最近,DevOps的采用导致了企业计算的重大转变。除无服务器计算,动态配置和即付即用成本模型之类的功能外,DevOps的实践对于组织可以发挥一些增值效益,例如提高敏捷性,速度和降低成本,也非常有用。
尽管DevOps广受欢迎,但在需要安全交付代码的情况下,人们却发现DevOps是有需要的。这导致了一种新的开发方法,该方法促进了信息安全与DevOps的共存,通常将其称为DevSecOps。
对DevSecOps的需求
通过DevOps协调开发和运营团队,DevOps使得在更快的时间内开发定制软件和业务应用程序成为可能。但是,在大多数情况下,在DevOps实施中并未将安全性放在首位,并且通常被视为快速发展的障碍。
尽管组织越来越专注于打破开发,测试和运营团队之间的传统孤岛,但许多组织尚未将安全性集成到他们的开发过程中,因此容易受到漏洞的威胁。
这是DevSecOps Services的来源。DevSecOps方法包括将安全性纳入DevOps实践的重要组成部分。通过持续的监视,评估和分析,DevSecOps确保在开发过程的早期发现任何漏洞和弱点并立即予以补救。
DevOps和DevSecOps之间的区别
DevOps是指开发,测试和运营团队之间的协作环境,以实现持续交付,而DevSecOps涉及将安全组件集成到DevOps流程中DevSecOps专注于解决DevOps Automation安全问题,例如配置管理,组件分析等。
DevSecOps到底是什么?
DevOps通常被理解为流程和工具的组合,可促进软件工程和基础架构团队之间的持续协作。反过来,这些功能可自动在整个组织中快速可靠地交付应用程序和服务。DevOps包括多个重点领域,包括自动配置,持续集成,持续监视和测试驱动的开发。
作为DevOps思维方式的扩展,DevSecOps将安全控件和流程嵌入到DevOps工作流程中,并自动执行核心安全任务。这些安全性原则是在开发过程的早期引入的,并在整个开发生命周期中得到实施。
除了为DevOps团队提供安全知识和实践外,DevSecOps还将应用程序开发知识和流程整合到安全团队中,以实现团队之间的高效协作。在IT领域中,关于DevSecOps一词的用法没有一致意见,DevSecOps一词有时被称为DevOpsSec,SecDevOps或 Rugged DevOps。
DevSecOps方法的主要组成部分
组织需要在其开发DevSecOps的方法中纳入文化和技术上的转变,以更有效地应对实时安全威胁。实际的DevSecOps方法需要考虑六个主要组成部分。这些包括:
代码分析通过小块代码交付,可以快速识别漏洞。
变更管理这样,用户不仅可以提交高速度和高效率的变更,还可以确定变更的影响是正面还是负面。
监视合规性组织应遵守通用数据保护法规(GDPR)和支付卡行业数字安全标准(PCI DSS)之类的法规,并随时准备由监管机构进行审核。
调查威胁每次代码更新都会伴随潜在的新兴威胁。尽早识别这些威胁并立即做出反应至关重要。
漏洞评估涉及对新漏洞的分析以及对新漏洞的响应。
培训组织需要让他们的软件IT工程师参与安全性相关的培训,并为他们配备确定例程的准则。
采用DevSecOps策略
从DevOps迁移到DevSecOps并不是一个简单的提议,但可以通过适当计划的分阶段成功实现。组织在采用DevSecOps时需要考虑三个关键步骤:
当前安全措施的评估安全团队执行威胁建模并进行风险评估,以帮助他们分析组织资产的敏感度水平及其潜在威胁。此外,他们可以了解当前的安全控制并确定需要修改的优先级。
将安全性集成到DevOps中将安全性措施集成到开发过程中涉及检查开发工作流程,并确保将安全性实践和自动化相结合,从而将干扰降到最低。
将DevSecOps与安全运营集成只有开发,安全和运营团队致力于协调并将安全流程和控件嵌入整个DevOps工作流程中,DevSecOps实施才能被视为成功。在开发过程中持续监视任何安全问题并确保快速响应,对于将安全操作与DevSecOps方法集成在一起至关重要。
重要的DevSecOps工具
DevSecOps的采用涉及评估应用程序安全风险和代码测试,而专用工具是必不可少的。集成开发环境(IDE)中自动测试工具的使用使开发人员能够将安全性纳入DevOps工作流程中,而无需每次都启动新的环境来测试代码。
已经开发了多种工具来促进DevSecOps实施的各个方面。这些包括:
可视化工具 Kibana和Grafana之类的工具可帮助识别,发展安全信息并与操作共享。
自动化工具每当发现安全缺陷时,StackStorm之类的工具都可以帮助提供脚本化的补救措施。
搜寻工具这些工具有助于检测安全异常。一些示例包括Mirador,OSSEC,MozDef和GRR等。
测试工具测试是DevSecOps的关键要素,为此目的使用了广泛的工具,例如GauntIt,Spyk,Chef Inspec,Hakiri,Infer和Lynis。
警报工具 Elastalert,Alerta和411等工具会在发现需要修复的安全缺陷时提供警报和通知。
威胁情报工具这些工具可捕获和整理威胁情报,包括OpenTPX,关键堆栈和被动总计。
攻击建模工具这些有助于实施攻击建模和安全防御。
如何实现DevSecOps?
DevSecOps通过在代码级别合并安全性,将它们组合为一个简化的流程,从而确保了流程链所有级别的应用程序和过程的安全。
成功实现DevSecOps的五个功能:
每个阶段的强制性安全
安全前进行彻底评估
在代码级别进行与安全相关的更改
自动化所有可能的过程
通过警报和仪表板进行持续监控
DevSecOps的商业利益
通过从DevOps过渡到DevSecOps方法,组织可以转变其对开发管道的处理方式。开发,安全和运营团队之间加强协作,可以确保在早期阶段就发现漏洞并最大程度地减少安全威胁。
DevSecOps为企业提供了其他一些优势:安全团队的敏捷性和速度更快,团队之间的通信和协作得到增强,以及代码漏洞的识别。除提供质量保证测试和自动化构建的机会外,DevSecOps还使组织能够快速响应变更。
通过采用DevSecOps还可以带来一些其他好处,包括:
自动保护代码 DevSecOps通过自动执行测试来降低由于人为错误而引入安全漏洞的风险,并实现更出色的覆盖范围,一致性和可预测的过程。此外,在开发过程中,只要发现任何问题,就可以对其进行跟踪和修复。
持续的安全支持通过使用自动化工具,组织可以创建一个用于测试和报告的闭环流程,从而确保立即解决所有安全问题。
利用安全资源 DevOps可以自动执行大多数需要较少动手时间的标准安全过程和任务,例如事件监视,帐户管理,代码安全性和漏洞评估。这使安全专业人员可以将注意力集中在威胁补救和消除战略风险上。
关于我们
泽阳,DevOps领域实践者。专注于企业级DevOps运维开发技术实践分享,主要以新Linux运维技术、DevOps技术课程为主。丰富的一线实战经验,课程追求实用性获得多数学员认可。课程内容均来源于企业应用,在这里既学习技术又能获取热门技能,欢迎您的到来!(微信ID: devopsvip)
DevOps流水线实践课程
????戳阅读原文,进入课堂