什么是 DevSecOps？
DevSecOps 的定义
DevSecOps 表示开发、安全和运维，通过 DevSecOps 这种方法，团队会从软件开发流程的一开始就处理安全性。DevSecOps 方法将自动化、知识共享文化和平台设计实践结合到一起，从而将安全性融入到整个 IT 生命周期中。其目标是在团队之间培养对安全性的共同责任感，并更快速地精简漏洞的识别和修复流程。
通过分享可见性、反馈和已知威胁（例如潜在恶意软件和数据泄露），DevSecOps 能够帮助从开发到生产的所有团队重视安全性。
DevSecOps 如何运作？
DevSecOps 的运作过程是：自动完成将安全性集成到软件开发周期每个阶段的过程。它会将应用程序和基础架构安全性集成到敏捷和 DevOps 软件开发所使用的流程和工具中。
敏捷开发是一种迭代式的增量型开发方法，专注于团队协作。DevOps（表示开发和运维）这种方法的目的是：通过使用 CI/CD（持续集成，持续交付/部署）周期来完成交付管道的自动化，进而优化工作流。
敏捷和 DevOps 都是流程优化驱动型方法，目标是加快交付周期，确保频繁发布增量型版本，保证持续的反馈环路，并减少延迟。将安全性融入到软件开发周期的初始阶段（以及后续的每个阶段）后，我们就实现了 DevSecOps。
文化转变
DevSecOps 纳入安全性的方法是：在组织层面上，让安全性成为每个人的责任。由于 IT 运维团队、开发团队和安全团队在协同工作，所以 DevSecOps 支持实现安全软件交付的自动化：“更快速、更安全地交付软件”。
通过将安全考量“左移”（亦即移至开发周期的开始阶段），DevSecOps 能确保尽早发现并修补安全漏洞，从而预防后期和生产阶段出现更严重的问题。
自动化
DevSecOps 使用自动化来完成安全测试、漏洞评估和部署流程。为了完成自动化，DevSecOps 会使用自动化工具来对代码、配置和基础架构进行扫描。自动化能够确保全面可见性，提高效率，加速交付，并支持以一致且可重复的方式进行安全检查。
流程
DevSecOps 会在开发流程的每个阶段都实施安全措施。团队是通过下列方式来实现这一点的：
- 自动化测试：会在开发和部署的每个阶段都进行自动化安全测试，从而确保产品或软件能够一直保持安全。
- 持续监测：在周期中的每个阶段，安全团队都会监测代码中的漏洞。
- 反馈闭环：通过一个能打破开发、运维和安全团队之间孤岛的协作性环境，开发团队得以快速解决安全问题。
为什么 DevSecOps 很重要？
DevSecOps 之所以很重要，是因为随着公司以更快的节奏在更复杂的环境中生产软件，软件出现安全瑕疵的几率会呈指数级增长。发布代码的速度加快会导致下游出现更多的安全漏洞。
云原生技术不适用于静态安全策略。它们的架构和组件（无服务器、微服务，以及微服务中的容器）虽然会为开发人员提供更多灵活性，但从安全角度来看也意味着更加复杂。云安全的重要性，越来越有必要比之前更快速地迭代这一事实，以及越来越多的网络安全顾虑，都意味着 DevOps 被迫要进行调整。正是由于这一新的开发形势，DevSecOps 才变得富有价值且十分必要。
此外，由于 DevSecOps 能够提高效率并确保更出色的软件安全性，所以它对用户也很重要。更快地交付更安全的软件，有助于提高客户满意度，进而对利润产生积极影响。DevSecOps 不仅通过支持更加主动的安全立场来精简合规性，它还能向客户展示安全性对于所提供的服务或产品至关重要。
DevSecOps 的优势
DevSecOps 有益于开发生命周期中的多个阶段，更进一步，还能对客户满意度产生积极影响。部分主要优势包括：
