DevSecOps破局,縱深一體化安全研運讓價值高效流動

【前言】

繼IT組織紛紛轉(zhuǎn)向敏捷研發(fā)與DevOps模式，如何在快速交付的同時，保障安全交付成為業(yè)內(nèi)廣泛關(guān)注的焦點。DevSecOps應(yīng)運而生。

那么，傳統(tǒng)敏捷研發(fā)模式究竟存在什么弊端？DevOps遺留了哪些問題？DevSecOps有何特點？行業(yè)的實踐情況如何？IT團隊選型時應(yīng)該如何考慮？

本文將對以上問題進行解析，并以部分實例加以說明。

一、傳統(tǒng)敏捷研發(fā)的弊端

隨著云計算、微服務(wù)和容器技術(shù)的快速普及，許多企業(yè)及IT團隊的交付模式迎來了巨大的變遷，由傳統(tǒng)的瀑布式開發(fā)和一次性全量交付逐漸過渡為敏捷研發(fā)，來跟上業(yè)務(wù)及商業(yè)化需求。

然而，傳統(tǒng)的敏捷研發(fā)模式存在諸多問題：安全責(zé)任過度依賴于有限的安全資源、安全團隊在上線前介入、安全活動與研運流程嚴(yán)重割裂、系統(tǒng)安全問題暴露滯后等，非但不能有效地進行安全防護，還會影響交付速度。如何在更短的研發(fā)周期內(nèi)，快速實現(xiàn)業(yè)務(wù)價值，同時保障質(zhì)量、安全、交付速度的平衡，是傳統(tǒng)敏捷研發(fā)模式面臨的重要挑戰(zhàn)。

此外，傳統(tǒng)的敏捷研發(fā)模式中，需求、設(shè)計、研發(fā)、測試、運維等角色，工作流程彼此隔離，存在數(shù)據(jù)與信息孤島，研運全場景數(shù)據(jù)收集困難，管理角色無法通過度量分析及時發(fā)現(xiàn)進度與質(zhì)量的風(fēng)險，更難以追蹤溯源進而驅(qū)動產(chǎn)研持續(xù)改進。

二、DevOps的實踐情況

研發(fā)與運營逐步走向一體化的大環(huán)境下，設(shè)計與執(zhí)行仍基于敏捷研發(fā)框架之下的DevOps，以其一定程度上加速了軟件部署與迭代效率的優(yōu)勢，獲得不少企業(yè)的認(rèn)可與關(guān)注。

在DevOps流程中，研發(fā)人員往往通過應(yīng)用和編排開源工具，以加速開發(fā)與部署節(jié)奏。但該模式依賴于過多的腳本維護與人工跟進，可擴展性差，自由編排能力弱，軟件供應(yīng)鏈安全風(fēng)險極高。

因此，如何保障業(yè)務(wù)及系統(tǒng)安全、如何提高流水線的執(zhí)行效率成為DevOps面臨的最大瓶頸。

三、DevSecOps的演進與行業(yè)痛點

1.DevSecOps的誕生與發(fā)展

針對以上困境，2012年由Gartnert提出的DevSecOps概念，強調(diào)安全左移，讓安全貫穿于業(yè)務(wù)生命周期的每個環(huán)節(jié)，并成為IT組織架構(gòu)內(nèi)所有成員的責(zé)任。發(fā)展至今，業(yè)界關(guān)于DevSecOps的呼聲日益高漲，它是對自動化能力不足、充滿安全瓶頸的敏捷開發(fā)模式的關(guān)鍵響應(yīng)，從源頭上補齊了DevOps體系缺失的安全能力。

因此，近年來，越來越多的政企紛紛加入到實踐行列。顯然，DevSecOps的起源、演進發(fā)展及廣泛使用，足以見得市場已對安全研運提出更高標(biāo)準(zhǔn)。

那么，DevSecOps業(yè)內(nèi)，已落地的前沿創(chuàng)新及解決方案，是否能夠應(yīng)對云原生、微服務(wù)、容器等新興技術(shù)帶來的開源漏洞？安全檢測工具是否準(zhǔn)確、易用、高效？是否打破數(shù)據(jù)孤島，是否實現(xiàn)真正的項目或團隊協(xié)同？度量分析是否提供智能決策，是否真正驅(qū)動產(chǎn)研保質(zhì)增效？

