建站
咨詢
售后
建站咨詢
新聞中心
應(yīng)用程序的快速交付并非安全的敵人，盡管現(xiàn)在看起來(lái)似乎如此。隨著企業(yè)持續(xù)采用云服務(wù)和基礎(chǔ)設(shè)施，安全卻逐漸被拋之腦后，這是不可取的——尤其是現(xiàn)在持續(xù)集成/持續(xù)交付流水線已成為攻擊者的主要目標(biāo)。
創(chuàng)新互聯(lián)于2013年開(kāi)始，先為信豐等服務(wù)建站，信豐等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為信豐企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問(wèn)題。
在應(yīng)用程序上線后僅僅掃描其安全漏洞是遠(yuǎn)遠(yuǎn)不夠的。安全的左移方法應(yīng)該在DevOps團(tuán)隊(duì)開(kāi)始開(kāi)發(fā)應(yīng)用和配置基礎(chǔ)設(shè)施的時(shí)候就啟動(dòng)，這樣就可以在漏洞影響范圍更廣和修復(fù)成本更昂貴之前解決它們。這就是 DevSecOps 的核心原則。
通過(guò)安全左移，企業(yè)可以在用戶受到影響之前識(shí)別錯(cuò)誤配置和其他安全風(fēng)險(xiǎn)。云計(jì)算在實(shí)現(xiàn) DevOps 方面發(fā)揮了很大作用，因此保護(hù)云環(huán)境和工作負(fù)載可以捍衛(wèi) CI/CD 流水線的安全，最終保護(hù)客戶的安全。
以下是 DevOps 團(tuán)隊(duì)在進(jìn)行安全左移時(shí)應(yīng)該考慮的5個(gè)重要安全任務(wù)：
1、 與安全團(tuán)隊(duì)協(xié)作。安全左移是一個(gè)重大改變。除了設(shè)置合理的流程以及使用合適的工具之外，企業(yè)必須重新思考他們的運(yùn)作方式，在 CI/CD 流水線中更早地引入軟件測(cè)試流程、工具以及相關(guān)專業(yè)知識(shí)。DevSecOps 并不是簡(jiǎn)單地將安全責(zé)任塞給開(kāi)發(fā)人員，而是改變角色和期望，并結(jié)合使用合適的工具，實(shí)現(xiàn)安全和開(kāi)發(fā)的平衡。安全從開(kāi)發(fā)周期的開(kāi)始就應(yīng)該擁有比較高的優(yōu)先級(jí)，而不是在 SDLC 后期才開(kāi)始重視。
2、 實(shí)現(xiàn)頻繁的自動(dòng)化測(cè)試。安全左移需要盡早且頻繁地測(cè)試，通過(guò)自動(dòng)化的代碼測(cè)試，開(kāi)發(fā)人員在工作時(shí)就會(huì)收到安全問(wèn)題的提醒，這樣他們能夠在軟件進(jìn)入生產(chǎn)環(huán)境前糾正問(wèn)題。掃描漏洞的自動(dòng)化工具可以降低人工測(cè)試中可能出現(xiàn)的人為錯(cuò)誤的機(jī)會(huì)，并擴(kuò)大了覆蓋范圍，以檢查更多的軟件。代碼在開(kāi)發(fā)過(guò)程中的每個(gè)階段都會(huì)被掃描，因此到 SDLC 后期不會(huì)積壓大量待審查的代碼。
安全左移的策略需要將一個(gè)或多個(gè)工具集成到 CI/CD 流水線中以尋找已知的漏洞以及識(shí)別其他安全問(wèn)題。通常會(huì)使用的工具類型包括靜態(tài)應(yīng)用安全測(cè)試（SAST）、動(dòng)態(tài)應(yīng)用安全測(cè)試（DAST）、交互式應(yīng)用安全測(cè)試（IAST），密鑰檢測(cè)和軟件成分分析（SCA）。當(dāng)然，在決定將哪些新工具引入你的流程之前，你應(yīng)該首先評(píng)估你現(xiàn)有的工具。
3、 在流程中進(jìn)行滲透測(cè)試。雖然自動(dòng)化測(cè)試是 DevSecOps 的必備條件，但僅靠自動(dòng)化仍然可能存在無(wú)法發(fā)現(xiàn)的潛在問(wèn)題。例如滲透測(cè)試等手動(dòng)安全評(píng)估可以通過(guò)模擬網(wǎng)絡(luò)攻擊來(lái)檢查應(yīng)用程序的安全性。這類額外的測(cè)試可以將安全風(fēng)險(xiǎn)降到最低并且可能捕捉到自動(dòng)化測(cè)試無(wú)法檢測(cè)到的問(wèn)題。
在進(jìn)入生產(chǎn)環(huán)境之前，請(qǐng)一位安全工程師來(lái)幫助你審查軟件并進(jìn)行滲透測(cè)試以確保所有潛在的問(wèn)題都已經(jīng)得到緩解。與其在被攻擊者利用之后才知道漏洞的存在，不如直接覆蓋所有的基礎(chǔ)代碼并對(duì)其進(jìn)行額外的測(cè)試。
4、 保證你的軟件是最新的。始終采用最新版本的軟件是網(wǎng)絡(luò)安全的核心。開(kāi)發(fā)人員必須確保他們所使用的軟件（操作系統(tǒng)、應(yīng)用程序框架以及第三方庫(kù)等）保持在最新版本，這意味著安全補(bǔ)丁也處于最新?tīng)顟B(tài)。無(wú)論是來(lái)自供應(yīng)商還是開(kāi)源社區(qū)的軟件，下載軟件更新是保護(hù)軟件安全的重要步驟。
5、 尋找安全培訓(xùn)的機(jī)會(huì)。開(kāi)發(fā)人員并非安全專家，但他們?cè)诎踩珣?yīng)用程序的生產(chǎn)中具有關(guān)鍵作用，因此開(kāi)發(fā)人員也應(yīng)該了解安全編碼和測(cè)試的基本知識(shí)。隨著對(duì)軟件需求的攀升，開(kāi)發(fā)人員應(yīng)該考慮根據(jù)他們的具體角色和需求進(jìn)行安全培訓(xùn)。適當(dāng)?shù)呐嘤?xùn)和支持可以為你提供所需的背景信息，以產(chǎn)生即實(shí)用又安全的代碼。
談及軟件安全，沒(méi)有任何靈丹妙藥可以完全確保你的代碼永遠(yuǎn)安全無(wú)虞。通過(guò)采用這些實(shí)踐，您能夠發(fā)現(xiàn)更多漏洞并且在代碼部署前就打上補(bǔ)丁。
文章題目：想低成本保障軟件安全？五大安全任務(wù)值得考慮
路徑分享：http://www.5511xx.com/article/dhhpesi.html
