继IT组织纷纷转向敏捷研发与DevOps模式,如何在快速交付的同时,保障安全交付成为业内广泛关注的焦点,DevSecOps应运而生。
那么,传统敏捷研发模式究竟存在什么弊端?DevOps遗留了哪些问题?DevSecOps有何特点?行业的实践情况如何?IT团队选型时应该如何考虑?
本文将对以上问题进行解析,并以部分实例加以说明。
一、传统敏捷研发的弊端
随着云计算、微服务和容器技术的快速普及,许多企业及IT团队的交付模式迎来了巨大的变迁,由传统的瀑布式开发和一次性全量交付逐渐过渡为敏捷研发,来跟上业务及商业化需求。
然而,传统的敏捷研发模式存在诸多问题:安全责任过度依赖于有限的安全资源、安全团队在上线前介入、安全活动与研运流程严重割裂、系统安全问题暴露滞后等,非但不能有效地进行安全防护,还会影响交付速度。如何在更短的研发周期内,快速实现业务价值,同时保障质量、安全、交付速度的平衡,是传统敏捷研发模式面临的重要挑战。
此外,传统的敏捷研发模式中,需求、设计、研发、测试、运维等角色,工作流程彼此隔离,存在数据与信息孤岛,研运全场景数据收集困难,管理角色无法通过度量分析及时发现进度与质量的风险,更难以追踪溯源进而驱动产研持续改进。
二、DevOps的实践情况
研发与运营逐步走向一体化的大环境下,设计与执行仍基于敏捷研发框架之下的DevOps,以其一定程度上加速了软件部署与迭代效率的优势,获得不少企业的认可与关注。
在DevOps流程中,研发人员往往通过应用和编排开源工具,以加速开发与部署节奏。但该模式依赖于过多的脚本维护与人工跟进,可扩展性差,自由编排能力弱,软件供应链安全风险极高。
因此,如何保障业务及系统安全、如何提高流水线的执行效率成为DevOps面临的最大瓶颈。
三、DevSecOps的演进与行业痛点
1. DevSecOps的诞生与发展
针对以上困境,2012年由Gartnert提出的DevSecOps概念,强调安全左移,让安全贯穿于业务生命周期的每个环节,并成为IT组织架构内所有成员的责任。发展至今,业界关于DevSecOps的呼声日益高涨,它是对自动化能力不足、充满安全瓶颈的敏捷开发模式的关键响应,从源头上补齐了DevOps体系缺失的安全能力。
因此,近年来,越来越多的政企纷纷加入到实践行列。显然,DevSecOps的起源、演进发展及广泛使用,足以见得市场已对安全研运提出更高标准。
那么,DevSecOps业内,已落地的前沿创新及解决方案,是否能够应对云原生、微服务、容器等新兴技术带来的开源漏洞?安全检测工具是否准确、易用、高效?是否打破数据孤岛,是否实现真正的项目或团队协同?度量分析是否提供智能决策,是否真正驱动产研保质增效?
2. DevSecOps实践痛点:工具单一、能力不足、体系缺失
我们带着以上疑问,对DevSecOps业内已落地的实践进行了系统性分析。
诚然,DevSecOps的出现与实践,正在帮助我们找寻速度与安全的平衡点,它的体系已日趋成熟,方法论、技术与实践经验均有明显提升。
但目前的DevSecOps实践,普遍过多地关注在CI/CD流水线相关的安全工具集成与应用上,且大多只集成了SAST工具,做单一源代码检测,这种情况下不但工具与流程是不易集中管理与调整,安全测试无法紧跟快速迭代的步伐,严重拖垮交付节奏,而且缺乏SCA、IAST及模糊测试等能力,来为流程中其他阶段进行更多维度的安全检测。
与此同时,我们忽视了一个重要信息,该种单点防御的方式,即使编排了准确高效的安全检测工具,也只局限于发现研发阶段的漏洞,但是,漏洞往往并非只发生于开发编码阶段。
“越早发现漏洞,修复成本越低”已然是我们的共识,因此,我们在DevSecOps的实施过程中,应该建立完善的风险评估体系,在设计、架构阶段就介入安全需求,让安全任务更为彻底地实现左移,从源头上避免漏洞的产生。
3. 打破流程闭锁,纵深安全研运体系让价值流动
随着交付规模不断扩大、交付速度要求越来越高,如何在保障交付速度的前提下,确保研发质量与安全质量的一致性,仍是管理角色关注的重点。在此背景下,需要构建一套
纵深安全研运管理体系
,打破流程闭锁,实现产品、研发、运维一体化管理,提高自动化能力,减弱对人工的依赖,以可视化、智能化驱动安全研运。以智能的研发效能分析为主要任务,实现交付效率、交付质量、交付能力的可视、溯源与追踪,通过精准的分析模型,驱动管理者持续改进产研效率,助力企业向市场快速交付更多的业务价值。
四、纵深一体化安全研运管理平台:价值与流程的高效联动
纵观DevSecOps市场,当前研发效能普遍停留在简单度量指标的展示,度量模型建设及智能决策能力还有待提高。鉴于如此,我们梳理了来自不同行业中诸多客户的DevSecOps落地案例,总结了集安全技术能力、超前的DevSecOps组织与文化理念、完备的安全服务于一体的实践方法,一方面,助力投资方与创新实践者对齐行业认知,另一方面,帮助政企IT团队精准选型,避免踩坑,顺利完成安全研运一体化的DevSecOps的转型与落地。
我们通过打造研运全流程的 纵深一体化安全研运管理平台