- 改善安全态势：DevSecOps 安全态势本质上是主动的。通过将安全性融入到流程中的每个阶段，DevSecOps 支持团队尽早识别并解决安全漏洞，以免这些漏洞在后期造成耗费时间且可能代价不菲的问题。主动的安全性方法能够降低发生破坏性甚至可能是毁灭性的数据泄露和网络攻击的风险。
- 更快速地响应威胁：通过采取主动方法，DevSecOps 可以尽早消除安全漏洞，从而减少软件或应用程序在上线时可能遇到的威胁数量。这能够精简安全流程并支持团队更快速地响应威胁。不仅如此，由于自动化有助于尽早检测和缓解风险，所以它还能确保团队快速部署补丁或更新，将攻击窗口期缩至最短。这能确保实现安全的集成和部署/交付周期。
- 打破孤岛：DevSecOps 鼓励并推动开发、安全和运维团队之间的协作。这一协作意味着团队能够打破孤岛，从而有助于实现共同目标：快速、安全且成功地交付软件。
- 提高可见性：对于当今复杂的混合式云原生技术堆栈而言，实现正常运行和高效的关键是整体可见性或可观测性。在开发流程中的每个阶段，都要从功能、应用程序性能、资源利用情况和安全视角获得更好的可见性，这对于成功的可观测性解决方案而言至关重要，进一步而言，这对于实现健康、优化且安全的数字环境也十分关键。
- 合规性：DevSecOps 将合规性检查融入到开发管道中。这一做法可确保组织在流程中的每一步都遵守特定地点的法规和标准。
- 缩短面市时间：通过将安全性融入到 DevOps 周期中，DevSecOps 消除了传统的安全瓶颈；当在开发过程的后期才考虑安全性时，就会出现安全瓶颈。而且，由于在 DevSecOps 中使用自动化，这也降低了人工干预的必要性。结果就是：更快地向市场上推出产品和更新。DevSecOps 所实现的更短的面市时间和主动安全性还有助于节省成本。更快地完成部署意味着效率和生产力的提升，而主动安全性则能确保减少安全漏洞、中断事件和紧急修复。
- 系统弹性和自适性流程：通过有助于识别并解决漏洞的持续监测和测试，DevSecOps 有助于构建系统弹性。由于 DevSecOps 是一个可以随公司发展而逐渐成熟的自适性流程，所以它可进一步提高系统弹性。弹性系统指可在应对威胁的过程中演变并能按需扩展的系统。
DevSecOps 所带来的挑战
虽然 DevSecOps 有诸多优势，但是实施起来可能会遇到一些挑战。
获得团队的支持
DevSecOps 不仅是一项新工具，还是一种文化转变。任何文化转变都会遇到阻力，尤其是当这一转变会影响团队业已习惯的工作方式的时候。DevSecOps 旨在打破孤岛，这需要运维和开发团队接受这一理念：安全性也是他们的问题和责任。
获得团队支持之所以很难，另一原因是需要培养新的技能组合。开发和运维团队需要学习安全技能，而安全团队也需要学习开发和运维技能。这可能会耗费大量资源，某些组织可能会难以找到或培养人员来学习这些新技能。培训和教育是成功实施 DevSecOps 的关键因素。
集成新技术
自动化对 DevSecOps 很重要；要想实现自动化，就需要使用新工具集来进行安全测试和监测。这些工具要能够兼容当前环境，而这对于 IT 决策者和他们的团队而言，都需要耗费大量时间和资源。自动化也需要时间。要想拥有成功的 DevSecOps 工作流，必须先完成自动化的配置和测试，然后还要加以维护。与工具集成很相似，自动化需要额外的技能组合或需要对团队进行重组，而这对于某些组织而言可能是个挑战。
实现合规
尽管长远来看合规性是 DevSecOps 的一项优势，但要在实现合规的同时不牺牲敏捷性却的确是个挑战。这需要更高层面的专业知识，或者需要团队有更大的提升，因为只有这样才能在确保合规性的同时保持敏捷性。
