企業在從DevOps轉向DevSecOps時面臨的最大挑戰是什么?
對于那些尋求將安全性融入DevOps實踐的企業來說，其構建流程和開發者生態系統的復雜性是一個重大挑戰。擁有多個構建系統，每個系統都使用定制工具且未與安全工具全面集成的情況并不罕見。此外，安全團隊通常使用與開發工具相鄰的工具，并因此遭受長反饋周期的困擾。
在DevOps中，開發者可能每天部署代碼數十次或數百次，而掃描器(例如靜態應用安全工具(SAST))通常按計劃運行，這會導致反饋循環出現延遲，這種模式在采用單一倉庫(mono repo)的企業中最為普遍。
企業在從DevOps轉向DevSecOps時必須是有意為之。將構建系統簡化為一個通用的技術棧，使團隊能夠使用通用的工具鏈為其所有軟件項目配備工具，這樣做帶來的效率提升是巨大的，通過將安全檢查直接構建到流水線中，可以實現短周期時間。
企業應采取措施簡化安全在其系統中的實施，以避免因次優設計決策(如難以維護的代碼和冗余依賴)帶來的復雜性，這些決策可能會創建更大的攻擊面，并生成更多的安全掃描結果，供團隊篩選、優先處理和解決。
企業還應以軟件最小化為目標進行開發，即他們應有意識地選擇采用的工具和決定構建到其代碼庫中的內容，這有助于移除依賴項、提高軟件供應鏈的安全性、減少掃描器噪聲，并減輕開發者修復非關鍵問題的負擔。
在不顯著減慢CI/CD流水線速度的情況下，集成安全工具的實際方法有哪些?
CI系統是靜態工件(如基礎設施即代碼(IaC)、軟件成分分析和SAST)的最佳內省點，這些工具可以在非阻塞模式下逐個項目啟用，直到它們與環境良好適配。
AI驅動的工具可以幫助企業加速常規任務(如代碼分析)，并在不離開開發工作流程的情況下提供可操作的修復措施。通過為大型語言模型(LLM)和開發者提供上下文，并在聯系安全團隊之前或代替聯系安全團隊的情況下，識別安全反模式的解決方案。
企業如何培養一種文化，讓安全被視為所有團隊的共同責任?
我們已經看到安全成為工程團隊實踐中的轉變，并且可以預期兩者之間的界限將繼續模糊。
在許多企業中，安全測試在軟件開發生命周期中發生得太晚，這會導致團隊在準備發布軟件時感到沮喪，但因為漏洞發現得太晚而被迫延遲。
團隊可以通過采用基于可重復用例的經過測試和保證的設計模式(即“鋪路”方法)來避免這種情況。
采用鋪路方法會減少一些靈活性，但最終會減輕工程團隊的操作負擔和返工，它還提高了安全性，使安全團隊和開發團隊之間能夠進行更多的協作。
然而，隨著AI的采用和軟件開發的相應加速，企業必須建立系統和框架，以優化最大的安全效益。培養協作文化至關重要，但安全和工程團隊還必須共同努力，重新思考軟件開發的基礎方面，如優化現有代碼庫，并構建可擴展的、以工程為中心的解決方案，以便企業內的技術團隊能夠無縫采用。
像OWASP Top 10或NIST 800-53這樣的框架在為DevSecOps制定安全策略方面扮演什么角色?
NIST 800-53等框架被用作控制框架，幫助企業了解在CI/CD環境中可能使用的工具，然而，框架并不是觀點，企業必須基于威脅模型和業務需求來確定其技術棧，OWASP Top 10是旨在告知企業常見威脅類別的列表，不應將其編入政策中。
哪些指標對于跟蹤DevSecOps計劃的成功最有用，企業如何實施主動監控以在漏洞成為威脅之前加以解決?
為了衡量DevSecOps的成功，我們必須超越傳統的安全指標，并關注那些反映開發、安全和運維一體化性質的指標。從安全領導力的角度來看，我優先考慮以下四個關鍵領域：
資產和軟件清單(包括軟件物料清單(SBOMs))：全面的清單提供了對攻擊面的基本可見性，通過數據庫關聯實現有效的漏洞管理。納入SBOMs為軟件組件和依賴項添加了詳細的細節，從而增強供應鏈安全性和精確的漏洞跟蹤，支持主動監控、自動化掃描和優先修復。
項目的安全覆蓋率：量化軟件開發生命周期內的安全集成至關重要。通過SAST、DAST、SCA和滲透測試衡量代碼覆蓋率，可以實現早期漏洞檢測和修復。分析漏洞數量/嚴重性有助于風險優先排序，而跟蹤覆蓋率則揭示了測試的有效性并有助于合規性。
恢復時間目標(RTO)和恢復點目標(RPO)：這些關鍵指標衡量韌性，并在中斷后最大限度地減少停機時間和數據丟失。RTO(可接受的停機時間)和RPO(可接受的數據丟失)反映了潛在的業務影響。定期根據RTO/RPO測試恢復能力，可以驗證恢復策略和備份程序，通常推動自動化和IaC在恢復中的采用，并增強韌性。
冷啟動恢復時間：該指標衡量從最壞情況場景中恢復的能力。模擬完整的系統故障可以驗證IaC和自動化部署流水線的有效性，暴露隱藏的依賴項，并提供比傳統故障轉移測試更全面的韌性評估。滿足監管恢復目標通常取決于成功的冷啟動測試，識別性能瓶頸，推動恢復改進，并展示對韌性和成熟DevSecOps的承諾。
企業網D1net(hfnxjk.com)：
國內主流的to B IT門戶，旗下運營國內最大的甲方CIO專家庫和智力輸出及社交平臺-信眾智(www.cioall.com)。旗下運營19個IT行業公眾號(微信搜索D1net即可關注)。
版權聲明：本文為企業網D1Net編譯，轉載需在文章開頭注明出處為：企業網D1Net，如果不注明出處，企業網D1Net將保留追究其法律責任的權利。
京公網安備 11010502049343號