一種更好的DevSecOps方法

---

如今，DevSecOps的大多數(shù)問題都回到了組織，他們試圖通過在產(chǎn)品周期結(jié)束時添加測試來“修復(fù)”安全性，希望能夠抓住一些關(guān)鍵漏洞。在本文中，學(xué)習(xí)如何通過有效策略將安全測試轉(zhuǎn)移到支持DevSecOps的最早開發(fā)階段來解決這一問題。

在上一篇文章中，我討論了SecDevOps以及為什么它比常用的DevSecOps更好。安全性通常在發(fā)布產(chǎn)品之前作為附加程序或門控流程保留，但是當(dāng)產(chǎn)品半途而廢時，很難解決安全性問題。如成功將SecDevOps中的安全性向左移（更常見的名稱DevSecOps并不暗示）一樣。安全性必須成為每個開發(fā)人員日常工作流程的一部分，并且必須集成到軟件管道中。

作為Parasoft產(chǎn)品副總裁，我的工作是確保我們?yōu)榭蛻艉喕斯ぷ鳌＿@是什么意思？首先，這意味著自動化安全控制和策略的左移，以幫助我們的客戶在管道中建立安全性，同時減少DevSecOps的影響和風(fēng)險。你是怎么做到的？在下面閱讀更多內(nèi)容，以了解如何緩解將安全性集成到DevOps中的傳統(tǒng)挑戰(zhàn)。然后，我們將檢查DevSecOps工作流程，該工作流程已成功將安全性向左移動（應(yīng)為左移）。

解決阻礙成功的DevSecOps策略的挑戰(zhàn)

如今，DevSecOps的大多數(shù)問題都回到了組織，他們試圖通過在產(chǎn)品周期結(jié)束時添加測試來“修復(fù)”安全性，希望能夠抓住一些關(guān)鍵漏洞。以下是發(fā)生這種情況的原因和原因，以及如何使用更智能的安全方法解決它們。

挑戰(zhàn)：很難知道如何“修復(fù)”安全性

大多數(shù)開發(fā)人員和測試人員還不是安全專家（尚未！），因此，當(dāng)不清楚要做什么時，要在開發(fā)的后期階段“修復(fù)”安全性是一個很高的要求。

解決方案：逐步提高安全性

相反，團(tuán)隊可以使用集中化策略（例如安全編碼標(biāo)準(zhǔn)和針對常見漏洞的靜態(tài)分析檢查）來逐步改善整個開發(fā)生命周期中的安全性。另外，安全工具可以為開發(fā)人員和測試人員提供有關(guān)漏洞存在的原因，如何利用漏洞以及最終將其刪除和測試的指南。使用Parasoft的靜態(tài)分析工具，您可以輕松地基于行業(yè)安全的編碼標(biāo)準(zhǔn)（即CWE，OWASP，CERT，UL 2900）定義集中式策略。還內(nèi)置了文檔、示例和嵌入式培訓(xùn)，以使整個團(tuán)隊可以繼續(xù)學(xué)習(xí)下一步的工作。

挑戰(zhàn)：周期末安全測試導(dǎo)致生產(chǎn)中的延遲和漏洞

試圖將鞋拔的安全性變成幾乎完整的產(chǎn)品的通用方法是不夠的。太多的漏洞正在進(jìn)入生產(chǎn)代碼。

解決方案：將安全性分析集成到開發(fā)的最早階段

相反，可以將安全性納入日常開發(fā)和運(yùn)營中。開發(fā)人員應(yīng)該能夠直接在IDE內(nèi)部執(zhí)行分析，從而將安全合規(guī)性轉(zhuǎn)移到開發(fā)的早期階段。Parasoft工具與構(gòu)建過程集成在一起，并提供CI插件以驗證漏洞不在CI管道之外。收集的數(shù)據(jù)存儲在每個構(gòu)建的基礎(chǔ)上，可用于報表和分析儀表板。

挑戰(zhàn)：直到最后一刻，項目安全風(fēng)險的狀態(tài)未知

 由于缺乏任何類型的漏洞評估，因此在進(jìn)行某種測試之前，項目具有完全未知的安全風(fēng)險。完成后期周期測試后，發(fā)現(xiàn)的安全漏洞往往會導(dǎo)致后期周期變更和返工。盡管在最后一刻做出了英勇的努力，但許多安全漏洞仍將其傳遞給客戶。