2.DevSecOps實踐痛點：工具單一、能力不足、體系缺失

我們帶著以上疑問，對DevSecOps業(yè)內(nèi)已落地的實踐進行了系統(tǒng)性分析。

誠然，DevSecOps的出現(xiàn)與實踐，正在幫助我們找尋速度與安全的平衡點，它的體系已日趨成熟，方法論、技術(shù)與實踐經(jīng)驗均有明顯提升。

但目前的DevSecOps實踐，普遍過多地關(guān)注在CI/CD流水線相關(guān)的安全工具集成與應(yīng)用上，且大多只集成了SAST工具，做單一源代碼檢測，這種情況下不但工具與流程是不易集中管理與調(diào)整，安全測試無法緊跟快速迭代的步伐，嚴(yán)重拖垮交付節(jié)奏，而且缺乏SCA、IAST及模糊測試等能力，來為流程中其他階段進行更多維度的安全檢測。

于此同時，我們忽視了一個重要信息，該種單點防御的方式，即使編排了準(zhǔn)確高效的安全檢測工具，也只局限于發(fā)現(xiàn)研發(fā)階段的漏洞，但是，漏洞往往并非只發(fā)生于開發(fā)編碼階段。

“越早發(fā)現(xiàn)漏洞，修復(fù)成本越低”已然是我們的共識，因此，我們在DevSecOps的實施過程中，應(yīng)該建立完善的風(fēng)險評估體系，在設(shè)計、架構(gòu)階段就介入安全需求，讓安全任務(wù)更為徹底地實現(xiàn)左移，從源頭上避免漏洞的產(chǎn)生。

3.打破流程閉鎖，縱深安全研運體系讓價值流動

隨著交付規(guī)模不斷擴大、交付速度要求越來越高，如何在保障交付速度的前提下，確保研發(fā)質(zhì)量與安全質(zhì)量的一致性，仍是管理角色關(guān)注的重點。在此背景下，需要構(gòu)建一套縱深安全研運管理體系，打破流程閉鎖，實現(xiàn)產(chǎn)品、研發(fā)、運維一體化管理，提高自動化能力，減弱對人工的依賴，以可視化、智能化驅(qū)動安全研運。以智能的研發(fā)效能分析為主要任務(wù)，實現(xiàn)交付效率、交付質(zhì)量、交付能力的可視、溯源與追蹤，通過精準(zhǔn)的分析模型，驅(qū)動管理者持續(xù)改進產(chǎn)研效率，助力企業(yè)向市場快速交付更多的業(yè)務(wù)價值。

四、縱深一體化安全研運管理平臺：讓價值與流程高效聯(lián)動

縱觀DevSecOps市場，當(dāng)前研發(fā)效能普遍停留在簡單度量指標(biāo)的展示，度量模型建設(shè)及智能決策能力還有待提高。鑒于如此，我們梳理了來自不同行業(yè)中諸多客戶的DevSecOps落地案例，總結(jié)了集安全技術(shù)能力、超前的DevSecOps組織與文化理念、完備的安全服務(wù)于一體的實踐方法，一方面，助力投資方與創(chuàng)新實踐者對齊行業(yè)認(rèn)知，另一方面，幫助政企IT團隊精準(zhǔn)選型，避免踩坑，順利完成安全研運一體化的DevSecOps的轉(zhuǎn)型與落地。

我們通過打造研運全流程的縱深一體化安全研運管理平臺，幫助客戶打破信息與數(shù)據(jù)隔離，采用了基于數(shù)據(jù)挖掘與人工智能技術(shù)，收集多場景、全流程的數(shù)據(jù)，搭建了領(lǐng)先于行業(yè)的智慧效能度量體系，幫助企業(yè)快速找到研運低效率、低質(zhì)量的根源，進而通過BI決策模型輔助團隊快速交付。讓企業(yè)更高效、更可靠地，向市場持續(xù)交付高質(zhì)量的業(yè)務(wù)價值。

在具體實踐中，縱深一體化安全研運管理平臺，在需求設(shè)計階段通過S-SDLC威脅建模，針對每個具體需求，在產(chǎn)研各個環(huán)節(jié)中，植入由安全專家發(fā)起的安全需求。

一方面，提高了產(chǎn)研團隊的安全防范意識，從源頭減少了漏洞產(chǎn)生。另一方面，我們長期堅持“授人以魚不如授人以漁“的理念”，以賦能形式整體上提高客戶團隊的安全研發(fā)能力，幫助客戶降低對安全團隊的依賴，使市場實現(xiàn)“研運普惠安全”。

