什么是 DevSecOps？

Stephen Streichsbier 说过： DevSecOps 使得组织可以用 DevOps 的速度发布内在安全的软件。

DevSecOps 是一场关于 DevOps 概念实践或艺术形式的变革。为了更好理解 DevSecOps，你应该首先理解 DevOps 的含义。

DevOps 起源于通过合并开发和运维实践，消除隔离，统一关注点，提升团队和产品的效率和性能。它是一种注重于构建容易维护和易于平常自动运营的产品和服务的新型协作方式。

安全在很多团队中都是常见的隔离点。安全的核心关注点是保护团队，而有时这也意味着创建延缓新服务或是新产品发布的障碍或策略，用于保障任何事都能被很好的理解和安全的执行，并且没有给团队带来不必要的风险。

因为安全隔离点方面的明显特征和它可能带来的摩擦，开发和运维有时会避开安全要求以满足客观情况。在一些公司，这种隔离形成了一种产品安全完全是安全团队责任的期望，并取决于安全团队去寻找产品的安全缺陷或是可能带来的问题。

DevSecOps 看起来是通过给开发或是运维角色加强或是建立安全意识，或是在产品团队中引入一个安全工程师角色，在产品设计中找到安全问题，从而把安全要求汇聚在 Devops 中。

这样使得公司能更快发布和更新产品，并且充分相信安全已经嵌入产品中。

坚固的软件哪里适用 DevSecOps？

建造坚固的软件是 DevOps 文化的一个层面而不是一个特别的实践，它完善和增强了 DevSecOps 实践。想想一款坚固的软件就像是某些经历过残酷战斗过程的事物。

有必要指出坚固的软件并不是 100% 安全可靠的（虽然它可能最终是在某些方面）。然而，它被设计成可以处理大部分被抛过来的问题。

践行坚固软件最重要的原则是促进竞争、实践、可控的失败与合作。

你该如何开始学习 DevSecOps ？

开始实践 DevSecOps 涉及提升安全需求和在开发过程中尽可能早的阶段进行实践。它最终在公司文化上提升了安全的重要性，使得安全成为所有人的责任，而并不只是安全团队的责任。

你可能在团队中听说过“ 左上升 shift left ”这个词，如果你把开发周期线扁平化到一条横线上，以包括产品变革的的关键时期：从初始化到设计、建造、测试以及最终的运行，安全的目的就是尽早的参与进来。这使得风险可以在设计中能更好的评估、交流和减轻。“左提升”的含义是指促使安全能在开发周期线上更往左走。

这个过程始于三个关键要素：

• 增权 empowerment
• 赋能 enablement
• 培养 education

增权，在我看来，是关于释放控制权以及使得团队（在理性分析下）做出独立决定而不用害怕失败或影响。这个过程的唯一告诫信息就是要严格的做出明智的决定（不要比这更低要求）。

为了实现增权，商务和行政支持（通过内部销售、展示来建立，通过建立矩阵来展示这项投资的回报）是打破历史障碍和割裂的团队的关键。合并安全人员到开发和运维团队中，提升交流和透明度有助于开始 DevSecOps 之旅。

这个整合和移动使得团队只关注单一的结果：打造一个他们共同负责的产品，让开发和安全人员相互依赖合作。这将引领你们共同走向增权。这是产品研发团队的共同责任，并保证每个可分割的产品都保持其安全性。

赋能涉及正确的使用掌握在团队手中的工具和资源。这是建立一种通过论坛、维基、信息聚合的知识分享文化。

打造一种注重自动化、重复任务应该编码来尽可能减少以后的操作并增强安全性的理念。这种场景不仅仅是提供知识，而是让这种知识能够通过多种渠道和媒介（通过某些工具）可获取，以便它可以被团队或是个人以他喜欢的方式去消化和分享。当团队成员正在编码时一种媒介可能工作的很好，而当他们在进行中时另一种可能更好。让工具简单可用，让团队用上它们。

不同的 DevSecOps 团队有不同的喜好，因此允许他们尽可能的保持独立。这是一个微妙的平衡工作，因为你确实希望实现规模经济和产品间共享的能力。在选择中协作和参与，并更新工具方法有助于减少使用中的障碍。

最后，也可能是最重要的，DevSecOps 是有关训练和兴趣打造。聚会、社交或是组织中通常的报告会都是让同事们教学和分享他们的知识的很棒的方式。有时，这些会突出其他人可能没有考虑过的共同挑战、顾虑或风险。分享和教学也是一种高效的学习和指导团队的方法。

在我个人经验中，每个团队的文化都是独一无二的，因此你不能用一种“普适”的方法。走进你的团队并找到他们想要使用的工具方法。尝试不同的论坛和聚会并找出最适用于你们文化的方式。寻找反馈并询问团队如何工作，他们喜欢什么以及对应的原因。适应和学习，保持乐观，不要停止尝试，你们将会有所收获。

• 下载 DevSecOps 的入门手册

via: https://opensource.com/article/19/1/what-devsecops

作者：Brett Hunoldt 选题：lujun9972 译者：PandaWizard 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

本文转载来自 Linux 中国: https://github.com/Linux-CN/archive