DevSecOps 是什么？

您可能听说过 DevOps，但是 DevSecOps 呢？DevSecOps 是指将软件安全性作为整个软件交付流程的核心部分的理念。

为了理解这一点的重要性，有必要考虑一下软件安全方案过去是如何工作的。传统上，软件安全运营是与生成软件所需的其他流程分开执行的。开发人员编写代码，而 IT 团队部署代码时没有考虑太多安全问题。只有在编写了软件并将其放置在生产环境中之后，安全工程师才会检查代码或托管它的环境中的潜在漏洞。

这种软件安全方法效率很低，尤其是在云环境中，因为这种环境下的部署速度加快。如果检测到安全问题，通常需要撤回已经编写和部署的代码。这也意味着问题往往在软件投入生产后才被发现，从而使企业面临安全威胁。

DevSecOps 即“向左移动”安全性，通过将安全性集成到软件交付流程的所有阶段来解决这些问题。这确保了开发人员在编写代码时考虑到安全性，即软件在部署之前要进行安全问题测试，并且 IT 团队制定了计划，用于在部署之后出现安全问题时快速解决这些问题。

基于 DevOps 构建 DevSecOps
DevSecOps 不是 DevOps 的备选方案。它只是扩展了 DevOps 背后的核心概念，即开发人员和 IT 团队应该紧密合作，而不是各自为政，单独行事，由此加入安全方案。有效的 DevSecOps 意味着采用 DevOps 并将安全方案集成到整个 CI/CD 开发管道。

DevSecOps 是一种文化，而非工具
许多工具和流程可以帮助企业实现 DevSecOps，但最终 DevSecOps 并不是一个特定的工具或流程。它是一种文化。

DevSecOps 可以归结为向企业灌输正确的文化价值观。开发人员、IT 团队、安全专家和其他所有参与软件交付的人员都必须接受这样的想法，即软件安全应该是一切的重中之重。在做出任何与应用相关的决定之前，您的整个团队都应该考虑安全问题。如果他们做到这一点，就实现了 DevSecOps。

实现 DevSecOps
在实现 DevSecOps 的可能途径中，企业的最佳途径或理想组合将取决于您的需求。一般来说，这些策略将帮助您在企业中实施 DevSecOps 文化：

• 培训：确保软件交付过程中的所有利益相关者了解现代安全威胁以及解决这些威胁的重要性。

• 沟通：在所有团队成员之间建立有效的沟通渠道，以便他们能够快速共享有关安全问题的信息。

• 安全剧本：制定“剧本”，规定不同的团队成员应如何应对给定类型的安全事件。

• 审核与合规性：将安全审核与合规性检查作为软件交付流程的例程部分。

• 采用正确的工具：寻找基于 API 的云安全工具，这些工具将帮助您自动执行云中的安全及合规性策略。

让开发人员关注安全
当试图实现 DevSecOps 时，大多数企业都会在开发团队这里遭遇最大阻力。问题是：如何说服开发人员关心安全性，将其添加到他们的日常工作中并学习一系列技能？

在这里，合适的工具可以作为 DevSecOps 转型的催化剂。通过实现利用云提供商 API 自动化策略的工具，开发人员可以边工作边学习，并避免犯下致命的错误。您可利用云原生工具来将 AWS 中的策略自动化。但是，如果您使用多云部署，受到严格的合规性约束，或者拥有一个扩展到多个帐户的 AWS 环境，那么您可能需要一个第三方工具来有效地执行此操作并在一个控制台上管理所有内容。若需有关选择正确工具的技巧，请查看本博文。

要了解 DHI Group 如何成功创建 DevSecOps 文化的第一手资料，请查看以下博文：从“DevOps 与 SecOps”到 DevSecOps。