在研發(fā)編碼階段，我們?nèi)诤隙喾N擁有自主知識產(chǎn)權(quán)的國產(chǎn)化工具，例如靜態(tài)代碼掃描（SAST）、交互式應(yīng)用安全檢測（IAST）、軟件成分分析（SCA）、模糊測試（FUZZ）、動態(tài)應(yīng)用安全測試（DAST）等工具，幫助客戶實現(xiàn)了更低的MTTD（平均檢測時間），有效地將安全風(fēng)險阻隔于上線前。并且，通過對迭代、任務(wù)、缺陷、里程碑等細(xì)粒度的記錄與數(shù)據(jù)分析，實現(xiàn)了對研發(fā)流程的精細(xì)化管理。此外，采用了領(lǐng)先業(yè)內(nèi)的平均交付時間、需求流負(fù)載、缺陷逃逸率等關(guān)鍵度量指標(biāo)，以及基于大數(shù)據(jù)和AI技術(shù)的智能度量模型，落地了一套全流程的安全研運效能度量方法。

事實上對于客戶而言，快速、準(zhǔn)確地檢測出問題僅僅是第一步，如何對安全問題做出快速響應(yīng)更為重要。鑒于此，在上線及運營階段，我們通過建立完整的安全響應(yīng)機制，有效地幫助客戶降低了MTTR（平均響應(yīng)時間）。

此外，縱深一體化安全研運管理平臺配備基于數(shù)智融和的安全態(tài)勢感知數(shù)字大屏，輔助客戶實現(xiàn)了對安全風(fēng)險的預(yù)防、持續(xù)監(jiān)控、分析和快速響應(yīng)。并在軟件運行階段，我們采用RASP安全防護技術(shù)，提供了隱藏漏洞的更多可見性，幫助政企有效應(yīng)對運行時攻擊。

自DevSecOps理念誕生以來，業(yè)內(nèi)一直處于探索演進過程中，我們專注于以更專業(yè)、更安全、更值得信賴的方式，為DevSecOps行業(yè)快速發(fā)展提供可靠的參考。

五、未來展望

隨著數(shù)字化轉(zhuǎn)型與等保升級，DevSecOps在中國市場呈現(xiàn)了快速增長的態(tài)勢，開源網(wǎng)安堅信唯創(chuàng)新者勝，能夠感知全盤的安全態(tài)勢，并實現(xiàn)體系化縱深安全防御的研運一體化產(chǎn)品，將引領(lǐng)行業(yè)發(fā)展。

關(guān)于開源網(wǎng)安

開源網(wǎng)安是中國軟件安全行業(yè)創(chuàng)領(lǐng)者，竭誠與客戶攜手構(gòu)建數(shù)字化時代的軟件安全體系。經(jīng)過近十載的研發(fā)與深耕，開源網(wǎng)安已將多項自有技術(shù)成果應(yīng)用于各行業(yè)的數(shù)字化進程，引領(lǐng)中國軟件安全的創(chuàng)新與發(fā)展。

開源網(wǎng)安自誕生起便致力于打造自主核心技術(shù)，以捍衛(wèi)中國軟件安全為使命。我們逐年推出了多款具有完全自主知識產(chǎn)權(quán)的安全產(chǎn)品（SAST、IAST、SCA、Fuzz、RASP、DevSecOps等），填補了國內(nèi)軟件安全產(chǎn)品的空白, 完成了自有產(chǎn)品矩陣的構(gòu)建, 更打破了國外技術(shù)的壟斷。多年來我們積累了大量與世界500強企業(yè)的合作經(jīng)驗，業(yè)務(wù)覆蓋政府、金融、能源、通信、汽車、物聯(lián)網(wǎng)等多元化場景。期間我們曾助力多家中國大型企業(yè)通過海外軟件安全標(biāo)準(zhǔn)的認(rèn)證，成就大國品質(zhì)出海。在這十年間，我們屢獲國家權(quán)威認(rèn)可，多次參與軟件安全國家標(biāo)準(zhǔn)制定。

未來，我們期待與客戶并肩應(yīng)對瞬息萬變的數(shù)字化轉(zhuǎn)型挑戰(zhàn)，無論您來自任何行業(yè)，您都能在與開源網(wǎng)安的合作中獲得領(lǐng)先的、跨維度的軟件安全解決方案，實現(xiàn)“安全"數(shù)字化轉(zhuǎn)型。