建站
咨詢
售后
建站咨詢
新聞中心
為了讓在過渡期間的系統(tǒng)免受網(wǎng)絡(luò)威脅，您需要將安全性與DevOps進行完美集成。
“專業(yè)、務(wù)實、高效、創(chuàng)新、把客戶的事當成自己的事”是我們每一個人一直以來堅持追求的企業(yè)文化。 創(chuàng)新互聯(lián)是您可以信賴的網(wǎng)站建設(shè)服務(wù)商、專業(yè)的互聯(lián)網(wǎng)服務(wù)提供商! 專注于成都網(wǎng)站設(shè)計、成都網(wǎng)站制作、軟件開發(fā)、設(shè)計服務(wù)業(yè)務(wù)。我們始終堅持以客戶需求為導(dǎo)向，結(jié)合用戶體驗與視覺傳達，提供有針對性的項目解決方案，提供專業(yè)性的建議，創(chuàng)新互聯(lián)建站將不斷地超越自我，追逐市場，引領(lǐng)市場！
隨著DevOps實踐在云基礎(chǔ)架構(gòu)環(huán)境中日益流行，使得軟件開發(fā)團隊比以往任何時候都能更快、更高效地進行成果發(fā)布，但是安全性是被首要考慮的問題嗎?來自451 Research的一份報告顯示答案是否定的。
根據(jù)這份“在云時代重新聚焦安全運營”的報告顯示，36%的企業(yè)表示，他們明年的首要目標是更快地響應(yīng)業(yè)務(wù)需求，24%的企業(yè)表示要削減成本。相比之下，只有10.5%的受訪者表示將提高安全性作為他們的首要目標，在列出的選項中排名墊底。
這個問題似乎源于這樣一種誤解，即速度和安全性是相互排斥的，DevOps將安全性視為業(yè)務(wù)加速的阻滯，而不是穩(wěn)定因素。通過SecOps(Security Operations)的最佳實踐(我們將在下面進行討論)，盡早的將安全性融入DevOps過程中，是構(gòu)建長期可持續(xù)基礎(chǔ)設(shè)施的唯一方法，這些基礎(chǔ)設(shè)施將支持您的產(chǎn)品和團隊走向未來。
隨著組織遷移到公共云，這一點變得尤其明顯。因為在公共云中，敏捷開發(fā)意味著工作的發(fā)布速度將比以往更快。在您進行基礎(chǔ)架構(gòu)過渡時，以速度的名義犧牲安全性會讓您的組織面臨數(shù)據(jù)泄露的風(fēng)險以及由此造成的聲譽損害和財務(wù)損失，但是SecOps最佳實踐可以幫助您降低這方面的風(fēng)險。
將SecOps與DevOps進行集成
那么，SecOps到底是什么，當成功地與DevOps集成時，它又能發(fā)揮什么作用?與DevOps一樣，SecOps也是一種基于敏捷原則的軟件開發(fā)理念。SecOps還管理著軟件版本化的加速，能夠提高許多編程團隊的輸出，因此不需要擔心會與DevOps有沖突。SecOps通過自動化關(guān)鍵的安全任務(wù)，簡單地增加一層以前沒有的安全層。
為了實現(xiàn)這一點，SecOps培養(yǎng)了一種文化，在這種文化中，安全是組織內(nèi)每個人的責(zé)任，是主動戰(zhàn)略的一部分，而不是在事后進行補救。團隊之間的強大溝通是需要優(yōu)先被考慮的，以避免出現(xiàn)信息安全孤島以及一個團隊拖慢另一個團隊進度的情況。
最后，隨著組織開始將安全與DevOps相結(jié)合，解決網(wǎng)絡(luò)安全領(lǐng)域的人才短缺問題將顯得至關(guān)重要。根據(jù)451 Research的報告，培訓(xùn)現(xiàn)有員工學(xué)習(xí)新技能通常是組織中最受歡迎的方式。所以SecOps實踐是通過開發(fā)內(nèi)部資源來提升您的員工的理想方法。
