用（软件测试）。

6、 新系统完成以及运行一段时间后，需要进行彻底评估，并时刻进行严格维护（运行维护）。

S-SDLC（Secure Software Development Life Cycle）是安全软件开发生命周期，它由OWASP组织首个由OWASP中国团队独立发布并主导的研究项目，是一套完整的，面向Web和APP开发厂商的安全工程模型。帮助软件企业降低安全问题，提升软件安全质量。S-SDLC的理念来源于微软SDL，最终目标是帮助用户减少安全问题，并使用该方法从每个阶段提高总体安全级别，同时在原有的流程中嵌入安全活动以及各成分团队人员怎么进行协作是 S-SDLC 服务考虑的重点，同时S-SDLC能降低软件维护阶段的安全成本。

S-SDLC定义了安全软件开发的流程，以及各个阶段需要进行的安全活动，包括活动指南，工具、模板等，主要包括以下6个部分：

1、培训：提供安全培训体系，包含安全意识培训，安全基础知识培训，安全开发生命周期流程培训和安全专业知识培训。

2、需求阶段：如何对软件产品的风险进行评估，建立基本的安全需求。

3、设计阶段：提供安全方案设计及威胁建模。

4、实现阶段：提供主流编程语言的安全编码规范，安全函数库以及代码审计方法。

5、测试阶段：基于威胁建模的测试设计，Fuzzing测试，渗透测试。

6、发布/维护阶段：建立漏洞管理体系。

技术总结

通过对威胁建模过程的解构和建模形成模板，解决在安全需求分析阶段对于人员技能水平要求过高、 过程繁琐、质量输出不确定、不可复现的问题，输出针对具体功能业务的安全需求与设计并提供相应的测试方案用于规范测试流程。