ITPub博客

首页 > 应用开发 > IT综合 > 应用敏捷与安全如何兼存?| IDCF

应用敏捷与安全如何兼存?| IDCF

原创 IT综合 作者:DevOps订阅号 时间:2021-01-04 09:30:23 0 删除 编辑


敏捷与安全似乎矛盾,但如何兼存?
起初,企业以传统的瀑布式研发模式把软件开发过程划分为需求、分析、设计、开发、测试等不同的流程。这些流程有着严格的先后次序之分,只有当前面的流程结束之后,下一个流程才能开始运转。这种开发方式好似瀑布的下落,由此命名为瀑布模型。
但随着业务的发展,研发模式也在发生了不断地演进,传统基于阶段的瀑布研发过程,导致开发对于迅速变化的业务响应严重滞后,为此业界倡导通过敏捷的方式,快速迭代,小步快跑,持续集成,主动拥抱变化。
敏捷开发以用户的需求进化为核心,采用迭代、循序渐进的方法进行软件开发。把一个大项目分为多个相互联系,但也可独立运行的小项目,并分别完成,在此过程中软件一直处于可使用状态。
如今,随着移动互联网的迅速发展,应用从需求到上线的TTM(Time to market)越来越短,普遍存在的开发和运维的“混乱之墙”成为了断裂点,为此业界开始提倡DevOps的协作模式,敏捷精益的理念进一步延伸到运维侧。同时,随着云原生基础设施的建立和CICD技术的发展,DevOps已广泛得应用到各个企业。

从“应用敏捷”到“应用敏捷+安全”



但是随着数字化席卷各行各业,应用进入了我们生活的方方面面:人与人的互联、物与物的互联、人与物的互联正在成为现实,应用对于人和社会的安全威胁也逐日提升。
由于应用的安全防护和安全意识还普遍滞后,为此以Built-In Security和自动化为基本理念的DevSecOps开始得到重视。DevSecOps的理念在将安全融入敏捷过程中,即通过设计一系列可集成的控制措施,增大监测、跟踪和分析的力度,优化安全实践,集成到开发和运营的各项工作中,并将安全能力赋给各个团队,同时保持“敏捷”和 “协作”的初衷。在这一理念中,企业的整个IT团队目标统一,即在保障敏捷开发的基础上,共同背负起安全的责任。

DevSecOps引入自动化安全



DevSecOps实际上是DevOps的延续和演进。云原生技术加持下的DevOps使得应用开发和上线周期越来越短,传统的安全团队上线前介入的模式已经严重滞后,不仅不能有效地进行系统的安全防护,而且也会影响应用的交付速度。
DevSecOps的最关键理念就是强调在应用的全生命周期都内嵌安全,同时提出安全的检测和防护做到尽可能的自动化,将自动化融入安全,实现了质量、安全和速度的最佳平衡。安全应尽可能做到全场景,从基础设施、代码、镜像、到架构,同时需要做到覆盖应用的全生命周期,从开发态、运行态直至运维态。

DevSecOps需要安全工具自动化以及平台化



在传统的研发过程中,研发与安全割裂,主要是因为安全影响研发效率,但自动化的安全工具可以适用当前的敏捷开发需求。基于安全与DevSecOps的强烈诉求,华为云正在逐步的将华为20年来深耕安全的能力通过云服务的形式外溢,让更多的企业能共享华为对于安全的先进理念和技术实践,华为云通过让在DevOps的每个环节都通过规范、方法论和自动化的安全服务,来实现DevSecOps的理念,如在创建应用阶段安全框架和编码规范,嵌入IDE插件的代码检查等。下面我们详细逐一来看华为云所实现的安全工具自动化以及平台化。

平台化:全流程云原生DevSecOps平台



华为云提供云原生DevOps平台:华为云DevCloud软件开发平台。华为云DevCloud在业界具有较高的影响力,得到了专业咨询机构和客户的官方认可,在全流程、支持的技术栈与安全可信角度有较强的竞争力,华为云DevCloud为客户提供了从需求/规划到运维的多个服务。

自动化工具与安全无缝连接



代码托管服务是DevCloud为客户提供的稳定、安全的代码管理服务,该服务同时也支持了华为内部1100亿行的代码管理,多个安全可信的措施,多仓协同和高并发。代码分析和代码检查服务,也是华为自主研发的代码静态检查服务,沉淀了华为多年的高质量代码检查规则集,支持的语言多,标准多,同时提供了自动化辅助缺陷修复的特性。
代码构建服务,为客户提供了配置及代码的构建服务,支持丰富的构建语言和框架,同时通过多种技术实现10倍+的构建加速,并提供封闭的构建环境,保证构建阶段的可信安全。云测服务,为客户大规模、高并发、全流程的智能测试服务,提供测试管理、性能测试、API测试、移动测试等多种专业测试服务,并通过测试设计的智能化,测试执行的智能化和测试分析的智能化,提升测试的效率和拦截问题的比例。
同时,华为云在DevOps的基础上,陆续增加安全设计、安全合规、安全检查和安全防护的专业服务,通过服务化的接口和华为云DevCloud进行深度集成。同时,在已有的运行、运维安全的基础上,进一步全方面的加强网络安全、数据安全、应用安全与数据库安全,让云原生的应用生得安全,活得安全。
对于企业如何更好的实施DevSecOps,我们有以下几个实践:

  • 安全可信应该是每个人的责任,而不仅仅只是安全团队关心的事情。
  • 重视架构解耦,架构解耦,低依赖,安全风险和影响范围更可控。
  • 重视自动化和知识协同,不断提升效率,通过知识分享,组织和个人持续改进。
  • 努力打造全功能团队,团队自治,破除部门墙,对商业和用户负责。


安全可信+高效敏捷



从概念提出到现在,云原生所带来的敏捷、开放、标准化、轻量、松耦合与灵活的优势是企业数字化转型升级的基础必选项。面对日益严峻的安全威胁和安全影响,云原生加持下的DevSecOps理念和实践,将安全自动化内嵌到应用的全生命周期,在保证安全可信的同时,也依然能够发挥云原生所带来的高效与敏捷。

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/31558019/viewspace-2747164/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论

注册时间:2018-10-12

  • 博文量
    50
  • 访问量
    30806