DevOps 如何帮助实现安全部署

DevOps 是一种强调团队之间沟通和协作的软件开发方法。最显著的特点是将以前在工程或测试等不同领域工作过的人和流程聚集在一起，使得在一起做项目的时候可以互相协作和学习。

DevSecOps 可帮助组织在整个开发过程中监控和发现安全风险，而不是在发布后的保护措施上花费大量资金和精力。通过这种方式能够保护产品，而不会让开发人员承担过多的责任。

PART 01

DevSecOps 的目标

DevSecOps 的目标是在不影响团队生产力的情况下提供安全最佳实践。

安全开发是顺利部署过程的关键。当产品中存在安全方面的隐患，但却没有得到很好的解决，这无疑为以后增加了安全风险和更繁琐的解决方式。DevSecOps 通过提醒每个人良好的安全习惯对开发人员和运维人员来说都十分必要。

为了使安全更加有效和可靠，应该从一开始就将安全其纳入开发当中。这意味着，与其等到问题或危机出现时才实施保护措施，如防火墙、加密密钥等，不如在开发期间就预先处理这些安全问题，以便在后期能更好的运行。

它有助于确保在过程中尽可能早地发现安全问题，从而及时得到解决。当安全问题在仍项目刚结束时得到解决，就比在后期返回重新修复容易的多。

PART 02

DevSecOps 的优势

对于任何想要在这个数字时代生存下去的公司来说，安全都应该是重中之重。从降低风险到减轻法律责任，在软件开发生命周期的早期识别缺陷，可以在出现问题时更轻松地进行安全管理。如果将重点转移到流程的早期，那么会比在后期解决付出的代价更低。

DevSecOps 的目标是为开发人员和运维人员提供关于他们正在进行的工作更快的反馈，以便他们能够立即得到通知并进行调整和修复。

PART 03

实现 DevSevOps

在实施 DevSecOps 时，没有一个统一的标准和规范，因为每个组织的需求都是独一无二的。但有一些常见的做法。

① 获得管理层的支持

要从根本上改变组织思考、构建和部署软件的方式，需要的不仅仅是点对点协议。对于这种革命性的思维方式转变，管理层的支持是必要的。

DevSecOps 过程可以帮助减少在生产中出现被利用的软件漏洞。对于那些在风险和收益之间做决定的人来说，重要的是要看到这将如何使公司受益。

② 开发人员责任

DevSecOps 流程重视安全性并使其成为开发过程的一部分，而不是事后才考虑的事情。整个团队可以协同工作来编写更安全的代码和配置，这些代码和配置能够抵御威胁，同时在出现错误时也可以很容易地恢复。

这也不再只是安全专业人员的工作。它需要每个人都参与保护自己的工作部分的安全性，而不是期望别人来做。

PART 04

安全和 DevSecOps 培训

通过培训，让每个人都了解 DevSecOps 方法，他们不仅会理解它为什么重要，而且还会看到如何正确实现这种新的工作模式。

PART 05

使用适当的工具和流程

并非只有一种正确的方法来实现 DevSecOps ，每个组织都有自己独特的构建软件的方法，当在不同文化和工作场所的不同组织中实现这些概念时，需要考虑这些方法。通常情况下，静态应用安全测试工具，动态应用安全测试工具，软件成分分析及交互式安全测试工具等自动化工具是常见的在 DevSecOps 中使用的工具。其中还包括一些自动化构建工具和缺陷管理工具等。

通过向开发管道引入新的安全组件，DevSecOps 正在用 DevOps 最佳实践扩展我们的基本开发和运营组件。DevSecOps 在软件开发中确保了安全风险在所有阶段都得到监控，而不是只在发布之后才修复漏洞和 bug，在漏洞被利用后再修复就为时已晚。

作者：中科天齐软件源代码安全检测中心

文章来源：https://devops.com/how-devops-helps-with-secure-deployments/

文章转自：https://jishuin.proginn.com/p/763bfbd7faa7

——————END——————

想和更多DevOps从业者一起交流学习么？

添加【开源中国源创君】微信，备注“加群”，稍后会拉你进群~