DevSecOps在软件开发生命周期(SDLC)的所有阶段融合了开发(Dev)、安全(Sec)和运维(Ops)。它将安全检查合并到开发过程中，并在开发、安全和运维团队之间架起桥梁。

通过DevSecOps实践，可以构建更安全的环境，使持续集成和交付管道更安全，并生成高质量的软件。通过在管道的早期整合安全性，组织可以实现更高的生产力。目前DevSecOps已经不是一种选择，而是变得非常必要。

什么是持续安全测试?

持续的安全测试确保在SDLC的每个阶段都进行安全测试。其目的是通过在软件投入生产之前发现其风险、威胁和安全隐患，保护应用程序免受潜在威胁和漏洞的侵害。

传统的安全测试检查算法在特定时间点是否正常工作。相比之下，持续安全测试在应用程序的整个生命周期中持续检测和修复安全漏洞和漏洞。

持续的安全测试可评估基础架构、应用程序和端点是否存在攻击者可能利用的漏洞。它是持续测试的扩展，不断检查代码和第三方库是否存在已知或新发现的安全问题。

工具可以帮助人员在应用程序中自动执行安全检查。有几个选项可用于服务于开发、集成和部署过程的不同阶段。

定期运行安全测试可确保遵守行业标准。更重要的是，它迫使开发人员在其代码中实施安全保护措施，以长期阻止潜在的安全威胁。

在 DevSecOps 中集成安全测试的常见做法

运行自动安全检查

DevSecOps 的一个关键要素是在 SDLC 过程中自动执行安全检查。这样做可以在早期阶段检测漏洞，此时修复问题更容易、更快捷。自动安全检查在后台工作，因此开发人员可以专注于其应用程序的其他元素。这类似于有一双额外的警惕的眼睛来发现潜在的危险。

无论选择哪种软件，自动化工具都可以在构建过程中或其他合适的点扫描代码以查找实时漏洞。即时反馈使团队能够在问题成为重大问题之前解决问题，从而确保代码库的安全性。

集成代码审查

代码审查是敏捷开发团队中常用的方式。将代码审查与漏洞扫描工具集成，可提供有关源代码安全漏洞的即时反馈。

提高安全意识

理想情况下，组织已经进行培训，帮助最终用户和开发人员认识到应用程序和业务实践可能使他们容易受到攻击的方式。定期培训可以让开发人员了解新的威胁，并鼓励团队之间的信息共享。他们知道的越多，就能更好地识别潜在的安全威胁，并快速有效地做出反应。

持续监控

应用程序投入生产后会发生什么?持续监控包括通过关注日志、事件和网络流量来监控应用程序，防范潜在的实时安全威胁。可以帮助组织立即发现可能的威胁，从而防止或至少快速响应安全漏洞。

威胁建模

威胁建模是及早识别潜在安全威胁的做法——不仅仅是代码中的内容，还有外部试图做什么来获得访问权限或利用弱点。通常，需要在工具的帮助下，通过检查应用程序的设计和架构来检测潜在的攻击向量。

链接：

https://devops.com/an-overview-of-continuous-security-testing-processes-for-devsecops/