286
我們正走向萬物互聯(lián)的時代，產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型是當下及未來的必經(jīng)之路，這一切都離不開軟件的驅(qū)動。有數(shù)字化，有軟件，那信息安全問題也隨之而來。企業(yè)在看到數(shù)字化轉(zhuǎn)型帶來紅利的同時，安全風(fēng)險不能忽視?？梢哉f軟件安全在很大程度上影響數(shù)字化轉(zhuǎn)型的速度和質(zhì)量，為產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型提供有力支撐。
由于新技術(shù)不斷涌現(xiàn)及其應(yīng)用日趨成熟，軟件開發(fā)模式發(fā)生改變，DevOps 快速興起，并緊隨安全“左移”被廣泛認可，DevSecOps 已經(jīng)成為很多企業(yè)數(shù)字化轉(zhuǎn)型過程中應(yīng)用安全的基礎(chǔ)保障。這不僅有利于企業(yè)更快速、更安全地將產(chǎn)品上市，也加速了社會數(shù)字經(jīng)濟的發(fā)展。
新思科技一直致力于幫助企業(yè)更快速地構(gòu)建安全、優(yōu)質(zhì)的軟件，在推動DevSecOps落地方面有豐富經(jīng)驗。新思科技強調(diào)引入DevSecOps可以從源頭及時治理安全問題，走出“安全孤島”。但是隨著網(wǎng)絡(luò)環(huán)境與黑客攻擊方式越來越復(fù)雜、企業(yè)文化鴻溝以及高效工具缺失等問題，落地DevSecOps對于現(xiàn)代IT企業(yè)來說是一件很棘手的工作。
新思科技軟件質(zhì)量與安全部門高級安全架構(gòu)師楊國梁表示：“DevSecOps不止是一套工具，而是融合開發(fā)、安全及運營理念以創(chuàng)建解決方案的系統(tǒng)方法。這需要把人員、流程、技術(shù)、工具結(jié)合起來，由內(nèi)到外強化應(yīng)用，使其能夠靈活防御各種潛在威脅。新思科技通過實際經(jīng)驗總結(jié)出一些建議，助力企業(yè)更高效地落地DevSecOps，進而推動產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型，更快地邁上高質(zhì)量發(fā)展之路?！?/p>
培養(yǎng) DevSecOps 文化和思維，進行安全培訓(xùn)
DevSecOps的核心是文化和思維方式。以前，安全防護只是特定團隊的責(zé)任，在開發(fā)的最后階段才會加入；但是這種做法現(xiàn)在已經(jīng)行不通了。DevSecOps要求通過專業(yè)培訓(xùn)在企業(yè)內(nèi)部全面建立起安全意識與安全保障機制。有些企業(yè)會有一種誤區(qū)，覺得開發(fā)人員可以滿足整個軟件開發(fā)生命周期(SDLC)中的任何安全需求，或者開發(fā)人員可以自學(xué)這些安全知識。
楊國梁介紹道：“自學(xué)可能適用于少數(shù)開發(fā)人員，但是需要多長時間以及評估指標是什么很難界定，尤其是DevSecOps還沒有在真正意義上普及起來。企業(yè)更需要安全專家提供培訓(xùn)，以幫助他們與時俱進。新思科技可以提供安全發(fā)展計劃和培訓(xùn)、CI/CD 戰(zhàn)略與規(guī)劃及云安全評估等，推動企業(yè)循序漸進地部署DevSecOps。”
企業(yè)可以將DevSecOps文化融入日常職能，平衡安全、速度和規(guī)模。如果內(nèi)部某一團隊有效實施了DevSecOps，并從中獲益，那他們可以成為其他團隊的范例，復(fù)制成功。
整合自動化工具，內(nèi)置安全
云計算開源產(chǎn)業(yè)聯(lián)盟近期發(fā)布的《中國DevOps現(xiàn)狀調(diào)查報告（2021年）》顯示，五成以上的受訪企業(yè)嘗試實踐DevSecOps。而且，源代碼靜態(tài)安全檢測、容器鏡像安全掃描以及Web應(yīng)用防火墻成為企業(yè)應(yīng)用最廣泛的DevSecOps實踐。
楊國梁說：“報告指出Coverity靜態(tài)應(yīng)用安全測試(SAST)是企業(yè)應(yīng)用最為廣泛的四種安全工具之一，并且占比最高，達32.74%。這證明了新思科技的靜態(tài)分析解決方案已經(jīng)受到中國市場的充分認可?！?/p>
憑借Coverity，企業(yè)可以實現(xiàn)大規(guī)模靜態(tài)分析自動化，幫助開發(fā)和安全團隊在SDLC早期解決安全和質(zhì)量缺陷，跟蹤和管理整個應(yīng)用組合的風(fēng)險，并確保符合安全和編碼標準。此外，新思科技還提供Black Duck軟件組成分析(SCA)、Seeker交互式應(yīng)用安全測試(IAST) 以及API 安全測試等工具，在軟件中內(nèi)置安全，并貫穿整個SDLC。
將安全漏洞視為軟件缺陷，適時評估安全計劃成果
安全漏洞的報告方式通常不同于質(zhì)量和功能缺陷。通常，企業(yè)在兩個不同的位置維護兩種類型的結(jié)果——安全和質(zhì)量。這降低了每個團隊和相關(guān)人員在查看項目的整體安全狀況時的可見性。在同一處維護安全和質(zhì)量有助于團隊以相同的方式和優(yōu)先級處理這兩種類型的問題。
在企業(yè)部署工具發(fā)現(xiàn)質(zhì)量和安全問題并進行修復(fù)后，要如何評估安全計劃的整體成果，以持續(xù)推進DevSecOps呢？企業(yè)需要一把標尺。
新思科技軟件安全構(gòu)建成熟度模型(BSIMM) 是一種基準工具，通過數(shù)據(jù)驅(qū)動的客觀方式展示當前軟件安全性活動的概況。與規(guī)定性模型不同，描述性模型BSIMM實際相當于一個行業(yè)報告，企業(yè)可以參照其中的數(shù)據(jù)來定位自己的坐標，考核軟件安全計劃大致在一個什么水準，是否需要做改進和進一步提升等等。企業(yè)可以憑借這把標尺決定哪些額外安全活動對支持其整體DevSecOps戰(zhàn)略有意義，并且有針對性地制定下一步計劃。
楊國梁總結(jié)道：“軟件安全是數(shù)字化轉(zhuǎn)型的‘剛需’，DevSecOps可將安全防護融入整個SDLC，充分發(fā)會DevOps的敏捷性和響應(yīng)力。當然，落地DevSecOps不會一蹴而就，需要一套整體的規(guī)劃，覆蓋人員、技術(shù)、流程、評估等。因此，軟件開發(fā)需要聯(lián)動安全開發(fā)與業(yè)務(wù)、運維等，將安全開發(fā)作為企業(yè)文化延伸到各個部門。新思科技一直強調(diào)安全測試應(yīng)盡可能在 SDLC 的最左側(cè)（即最早期）開始，即安全‘左移’。防患未然，才能為DevSecOps順利落地保駕護航?！?/p>
?
