如何破解DevSecOps實(shí)施三大挑戰(zhàn)？

科技云報(bào)道原創(chuàng)。

隨著DevOps的普及，DevSecOps也開始被一些企業(yè)關(guān)注。根據(jù)GitLab發(fā)布的2021年全球DevSecOps年度調(diào)查報(bào)告，36%的受訪者團(tuán)隊(duì)已經(jīng)使用了DevOps或者DevSecOps開發(fā)軟件，尤其是那些遷往云平臺(tái)的新興應(yīng)用，DevSecOps的應(yīng)用得到更多普及機(jī)會(huì)。

Synopsys發(fā)布的《2020年DevSecOps實(shí)踐和開源管理報(bào)告》也表明，DevSecOps在全球范圍內(nèi)迅速增長，總計(jì)63%的受訪者表示他們正在將一些DevSecOps活動(dòng)融入其軟件開發(fā)計(jì)劃中。

盡管DevSecOps已經(jīng)成為DevOps生態(tài)當(dāng)中的一波熱潮，但當(dāng)企業(yè)實(shí)際推行DevSecOps時(shí)，情況往往變得頗為棘手。DevSecOps并不能“一鍵啟動(dòng)”，它的落地需要一系列工具與實(shí)踐的協(xié)同支持。

DevSecOps與DevOps的區(qū)別

2012年，Gartner首次提出DevSecOps理念。四年后，它發(fā)布了一份名為《DevSecOps: How toSeamlessly integrate Security into DevOps》的報(bào)告。

這份報(bào)告的核心理念是：安全是全體IT團(tuán)隊(duì)所有成員的責(zé)任，要貫穿到業(yè)務(wù)生命周期的每一個(gè)環(huán)節(jié)。對(duì)應(yīng)DevOps快速交付和靈活響應(yīng)變化，DevSecOps的價(jià)值是在不犧牲安全性的前提下，快速落地和實(shí)施安全。

除了強(qiáng)調(diào)每個(gè)人都對(duì)安全負(fù)責(zé)，DevSecOps還強(qiáng)調(diào)安全前置，以及要柔和的、嵌入到企業(yè)現(xiàn)有的開發(fā)流程體系。

從字面上看，DevSecOps與DevOps的差別是前者比后者多了“Sec（Security）”上。實(shí)際上，這兩者之間的差別也正是體現(xiàn)在“安全”上。簡單地說，把Security納入到DevOps的體系之中，人人都是安全員，這就是DevSecOps。

眾所周知，DevOps顛覆了傳統(tǒng)的瀑布流模式，它打通了開發(fā)和運(yùn)維之間聯(lián)系，讓兩者順利進(jìn)行溝通、協(xié)作與整合，再通過自動(dòng)化和持續(xù)迭代、持續(xù)集成的敏捷，實(shí)現(xiàn)了軟件的快速迭代和交付。

但這個(gè)流程其實(shí)和安全關(guān)系不大，軟件的安全性評(píng)估還是按照傳統(tǒng)的流程，處于軟件交付的最后階段。這就導(dǎo)致軟件安全檢查和評(píng)估要么被忽略，或者軟件被迫延期交付，使得DevOps的效果大打折扣。

DevSecOps的目的就是要設(shè)法改變這一現(xiàn)狀。DevSecOps通過在DevOps流程的每個(gè)階段或檢查點(diǎn)嵌入安全性檢查來消除DevOps和安全之間的障礙，從而更快、更安全地生成高質(zhì)量的代碼。

DevSecOps的優(yōu)勢在于，提高軟件安全性的同時(shí)，提高開發(fā)團(tuán)隊(duì)的開發(fā)效率，縮短交付時(shí)間，讓產(chǎn)品盡快上市。

DevSecOps落地充滿挑戰(zhàn)

DevSecOps“既要快速交付代碼，又要保障代碼安全”，這聽起來似乎是種相互矛盾的要求。正因如此，DevSecOps的落地始終伴隨著一系列挑戰(zhàn)。

阻礙大部分企業(yè)轉(zhuǎn)向DevSecOps的頭號(hào)挑戰(zhàn)，來自文化層面的抵觸情緒，畢竟人更喜歡待在自己熟悉的舒適區(qū)內(nèi)。常有人認(rèn)為安全保障會(huì)拖慢軟件開發(fā)工作速度、甚至阻礙創(chuàng)新。

同時(shí)，DevSecOps強(qiáng)調(diào)將開發(fā)人員與安全專家統(tǒng)一起來，共同建立起協(xié)作環(huán)境。但這兩大團(tuán)隊(duì)間總是存在一定程度的摩擦，甚至認(rèn)定對(duì)方總在跟自己作對(duì)。

為了滿足業(yè)務(wù)需求，開發(fā)人員希望不斷加快代碼的交付速度。但是安全團(tuán)隊(duì)的核心重點(diǎn)在于保障代碼安全，而這兩個(gè)截然不同的目標(biāo)導(dǎo)致團(tuán)隊(duì)之間難以彼此理解、協(xié)同工作。

另外，安全人員的不足也可能影響DevSecOps的落地。根據(jù)Cybersecurity Ventures發(fā)布的報(bào)告，到2021年全球網(wǎng)絡(luò)安全職位空缺將多達(dá)350萬個(gè)。

