在“云”中创建新的网络安全范式——安全即代码（SaC）

当越来越多的数据迁移到云端，企业使用的网络安全策略也要迭代更新。目前，许多企业开始使用一种相对新颖的网络安全策略——安全即代码（SaC）。

安全即代码的兴起

安全即代码（Security as Code，SaC）于2020年作为资源工具集引入，旨在帮助保护软件开发生命周期。由于SaC可以产生具有持续可验证控件的可分析安全配置，因此慢慢被采纳，并成为现代安全态势的一部分。

SaC将安全性作为DevOps的关键部分进行集成，在开发过程中，通过确定位置建立有效的安全控制。它要求开发人员在代码中，指定基础架构平台和配置，而不是在代码完成后对其进行处理，从而确保实施安全检查、测试和拦截器的高效，而不延迟和对代码与基础设施平台进行不必要的更改。

SaC的优势在于提供了满足企业独特安全要求所需的配置。虽然很多安全漏洞的发生是由于意外和未知风险，但也有因为未部署特定安全控制措施而发生的。

SaC作为代码策略与基础设施相关联，主要源于它从手动流程转向更高效地保护软件定义的网络和系统（尤其是虚拟机、容器及其相关软件）。

如何实施SaC

SaC并不难实现。执行操作的一种基本方法是在CI/CD管道和代码中设置安全规则、工具、策略、测试、扫描和代理。其中，在正式执行前可以先提交一段代码进行自动测试，以便开发团队进行评估和纠正。

SaC的主要目标是在开发团队编写代码时持续执行安全测试，以确保在准备代码时（而不是在完成后）修复问题并优化性能，为企业节省时间、精力和资源。

SaC是迈向DevOps中集成安全性的一大步，它有涉及到与DevSecOps框架一致的组件，主要是：

01访问控制和策略管理

SaC实施的关键第一步是定义访问控制和策略管理，来为安全需求提供明确参考。通过这一点，当授权转移到外部库（符合既定的安全策略）时，开发团队可以将重点放在关键功能上。

通过建立安全策略的中央存储库，开发人员可以监控和验证授权的通用平台，这不仅加快了开发进程，同时又不损害安全性。

02漏洞扫描

这是关于验证应用程序中每个组件安全性及其在整个生命周期中的部署。其中，用于确定漏洞的威胁情报不需要经由企业开发，可以基于OWASP漏洞和其他威胁情报源或网络安全框架。

而且，漏洞扫描必须是一个自动且持续的过程，才能保持有效。例如，跨站点脚本和SQL注入的检测可能很复杂、重复且乏味。

03安全测试

SaC需要有一个安全测试组件，以检测可能导致应用程序完整性、可用性以及其包含或处理数据隐私或机密性的问题。安全测试不是漏洞测试的冗余，它不仅检测和堵塞可能被威胁参与者利用的安全漏洞，还解决了配置错误、数据不安全、公司机密暴露的可能性、应用程序错误和不可接受的停机率。

SaC的优势

SaC并不是为了取代企业用于保护 IT 资产的网络安全系统，而是侧重于应用程序安全，在保护应用程序方面提供更深入的信息。它能够快速、全面地适应安全需求变化，开发人员通过及时的自动安全修复，来获得来来降低与应用程序修补和网络攻击损害相关的成本。

此外，SaC还制定了一个框架，以促进安全、开发和运营团队之间的协作。它不仅缩短发布周期、降低成本和无缝操作，而且让企业和客户受益。更快的产品发布、安全补丁、其他应用更新和更好的整体安全性，可创造更好的客户体验。

总结

SaC不能替代现有的安全态势管理系统，它更重视在应用程序开发过程中的安全必要性，为应用程序和整体企业IT安全性创造更多优势。

更多推荐

如何通过零信任架构实现 API 安全？

网络安全 | ChatGPT爆火背后的安全威胁可能超出想象

应急响应 | 完善企业网络安全应急响应计划的工具推荐

了解更多，持续关注安胜网络哦~