尽管这些挑战可能会让组织心生怯意，不愿意采用 DevSecOps，但这些挑战也在激励着团队采用这一方法。需要实现跨团队协作来克服和解决这些挑战，这对于成功采用 DevSecOps 和成功实施工作流而言都至关重要。
DevSecOps 与 DevOps 的对比
DevOps 代表开发和运维，指的是这样一种全面文化：打破开发和运维之间的传统孤岛，从而更快地部署产品和更新，提高跨团队协作水平，进而打造更高效的整体工作流。
DevSecOps 打破了与安全团队之间的另一座孤岛，为 DevOps 协作文化又添加了一个分支。虽然在 DevOps 中，安全性被单独置于开发的最后阶段，但是在 DevSecOps 中，安全性从一开始便被集成到流程中，并一直贯穿整个开发周期。
有关选择 DevSecOps 工具的五点建议
虽然市面上有诸多针对 DevSecOps 的工具，但是在选择适用于贵组织的工具时，您需要考虑特定功能。
- 寻找能够与您的现有系统和工作流无缝集成的工具。
- 寻找能够针对您的日志、指标、应用程序性能和安全性提供全面可观测性的工具。
- 寻找能够监测、测量和分析您 CI/CD 管道的每一步骤的工具。
- 寻找能够保护、监测并报告部署和容器编排情况的的工具。
- 寻找能够让您按需进行扩展的工具。
DevSecOps 最佳实践
要完全收获 DevSecOps 的全部优势，可以考虑下列最佳实践，从而将安全性融入到您的开发和运维工作流中。
左移
这是 DevSecOps 的信条，也是准则。通过将安全性移至开发流程的开始阶段，确保它成为工作流中不可或缺的一部分，并被纳入到整个开发流程中。
将安全性左移后，团队就能尽早发现和解决漏洞，从而防患于未然。最终结果就是，开发团队在构建应用程序时，会考虑如何为应用程序实施安全措施。
实施跟踪、审计和监测
要想成功实施 DevSecOps 流程，实施可追溯性、可审计性和可见性十分关键，因为这能够带来更深入的洞察。更深入的洞察可以提供行之有效的信息，以提高系统效率、弹性和整体生产力。跟踪信息虽然主要用于故障排查，但对于在应用程序开发过程中保证代码安全性和确保遵守法规要求，跟踪信息也发挥着重要作用。
要想实现合规，对技术、程序和行政安全控制措施进行审计至关重要。拥有记录完备并且所有团队成员都严格遵守的控制措施十分关键。
监测对于 DevSecOps 环境十分重要。对于安全性而言，拥有跨系统的全生命周期可见性至为关键。通过实施告警，还能确保团队担责，支持更快地响应问题，并整体上帮助团队理解彼此工作的相互影响。
考虑人员、流程和技术
实施 DevSecOps 要从人员开始，也就是从文化开始。教育是改变文化的关键，要为您团队中的人员赋能，让他们支持 DevSecOps。成功转型需要强大且优秀的领导能力。
思维的转变能带来流程的改变，而流程改变对于将安全性左移是很有必要的。要想实施 DevSecOps 流程，还需要使用新工具并实现更多的自动化。
培训、培训、培训
采用 DevSecOps 战略的部分工作就是提供卓越的培训。开发人员不一定拥有安全技能；安全人员也不一定拥有开发技能。教育，无论是从文化和价值观的角度来看，还是从技能、知识和工具的角度来看，都能确保在任何组织成功实施 DevSecOps。
借助 Elastic 实现 DevSecOps
DevSecOps 和 Elastic 密不可分。通过使用其 ELK 技术栈，Elastic 能够将您的所有数据统一到一起，以帮助您监测系统并进行故障排查，进而支持 DevSecOps 更加高效地开展协作。