解決方案：持續(xù)監(jiān)視軟件質(zhì)量和安全性

為了實現(xiàn)優(yōu)先級劃分和課程更正，實時合規(guī)性報告應(yīng)提供易于訪問的儀表板，并具有數(shù)據(jù)的頂級和深入了解。Parasoft通過高度可定制的安全儀表板消除了安全監(jiān)督的開銷，這些儀表板是交互式的，可以從任何位置訪問，并且可以針對任何用戶進(jìn)行設(shè)計，從開發(fā)人員到團(tuán)隊領(lǐng)導(dǎo)再到上級經(jīng)理。

使用Parasoft進(jìn)行更智能的SecDevOps工作流程

如果您了解上述挑戰(zhàn)并且已準(zhǔn)備好上手，則首先將測試工具集成到現(xiàn)有開發(fā)工作流程中。這是每日采用和從投資中獲得最大投資回報的關(guān)鍵。讓我們看看如何將Parasoft工具集成到典型的CI/CD管道中，以及如何利用它們在DevOps中“左移”安全性。

在這里，您可以看到工作流中的前提交和后提交，以及在將代碼提交到源存儲庫之前和之后的代碼分析。在簽入代碼之前幫助開發(fā)人員提高質(zhì)量和安全性是“左移”的重要優(yōu)勢。我們的工具從此處開始，然后在檢入、構(gòu)建和部署代碼之后繼續(xù)提供幫助。

預(yù)提交工作流程：

1. 確定適合項目和組織需求的安全標(biāo)準(zhǔn)（例如OWASP，CWE，CERT）。例如，可以自定義級別和編碼標(biāo)準(zhǔn)的組成，以滿足您的需求，并且可以將安全性和質(zhì)量標(biāo)準(zhǔn)結(jié)合在一起。
2. 將安全策略封裝在測試配置中。通常在整個項目中由團(tuán)隊負(fù)責(zé)人集中完成。
3. 使定義的配置可供開發(fā)人員在編寫和測試其代碼時使用。這里的主要好處是在每個開發(fā)人員的桌面環(huán)境中都采用了這些標(biāo)準(zhǔn)，因此每個人都在按照相同的標(biāo)準(zhǔn)進(jìn)行工作。
4. 檢入之前將檢查器應(yīng)用于代碼。我們的經(jīng)驗表明，最佳實踐是不要使對測試配置的合規(guī)性成為檢入門，因為這將影響團(tuán)隊的效率和采用安全編碼做法。經(jīng)常會由于各種原因（工具不一定進(jìn)行評估）而簽入不完全兼容的代碼，并且工作流的提交后部分的目的是執(zhí)行“完整分析”并充當(dāng)安全網(wǎng)。

提交后的工作流程：

1. 生成代碼，運(yùn)行現(xiàn)有測試，并執(zhí)行項目范圍內(nèi)的靜態(tài)分析。
2. 檢查發(fā)布到安全儀表板的結(jié)果，以確定需要關(guān)注的領(lǐng)域。
3. 分析結(jié)果，確定違規(guī)的優(yōu)先順序，并以任務(wù)的形式為相應(yīng)的開發(fā)人員分配違規(guī)。使用Parasoft，可通過預(yù)設(shè)和可自定義的儀表板獲得即時反饋。
4. 采取措施解決已發(fā)布并在每個人的IDE中可供查看的警告和違規(guī)行為。

內(nèi)置安全性是質(zhì)量的一部分

 大多數(shù)軟件團(tuán)隊都知道交付高質(zhì)量代碼的需求，而不管其當(dāng)前過程的成熟程度如何。利用現(xiàn)有的心態(tài)來提高安全性，您可以將安全性要求、控件和標(biāo)準(zhǔn)交織在一起，作為現(xiàn)有質(zhì)量改進(jìn)過程的一部分。在儀表板級別，實時查看安全法規(guī)遵從性，并能夠根據(jù)突出顯示的關(guān)注區(qū)域深入研究問題區(qū)域，有助于安全性成為日常質(zhì)量管理的一部分。

總結(jié)

重要的是在開發(fā)生命周期中盡早確定安全的優(yōu)先級，以“左移”執(zhí)行安全標(biāo)準(zhǔn)和良好實踐，并成功實現(xiàn)DevSecOps。為此，您需要一個易于開發(fā)且易于采用的過程來在開發(fā)人員編寫代碼后立即檢測并消除漏洞。Parasoft的實時、可自定義的分析和報告儀表板向團(tuán)隊負(fù)責(zé)人和安全專家提供有關(guān)項目狀態(tài)，對選定標(biāo)準(zhǔn)的遵守情況以及最關(guān)注的確切問題的即時反饋，以便整個組織可以了解風(fēng)險。