SecOps的最佳實踐
很明顯，共享純文本密碼的公司不會在一夜之間就開始使用集中的訪問控制，但它們可以采取正確的步驟，放棄耗時的臨時流程，并盡可能地走向自動化。以下是在基礎(chǔ)設(shè)施的五個領(lǐng)域中可以采取的一些最佳實踐：
1.系統(tǒng)訪問和用戶
當涉及到系統(tǒng)訪問和用戶時，要遵循最少特權(quán)的原則。為了在這個領(lǐng)域?qū)崿F(xiàn)真正的安全成熟度，你需要將這個原則嵌入到你的工具和日常流程中去，即使你已經(jīng)將它建模到你的策略中了。系統(tǒng)地自動化和驗證用戶訪問策略可以讓您減少可能導(dǎo)致內(nèi)部威脅的人為風(fēng)險。
2.補丁和漏洞管理
你認為打補丁很簡單嗎?仔細考慮一下吧。根據(jù)威瑞森公司2017年的數(shù)據(jù)泄露調(diào)查報告，許多公司并沒有足夠的制度來做好這件事，這給了攻擊者足夠的時間來利用幾個月甚至幾年前的漏洞。為了在網(wǎng)絡(luò)犯罪分子之前發(fā)現(xiàn)漏洞，您的組織的補丁策略應(yīng)該是自動化的、標準化的和有彈性的，足以承受自動化的軟件更新。
3.基礎(chǔ)設(shè)施控制平臺(AWS控制臺/ API)
在云中進行操作時，API和管理控制臺的功能相當于對數(shù)據(jù)中心的訪問。然而，在云中僅保護您自己的數(shù)據(jù)中心將使您的API暴露出來。因此，在您遷移到公共云時，有必要改進您的安全方法，使用與數(shù)據(jù)中心相同級別的安全等級來操作管理控制臺和API。包括自動關(guān)閉對不安全的或潛在受損系統(tǒng)的訪問。
4.網(wǎng)絡(luò)
由于當下的環(huán)境比以往任何時候都更加復(fù)雜和更加具有聯(lián)通性，所以傳統(tǒng)的網(wǎng)絡(luò)安全控制將不再能解決這個問題。目前，許多安全和運營團隊正在限制具有網(wǎng)絡(luò)拓撲的系統(tǒng)之間的訪問，但是有必要將服務(wù)器按角色進行分組，并利用自動化來建立小型網(wǎng)絡(luò)路徑來模擬對等體之間的信任。此外，架構(gòu)應(yīng)該運行在廣域網(wǎng)上而不是局域網(wǎng)內(nèi)。因而，SecOps在此領(lǐng)域的成熟度意味著需要對身份驗證和授權(quán)機制進行建模，而不是簡單地依賴底層網(wǎng)絡(luò)拓撲來定義安全性。
5. 運行時和服務(wù)
考慮到運營和安全團隊都受益于運行時和軟件管理的標準化、持續(xù)集成和精簡的軟件開發(fā)生命周期，實現(xiàn)目標的一致性在這里應(yīng)該相對變得更容易了。一旦每個人都在同一個頁面上，基礎(chǔ)架構(gòu)和運行時環(huán)境就可以作為一個共享的實用程序發(fā)揮作用，從而允許工程師在這些公共結(jié)構(gòu)中進行創(chuàng)新。在不同的團隊中應(yīng)用相同的原則可以提高效率，并有助于將失敗的風(fēng)險降到最低。
結(jié)論
隨著網(wǎng)絡(luò)威脅的不斷增長，以及云中的基礎(chǔ)設(shè)施變得越來越復(fù)雜，讓DevOps從一開始就擁抱安全比以往任何時候都要更加重要。而SecOps的目標就是通過自動化盡可能多的安全任務(wù)，促進團隊之間的溝通，以及支持在擁有安全的同時保持敏捷的開發(fā)，并最終減輕將安全集成到開發(fā)和運營中的痛苦。
標題名稱：為什么需要強調(diào)DevOps在基礎(chǔ)架構(gòu)過渡期間的安全性
本文來源：http://www.5511xx.com/article/cooijij.html
