應用敏捷與安全如何兼存?| IDCF

DevOps訂閱號發表於2021-01-04


應用敏捷與安全如何兼存?| IDCF

敏捷與安全似乎矛盾,但如何兼存?
起初,企業以傳統的瀑布式研發模式把軟體開發過程劃分為需求、分析、設計、開發、測試等不同的流程。這些流程有著嚴格的先後次序之分,只有當前面的流程結束之後,下一個流程才能開始運轉。這種開發方式好似瀑布的下落,由此命名為瀑布模型。
但隨著業務的發展,研發模式也在發生了不斷地演進,傳統基於階段的瀑布研發過程,導致開發對於迅速變化的業務響應嚴重滯後,為此業界倡導透過敏捷的方式,快速迭代,小步快跑,持續整合,主動擁抱變化。
敏捷開發以使用者的需求進化為核心,採用迭代、循序漸進的方法進行軟體開發。把一個大專案分為多個相互聯絡,但也可獨立執行的小專案,並分別完成,在此過程中軟體一直處於可使用狀態。
如今,隨著移動網際網路的迅速發展,應用從需求到上線的TTM(Time to market)越來越短,普遍存在的開發和運維的“混亂之牆”成為了斷裂點,為此業界開始提倡DevOps的協作模式,敏捷精益的理念進一步延伸到運維側。同時,隨著雲原生基礎設施的建立和CICD技術的發展,DevOps已廣泛得應用到各個企業。

從“應用敏捷”到“應用敏捷+安全”

應用敏捷與安全如何兼存?| IDCF



但是隨著數字化席捲各行各業,應用進入了我們生活的方方面面:人與人的互聯、物與物的互聯、人與物的互聯正在成為現實,應用對於人和社會的安全威脅也逐日提升。
由於應用的安全防護和安全意識還普遍滯後,為此以Built-In Security和自動化為基本理念的DevSecOps開始得到重視。DevSecOps的理念在將安全融入敏捷過程中,即透過設計一系列可整合的控制措施,增大監測、跟蹤和分析的力度,最佳化安全實踐,整合到開發和運營的各項工作中,並將安全能力賦給各個團隊,同時保持“敏捷”和 “協作”的初衷。在這一理念中,企業的整個IT團隊目標統一,即在保障敏捷開發的基礎上,共同揹負起安全的責任。
應用敏捷與安全如何兼存?| IDCF

DevSecOps引入自動化安全

應用敏捷與安全如何兼存?| IDCF



DevSecOps實際上是DevOps的延續和演進。雲原生技術加持下的DevOps使得應用開發和上線週期越來越短,傳統的安全團隊上線前介入的模式已經嚴重滯後,不僅不能有效地進行系統的安全防護,而且也會影響應用的交付速度。
DevSecOps的最關鍵理念就是強調在應用的全生命週期都內嵌安全,同時提出安全的檢測和防護做到儘可能的自動化,將自動化融入安全,實現了質量、安全和速度的最佳平衡。安全應儘可能做到全場景,從基礎設施、程式碼、映象、到架構,同時需要做到覆蓋應用的全生命週期,從開發態、執行態直至運維態。
應用敏捷與安全如何兼存?| IDCF

DevSecOps需要安全工具自動化以及平臺化

應用敏捷與安全如何兼存?| IDCF



在傳統的研發過程中,研發與安全割裂,主要是因為安全影響研發效率,但自動化的安全工具可以適用當前的敏捷開發需求。基於安全與DevSecOps的強烈訴求,華為雲正在逐步的將華為20年來深耕安全的能力透過雲服務的形式外溢,讓更多的企業能共享華為對於安全的先進理念和技術實踐,華為雲透過讓在DevOps的每個環節都透過規範、方法論和自動化的安全服務,來實現DevSecOps的理念,如在建立應用階段安全框架和編碼規範,嵌入IDE外掛的程式碼檢查等。下面我們詳細逐一來看華為雲所實現的安全工具自動化以及平臺化。

平臺化:全流程雲原生DevSecOps平臺

應用敏捷與安全如何兼存?| IDCF



華為雲提供雲原生DevOps平臺:華為雲DevCloud軟體開發平臺。華為雲DevCloud在業界具有較高的影響力,得到了專業諮詢機構和客戶的官方認可,在全流程、支援的技術棧與安全可信角度有較強的競爭力,華為雲DevCloud為客戶提供了從需求/規劃到運維的多個服務。
應用敏捷與安全如何兼存?| IDCF

自動化工具與安全無縫連線

應用敏捷與安全如何兼存?| IDCF



程式碼託管服務是DevCloud為客戶提供的穩定、安全的程式碼管理服務,該服務同時也支援了華為內部1100億行的程式碼管理,多個安全可信的措施,多倉協同和高併發。程式碼分析和程式碼檢查服務,也是華為自主研發的程式碼靜態檢查服務,沉澱了華為多年的高質量程式碼檢查規則集,支援的語言多,標準多,同時提供了自動化輔助缺陷修復的特性。
程式碼構建服務,為客戶提供了配置及程式碼的構建服務,支援豐富的構建語言和框架,同時透過多種技術實現10倍+的構建加速,並提供封閉的構建環境,保證構建階段的可信安全。雲測服務,為客戶大規模、高併發、全流程的智慧測試服務,提供測試管理、效能測試、API測試、移動測試等多種專業測試服務,並透過測試設計的智慧化,測試執行的智慧化和測試分析的智慧化,提升測試的效率和攔截問題的比例。
同時,華為雲在DevOps的基礎上,陸續增加安全設計、安全合規、安全檢查和安全防護的專業服務,透過服務化的介面和華為雲DevCloud進行深度整合。同時,在已有的執行、運維安全的基礎上,進一步全方面的加強網路安全、資料安全、應用安全與資料庫安全,讓雲原生的應用生得安全,活得安全。
對於企業如何更好的實施DevSecOps,我們有以下幾個實踐:

  • 安全可信應該是每個人的責任,而不僅僅只是安全團隊關心的事情。
  • 重視架構解耦,架構解耦,低依賴,安全風險和影響範圍更可控。
  • 重視自動化和知識協同,不斷提升效率,透過知識分享,組織和個人持續改進。
  • 努力打造全功能團隊,團隊自治,破除部門牆,對商業和使用者負責。


安全可信+高效敏捷

應用敏捷與安全如何兼存?| IDCF



從概念提出到現在,雲原生所帶來的敏捷、開放、標準化、輕量、松耦合與靈活的優勢是企業數字化轉型升級的基礎必選項。面對日益嚴峻的安全威脅和安全影響,雲原生加持下的DevSecOps理念和實踐,將安全自動化內嵌到應用的全生命週期,在保證安全可信的同時,也依然能夠發揮雲原生所帶來的高效與敏捷。

來自 “ ITPUB部落格 ” ,連結:http://blog.itpub.net/31558019/viewspace-2747164/,如需轉載,請註明出處,否則將追究法律責任。

相關文章