由此可以推斷，盡管安全漏洞與攻擊事件一直在不斷增加，但市場上仍然缺乏充足的網(wǎng)絡(luò)安全工程師人才。

DevSecOps落地的另一個(gè)挑戰(zhàn)，是自動(dòng)化工具還需要優(yōu)化和豐富。和DevOps一樣，DevSecOps也非常依賴自動(dòng)化的工具，需要借助工具來構(gòu)建腳本、將源代碼進(jìn)行編譯、進(jìn)行軟件漏洞掃描。

總體而言，DevSecOps落地有三個(gè)關(guān)鍵點(diǎn)：人和文化、流程、技術(shù)。

在人和文化方面，DevSecOps 強(qiáng)調(diào)的是人人參與安全，人人為安全負(fù)責(zé)，安全是大家的事。

在流程方面，要更多地考慮整合流程，建立相關(guān)安全流程，加強(qiáng)不同團(tuán)隊(duì)間的協(xié)作。同時(shí)，安全需要低入侵、柔和的嵌入開發(fā)和運(yùn)維流程。

在技術(shù)方面，通過構(gòu)建安全工具鏈，實(shí)現(xiàn)更多的自動(dòng)化安全檢測。

DevSecOps實(shí)踐有章可循

既然DevSecOps的實(shí)施是一個(gè)復(fù)雜的流程，那么是否有方法能夠?qū)evSecOps落地？

雖然還沒有任何具體的、連續(xù)的路線圖式步驟設(shè)計(jì)，但可以嘗試將DevSecOps流程拆解為幾個(gè)具體步驟。

一切以規(guī)劃為起點(diǎn)

規(guī)劃的戰(zhàn)略水平與簡潔程度將直接決定最終實(shí)施結(jié)果。因此，單靠對(duì)功能特性的描述還遠(yuǎn)遠(yuǎn)不夠，企業(yè)還需要建立起測試驗(yàn)收標(biāo)準(zhǔn)、用戶設(shè)計(jì)以及威脅模型。

開發(fā)環(huán)節(jié)

團(tuán)隊(duì)?wèi)?yīng)首先對(duì)現(xiàn)有實(shí)踐的成熟度開展評(píng)估。在此階段，可以通過多個(gè)來源收集資源以作為路線指導(dǎo)，也可以建立起代碼審查系統(tǒng)。由此支撐起的統(tǒng)一架構(gòu)，將成為DevSecOps后期成功的重要基礎(chǔ)。

構(gòu)建環(huán)節(jié)

自動(dòng)化構(gòu)建工具無疑是這一階段中絕對(duì)的主角。利用此類工具，我們可以構(gòu)建腳本、將源代碼組合為機(jī)器碼等。自動(dòng)化構(gòu)建工具不僅提供多種強(qiáng)大的功能、豐富的插件庫，還具備多種易于上手的用戶界面，其中一部分甚至能夠自動(dòng)檢測易受攻擊的庫并及時(shí)加以替換。

DevSecOps工具集擁有廣泛的覆蓋范圍，包括源代碼版本控制、構(gòu)建自動(dòng)化、測試自動(dòng)化、安全驗(yàn)證、性能測試、配置管理等等，甚至可能進(jìn)一步擴(kuò)展至優(yōu)先級(jí)劃分、問題跟蹤與團(tuán)隊(duì)協(xié)作式項(xiàng)目管理系統(tǒng)等相對(duì)細(xì)化的領(lǐng)域。

測試環(huán)節(jié)

通過穩(wěn)定可靠的測試實(shí)踐，將強(qiáng)大的自動(dòng)化測試框架全面引入管道當(dāng)中。部署工作通常通過IaC工具進(jìn)行，由其自動(dòng)執(zhí)行流程并加快軟件交付速度。

運(yùn)維環(huán)節(jié)

運(yùn)營維護(hù)無疑是運(yùn)營團(tuán)隊(duì)的一項(xiàng)常規(guī)職能?？紤]到零日漏洞可能引發(fā)的巨大威脅，運(yùn)營團(tuán)隊(duì)必須給予關(guān)注。

此外，運(yùn)營團(tuán)隊(duì)還需要重視人為錯(cuò)誤蔓延，包括使用DevSecOps通過IaC工具快速高效地保護(hù)企業(yè)自有基礎(chǔ)設(shè)施。同時(shí)，使用強(qiáng)大且持續(xù)性的監(jiān)控工具，借此保證安全系統(tǒng)能夠按預(yù)期形式運(yùn)行。

以上只是DevSecOps實(shí)施中的一些基礎(chǔ)步驟。根據(jù)項(xiàng)目的具體規(guī)模與復(fù)雜性，路線圖可能還需要涵蓋另外一些特定附加步驟。

結(jié)語

盡管DevSecOps在實(shí)施落地上充滿著挑戰(zhàn)，但DevSecOps的體系正日趨成熟，相關(guān)方法論、技術(shù)與實(shí)踐經(jīng)驗(yàn)都有了明顯的提升，配套工具鏈技術(shù)也日趨完善。隨著DevSecOps在國內(nèi)大型互聯(lián)網(wǎng)公司的落地實(shí)踐，讓大眾對(duì)DevSecOps也有了更深的理解和認(rèn)識(shí)。

從需求層面看，DevSecOps市場正逐步進(jìn)入成長期。軟件開發(fā)商、大型互聯(lián)網(wǎng)廠商、銀行和具有一定規(guī)模和技術(shù)實(shí)力、自建IT系統(tǒng)的大型集團(tuán)性企事業(yè)單位，是目前DevSecOps市場中主要的三類客戶。以軟件投入金額3%-5%的比例估算安全投入，DevSecOps市場未來還是極具成長性的。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。