我們正走向萬物互聯(lián)的時代,產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型是當(dāng)下及未來的必經(jīng)之路,這一切都離不開軟件的驅(qū)動。有數(shù)字化,有軟件,那信息安全問題也隨之而來。企業(yè)在看到數(shù)字化轉(zhuǎn)型帶來紅利的同時,安全風(fēng)險不能忽視??梢哉f軟件安全在很大程度上影響數(shù)字化轉(zhuǎn)型的速度和質(zhì)量,為產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型提供有力支撐。
由于新技術(shù)不斷涌現(xiàn)及其應(yīng)用日趨成熟,軟件開發(fā)模式發(fā)生改變,DevOps 快速興起,并緊隨安全“左移”被廣泛認(rèn)可,DevSecOps 已經(jīng)成為很多企業(yè)數(shù)字化轉(zhuǎn)型過程中應(yīng)用安全的基礎(chǔ)保障。這不僅有利于企業(yè)更快速、更安全地將產(chǎn)品上市,也加速了社會數(shù)字經(jīng)濟(jì)的發(fā)展。
新思科技一直致力于幫助企業(yè)更快速地構(gòu)建安全、優(yōu)質(zhì)的軟件,在推動DevSecOps落地方面有豐富經(jīng)驗。新思科技強調(diào)引入DevSecOps可以從源頭及時治理安全問題,走出“安全孤島”。但是隨著網(wǎng)絡(luò)環(huán)境與黑客攻擊方式越來越復(fù)雜、企業(yè)文化鴻溝以及高效工具缺失等問題,落地DevSecOps對于現(xiàn)代IT企業(yè)來說是一件很棘手的工作。
新思科技軟件質(zhì)量與安全部門高級安全架構(gòu)師楊國梁表示:“DevSecOps不止是一套工具,而是融合開發(fā)、安全及運營理念以創(chuàng)建解決方案的系統(tǒng)方法。這需要把人員、流程、技術(shù)、工具結(jié)合起來,由內(nèi)到外強化應(yīng)用,使其能夠靈活防御各種潛在威脅。新思科技通過實際經(jīng)驗總結(jié)出一些建議,助力企業(yè)更高效地落地DevSecOps,進(jìn)而推動產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型,更快地邁上高質(zhì)量發(fā)展之路?!?/p>
培養(yǎng) DevSecOps 文化和思維,進(jìn)行安全培訓(xùn)
DevSecOps的核心是文化和思維方式。以前,安全防護(hù)只是特定團(tuán)隊的責(zé)任,在開發(fā)的最后階段才會加入;但是這種做法現(xiàn)在已經(jīng)行不通了。DevSecOps要求通過專業(yè)培訓(xùn)在企業(yè)內(nèi)部全面建立起安全意識與安全保障機(jī)制。有些企業(yè)會有一種誤區(qū),覺得開發(fā)人員可以滿足整個軟件開發(fā)生命周期(SDLC)中的任何安全需求,或者開發(fā)人員可以自學(xué)這些安全知識。
楊國梁介紹道:“自學(xué)可能適用于少數(shù)開發(fā)人員,但是需要多長時間以及評估指標(biāo)是什么很難界定,尤其是DevSecOps還沒有在真正意義上普及起來。企業(yè)更需要安全專家提供培訓(xùn),以幫助他們與時俱進(jìn)。新思科技可以提供安全發(fā)展計劃和培訓(xùn)、CI/CD 戰(zhàn)略與規(guī)劃及云安全評估等,推動企業(yè)循序漸進(jìn)地部署DevSecOps?!?/p>
企業(yè)可以將DevSecOps文化融入日常職能,平衡安全、速度和規(guī)模。如果內(nèi)部某一團(tuán)隊有效實施了DevSecOps,并從中獲益,那他們可以成為其他團(tuán)隊的范例,復(fù)制成功。
整合自動化工具,內(nèi)置安全
云計算開源產(chǎn)業(yè)聯(lián)盟近期發(fā)布的《中國DevOps現(xiàn)狀調(diào)查報告(2021年)》顯示,五成以上的受訪企業(yè)嘗試實踐DevSecOps。而且,源代碼靜態(tài)安全檢測、容器鏡像安全掃描以及Web應(yīng)用防火墻成為企業(yè)應(yīng)用最廣泛的DevSecOps實踐。
楊國梁說:“報告指出Coverity靜態(tài)應(yīng)用安全測試(SAST)是企業(yè)應(yīng)用最為廣泛的四種安全工具之一,并且占比最高,達(dá)32.74%。這證明了新思科技的靜態(tài)分析解決方案已經(jīng)受到中國市場的充分認(rèn)可?!?/p>
憑借Coverity,企業(yè)可以實現(xiàn)大規(guī)模靜態(tài)分析自動化,幫助開發(fā)和安全團(tuán)隊在SDLC早期解決安全和質(zhì)量缺陷,跟蹤和管理整個應(yīng)用組合的風(fēng)險,并確保符合安全和編碼標(biāo)準(zhǔn)。此外,新思科技還提供Black Duck軟件組成分析(SCA)、Seeker交互式應(yīng)用安全測試(IAST) 以及API 安全測試等工具,在軟件中內(nèi)置安全,并貫穿整個SDLC。
將安全漏洞視為軟件缺陷,適時評估安全計劃成果
安全漏洞的報告方式通常不同于質(zhì)量和功能缺陷。通常,企業(yè)在兩個不同的位置維護(hù)兩種類型的結(jié)果——安全和質(zhì)量。這降低了每個團(tuán)隊和相關(guān)人員在查看項目的整體安全狀況時的可見性。在同一處維護(hù)安全和質(zhì)量有助于團(tuán)隊以相同的方式和優(yōu)先級處理這兩種類型的問題。
在企業(yè)部署工具發(fā)現(xiàn)質(zhì)量和安全問題并進(jìn)行修復(fù)后,要如何評估安全計劃的整體成果,以持續(xù)推進(jìn)DevSecOps呢?企業(yè)需要一把標(biāo)尺。
新思科技軟件安全構(gòu)建成熟度模型(BSIMM) 是一種基準(zhǔn)工具,通過數(shù)據(jù)驅(qū)動的客觀方式展示當(dāng)前軟件安全性活動的概況。與規(guī)定性模型不同,描述性模型BSIMM實際相當(dāng)于一個行業(yè)報告,企業(yè)可以參照其中的數(shù)據(jù)來定位自己的坐標(biāo),考核軟件安全計劃大致在一個什么水準(zhǔn),是否需要做改進(jìn)和進(jìn)一步提升等等。企業(yè)可以憑借這把標(biāo)尺決定哪些額外安全活動對支持其整體DevSecOps戰(zhàn)略有意義,并且有針對性地制定下一步計劃。
楊國梁總結(jié)道:“軟件安全是數(shù)字化轉(zhuǎn)型的‘剛需’,DevSecOps可將安全防護(hù)融入整個SDLC,充分發(fā)會DevOps的敏捷性和響應(yīng)力。當(dāng)然,落地DevSecOps不會一蹴而就,需要一套整體的規(guī)劃,覆蓋人員、技術(shù)、流程、評估等。因此,軟件開發(fā)需要聯(lián)動安全開發(fā)與業(yè)務(wù)、運維等,將安全開發(fā)作為企業(yè)文化延伸到各個部門。新思科技一直強調(diào)安全測試應(yīng)盡可能在 SDLC 的最左側(cè)(即最早期)開始,即安全‘左移’。防患未然,才能為DevSecOps順利落地保駕護(hù)航?!?/p>
?