DevSecOps，將安全植入開發(fā)運(yùn)維骨髓
時(shí)間：2022-04-01 10:30:01 | 來源：行業(yè)動(dòng)態(tài)
時(shí)間：2022-04-01 10:30:01 來源：行業(yè)動(dòng)態(tài)
據(jù)國家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布的《2019中國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全報(bào)告》稱，國家信息安全漏洞共享平臺(tái)（CNVD）收錄的安全漏洞數(shù)量創(chuàng)下了歷史新高，同比上年增長(zhǎng)14%，其中應(yīng)用程序漏洞（56.2%）、Web應(yīng)用漏洞（23.3%）和操作系統(tǒng)漏洞（10.3%）占比前三。
圖1: 2019年CNVD收錄的安全漏洞占比按影響對(duì)象類型分類統(tǒng)計(jì)（來源：CNCERT/CC）
數(shù)據(jù)背后，無數(shù)教訓(xùn)已讓眾多開發(fā)團(tuán)隊(duì)和企業(yè)意識(shí)到了安全的重要性，以及安全問題所引發(fā)的災(zāi)難性后果。一種全新的開發(fā)理念DevSecOps（開發(fā)安全運(yùn)維），就這樣應(yīng)運(yùn)而生。開發(fā)團(tuán)隊(duì)需要在軟件開發(fā)的整個(gè)生命周期內(nèi)將Sec，即安全（Security）融入DevOps實(shí)踐。要在DevOps里嚴(yán)格地執(zhí)行安全理念和活動(dòng)，除了展開定期的安全培訓(xùn)以外，還需要安全團(tuán)隊(duì)進(jìn)行攻防演練等。
要將DevSecOps這種新的組合工作模式付諸實(shí)踐，首先需要所有的團(tuán)隊(duì)及成員都具備嚴(yán)謹(jǐn)?shù)陌踩季S。然而DevSecOps在企業(yè)內(nèi)部的落地往往會(huì)遇到阻力，一是高層領(lǐng)導(dǎo)不給予足夠的重視和支持，業(yè)務(wù)負(fù)責(zé)人也不鼓勵(lì)加強(qiáng)安全措施，二是DevOps實(shí)踐的初衷是加速開發(fā)流程，而加入安全監(jiān)督環(huán)節(jié)則被認(rèn)為與DevOps所追求的高速開發(fā)背道而馳。
如果將軟件產(chǎn)品開發(fā)生命周期比作一段道路，起點(diǎn)是需求分析，終點(diǎn)是產(chǎn)品交付。人們步行抵達(dá)終點(diǎn)，猶如采用傳統(tǒng)的軟件開發(fā)模式。而采用DevOps的敏捷模式，利用輔助工具產(chǎn)品及平臺(tái)，就好比坐上了一輛車，可以開車快速地抵達(dá)終點(diǎn)。但若車開太快且車速不可控，則很容易發(fā)生安全事故。我們需要的應(yīng)當(dāng)是具備精良速度控制機(jī)制和剎車系統(tǒng)的，安全可靠的載具。
在線咨詢