,帮助客户打破信息与数据隔离,采用了基于数据挖掘与人工智能技术,收集多场景、全流程的数据,搭建了领先于行业的 智慧效能度量体系
,帮助企业快速找到研运低效率、低质量的根源,进而通过 BI决策模型 辅助团队快速交付。让企业更高效、更可靠地,向市场持续交付高质量的业务价值。
在具体实践中,纵深一体化安全研运管理平台,在需求设计阶段通过S-SDLC威胁建模,针对每个具体需求,在产研各个环节中,植入由安全专家发起的安全需求。
一方面,提高了产研团队的安全防范意识,从源头减少了漏洞产生。另一方面,我们长期坚持“授人以鱼不如授人以渔“的理念”,以赋能形式整体上提高客户团队的安全研发能力,帮助客户降低对安全团队的依赖,使市场实现
“研运普惠安全” 。
在研发编码阶段,我们融合多种拥有自主知识产权的国产化工具,例如静态代码扫描(SAST)、交互式应用安全检测(IAST)、软件成分分析(SCA)、模糊测试(FUZZ)、动态应用安全测试(DAST)等工具,帮助客户实现了更低的MTTD(平均检测时间),有效地将安全风险阻隔于上线前。并且,通过对迭代、任务、缺陷、里程碑等细粒度的记录与数据分析,实现了对研发流程的精细化管理。此外,采用了领先业内的平均交付时间、需求流负载、缺陷逃逸率等关键度量指标,以及基于大数据和AI技术的智能度量模型,落地了一套全流程的
安全研运效能度量方法 。
事实上对于客户而言,快速、准确地检测出问题仅仅是第一步,如何对安全问题做出快速响应更为重要。鉴于此,在上线及运营阶段,我们通过建立完整的安全响应机制,有效地帮助客户降低了MTTR(平均响应时间)。
此外, 纵深一体化安全研运管理平台
配备基于数智融合的安全态势感知数字大屏,辅助客户实现了对安全风险的预防、持续监控、分析和快速响应。并在软件运行阶段,我们采用RASP安全防护技术,提供了隐藏漏洞的更多可见性,帮助政企有效应对运行时攻击。
自DevSecOps理念诞生以来,业内一直处于探索演进过程中,我们专注于以更专业、更安全、更值得信赖的方式,为DevSecOps行业快速发展提供可靠的参考。
五、未来展望
随着数字化转型与等保升级,DevSecOps在中国市场呈现了快速增长的态势,开源网安坚信唯创新者胜,能够感知全盘的安全态势,并实现体系化纵深安全防御的研运一体化产品,将引领行业发展。
最后
分享一个快速学习【网络安全】的方法,「也许是」最全面的学习方法:
1、网络安全理论知识(2天)
①了解行业相关背景,前景,确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。(非常重要)
2、渗透测试基础(一周)
①渗透测试的流程、分类、标准
②信息收集技术:主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理,利用方法、工具(MSF)、绕过IDS和反病毒侦察
④主机攻防演练:MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础(一周)
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全(系统入侵排查/系统加固基础)
4、计算机网络基础(一周)
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析(HTTP、TCP/IP、ARP等)
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御:主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作(2天)
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透(1周)
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具:Nmap、BurpSuite、SQLMap、其他(菜刀、漏扫等)
恭喜你,如果学到这里,你基本可以从事一份网络安全相关的工作,比如渗透测试、Web 渗透、安全服务、安全分析等岗位;如果等保模块学的好,还可以从事等保工程师。薪资区间6k-15k。
到此为止,大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗?
想要入坑黑客&网络安全的朋友,给大家准备了一份:282G全网最全的网络安全资料包免费领取!
扫下方二维码,免费领取
有了这些基础,如果你要深入学习,可以参考下方这个超详细学习路线图,按照这个路线学习,完全够支撑你成为一名优秀的中高级网络安全工程师:
还有一些学习中收集的视频、文档资源,有需要的可以自取:
每个成长路线对应板块的配套视频:
当然除了有配套的视频,同时也为大家整理了各种文档和书籍资料&工具,并且已经帮大家分好类了。
因篇幅有限,仅展示部分资料,需要的可以【扫下方二维码免费领取】