下载掌阅APP，畅读海量书库
立即打开
DevSecOps敏捷安全作为一种全新的网络安全建设思想，脱胎于DevOps框架，有效地弥补了传统SDL安全开发的缺陷，在坚持“以人为本，技术驱动”和“同步规划”“同步构建”“同步运营”理念的前提下，重点突出“快”，使安全成为数字化业务的基本内在属性，同时使产品被敏捷地交付和迭代。为了更好地理解DevSecOps敏捷安全体系，这里正式提出DevSecOps敏捷安全架构，具体如图4-5所示。
图4-5 DevSecOps敏捷安全架构
作为业内首次提出的DevSecOps敏捷安全架构，它由敏捷安全核心内涵、敏捷安全框架和典型应用场景三大子系统组成，具有内生免疫、敏捷自适应和共生进化的关键特性，安全左移和敏捷右移是核心实践思想。它的出现不仅可以帮助企业逐步构建一套适应自身业务发展、面向敏捷业务交付并引领未来架构演进的新一代网络安全体系，还可以充分指导企业在软件供应链安全、云原生安全等新兴场景中的安全实践工作。
当安全左移成为常态，安全工作不再是技术人员将应用程序部署到生产环境后才会想到的事，而是开发工作的重要组成部分。通过实现安全左移，在软件生命周期的早期进行风险识别并解决潜在安全漏洞问题，可以极大地提高漏洞修复效率和产品质量。
正如悬镜2021年7月发布的“敏捷安全技术金字塔V2.0”指出的，处于金字塔顶层的CARTA模型的核心关注点是人——安全的本质。安全左移的重点也要从关注现实痛点的工具链和管理流程，转到与安全风险息息相关的“以人为本，技术驱动”的信任链中。安全开发体系的深入实践必然会促使创新的工作方式出现。
（1）开发安全专家审核软件设计
安全开发体系的普及催生了一个新的角色：开发安全专家。开发安全专家需要同时具备安全能力和研发能力，主要负责在项目的设计阶段将安全设计融入软件系统架构。开发安全专家审核软件设计，通过审核之后才能进入软件开发阶段。此审核流程可能给软件开发流程带来根本变化，开发者可能需要参加培训来适应此变化，部门可能需要招聘开发安全专岗员工，并为此变化提供支持。虽然在设计阶段纳入新的安全职能人员会使组织结构发生一些变化，但会给软件安全带来一个新的提升。
（2）安全代码标准化
通过为开发者提供预批准的库和工具（包括安全团队提供的库和工具），帮助开发者实现安全代码标准化。使用标准化代码不仅可以让安全团队更轻松地审核代码，也可以实现自动化检测开发者是否正在使用预批准的库。
（3）自动化安全测试
安全工具链的普及与接入，有助于质量控制部门进行安全测试，这意味着可以大规模地持续测试代码，而无须刻意推动。
DevSecOps强调的是开发、运营整体的敏捷安全。从DevSecOps发展现状来看，安全左移建设完善后，敏捷右移将成为新的趋势，这主要表现在3个方面。
1）目前，运营侧安全虽然已经有了一定保障基础，但仍然缺乏敏捷安全理念的贯彻，传统的WAF、防火墙、IPS、IDS、HIDS等不足以应对安全运营需要，因此敏捷右移一定会如期来临。
2）随着DevSecOps的逐步推进，上线前开发侧的安全工具也得到了推广和应用，在响应速度上表现相对薄弱的运营侧安全工具必然会引起安全厂商和最终客户的注意。安全厂商会去寻找新的爆发点，而最终客户随着开发侧压力的减轻，必然会将部分重心转移到运营侧。
3）DevOps的最终走向是研发运营一体化，无论开发侧还是运营侧的敏捷对于业务发展来说都是不可或缺的，业务发展必然也会促使安全运营敏捷化。
随着过去十年云原生、微服务和软件开源等新技术的发展，网络攻击呈现立体化、多维化等特点，使得网络防护的投入增大，安全运营保障工作面临的挑战进一步加大。伴随人工智能等新技术的应用，网络武器泄露的延续效应正在逐渐转变网络攻击的逻辑和手段，“攻防不对等”形势更为严峻。
1）攻击技术越发智能，攻击手段在潜伏性、隐蔽性、定向性、自主性、融合性等方面能力日益增强。智能分析使得快速绕过多重防御手段成为可能。
2）自动化攻击时代悄然来临，大量新兴自动化渗透工具不断涌现，令攻击门槛大幅度降低。
3）网络武器研发和利用提速，基于未知漏洞的攻击利用危害不断加深，敏感数据泄露事件频频发生。
为了从根本打破“攻防不对等”的现状，围绕DevSecOps敏捷安全体系构筑的下一代积极防御技术主要运用在基础设施层、应用免疫层和安全运营层。它们的协同联动可以帮助企业实现从被动应急到左移源头风险治理、从传统检测防御到主动威胁模拟对抗、从静态分析到动态情境感知、从孤立运行到联动融合、从政策合规到实效创新的安全体系运营新阶段。
其中，积极防御技术栈中基础设施层主要由CWAPP技术支撑，核心包括API安全、容器和Kubernetes技术等；应用免疫层主要由代码疫苗技术支撑，核心包括RASP技术、IAST技术、SCA技术等；安全运营层主要由BAS技术支撑。此类技术的更多细节将在本书第6章逐一介绍。