数据结构
网络
关系数据库管理系统
操作系统
Java
MS Excel
iOS
HTML
CSS
Android
Python
C编程
C++
C#
MongoDB
MySQL
Javascript
PHP
物理学
化学
生物学
数学
英语
经济学
心理学
社会学
服装设计
法律研究什么是DevSecOps以及为什么它很重要？
DevSecOps是一个新词，近年来随着网络犯罪和网络安全风险的增加，它在软件行业中出现。对于开发人员和企业来说，实施DevSecOps至关重要，以便跟上现代应用程序和软件开发的需求。
1. 什么是DevSecOps？
“DevSecOps”是开发、安全和运营的缩写。它是在软件或应用程序开发过程中从一开始就将安全纳入其中。
以前，安全是在应用程序生命周期的后期，也就是开发阶段之后才添加的。传统的开发方法受到云平台、微服务和容器开发的阻碍。随着开发人员采用敏捷和DevOps实践来进行现代应用程序的开发和部署，安全无法跟上快速发布的步伐。
DevSecOps通过解决持续集成（CI）和持续交付（CD）管道中出现的安全问题，将安全与DevOps集成在一起。
2. DevOps与DevSecOps？
两者之间的主要区别在于，DevSecOps旨在将安全集成到DevOps生命周期中，而过去DevOps在信息技术生命周期中与安全是分开的。这种方法在网络和软件开发周期较长时效果很好，但在当今技术速度越来越快、周期越来越短的情况下就不适用了。
随着这些变化，我们的安全策略必须做出调整，以跟上DevOps不断加速的速度、敏捷性和可扩展性。引入DevSecOps。通过将安全纳入DevOps流程，我们可以在生命周期的每个阶段保持其现状。此过程导致了一种“边做边清理”的安全实施方法。
3. DevSecOps最佳实践
以下是DevSecOps的最佳实践
融入“左移”思维。
DevSecOps方法经常使用这个短语。将DevSecOps生命周期视为一条直线，甚至一个顺时针旋转的圆圈。类似地，“左移”这个表达鼓励我们将安全从生命周期的末端移得更远。这样，安全在项目一开始就被实施，并在整个过程中得到维护。
增加团队范围的安全教育
通过教育所有团队成员了解安全和合规性的基础知识，将减少知识差距并建立更统一的安全流程。
改善沟通和透明度
当团队和个人有效且公开地沟通时，延迟和未完成的项目就会减少。此外，透明度通过理解促进更流畅的跨角色效率。当团队成员了解自己的职责与其他人的职责之间的关系时，效率和生产力会大幅提高。
支持团队驱动的工作流程
鼓励您的团队尽可能多地创建他们首选的工作流程和工具。通过给予他们这种灵活性，他们可以以最佳效率工作。
利用报告和分析
与自动化和其他技术结合使用时，这将成为DevSecOps生命周期的强大引擎。
4. DevSecOps的实施？
根据项目的规模和复杂性，实施DevSecOps所需的流程可能略有不同，但以下是你将经历的主要阶段。
计划
务必记住，早期开发应包含安全目标。必须制定一个清晰的计划，重点关注威胁防御模型、验收测试标准、应用程序接口以及性能和安全。
开发
安全团队必须准备好修改其流程以适应开发工作流程，并且开发团队应评估当前的安全流程并推荐必要的调整。在远程产品开发中，这一点非常重要。
构建和测试
自动化构建工具通过支持测试驱动开发并使用统计代码分析来确保软件设计符合编码和安全标准，从而支持DevSecOps实施流程。
部署
基础设施即代码（IaC）技术通常用于配置和部署，自动化流程以确保一致性，同时加快软件交付速度。这些技术提高了生产力，同时也帮助减少了人为错误带来的问题。
运营和监控
运营团队必须进行例行更新和监控，密切关注以查找零日漏洞（在公开披露但可能在发布必要的补丁之前就被攻击者发现的软件缺陷）。DevSecOps的持续安全有助于避免此类问题。
扩展
由于云计算和虚拟化技术，企业不再需要维护大型数据中心。在发生特定威胁时，他们可以轻松地更换它，或根据需要扩展其 IT 基础设施。企业通信的安全尤其与此相关。
适应
DevSecOps需要持续改进，就像任何其他业务流程一样，以确保其按预期运行。这包括评估流程并进行调整以适应不断变化的趋势并提高开发效率。
5. DevSecOps的优势？
提高组织现有安全系统的投资回报率（ROI）
由于自动化，错误或管理故障情况的机会减少，这两个因素通常会导致网络攻击和停机时间。
自动化消除了网络安全架构师设置安全控制台的需要，使安全团队能够专注于其他紧急挑战，同时提高其敏捷性和速度。
改进团队协作和沟通
在整个开发生命周期中处理意外变化的适应性更强
自动化构建和质量保证测试的潜力更大
6. DevSecOps技能和工具？
对于关注安全的团队，DevSecOps社区提供了各种实用的工具。以下工具涵盖了许多与安全相关的任务
Claire − 检查 Docker 容器是否存在缺陷
HackerOne − 允许你以有效和及时的方式对漏洞报告进行优先级排序并做出响应。
Rapid7 Nexpose − 管理漏洞检测的完整生命周期并扫描系统是否存在缺陷。
Snyk − 查找开源库中是否存在任何已知问题。
Stethoscope − 帮助进行以用户为中心的安全性管理；开源
Suricata − 检测网络威胁的开源软件
结论
总之，集成DevSecOps，或从软件和数据开发之初就将安全构建其中，是企业从DevOps理念中获益的最佳方法。DevSecOps的目标和意图是建立“每个人都对安全负责”的理念。
290 次浏览
