数据泄露的警示
根据Verizon的研究显示，去年约有58%的企业遭遇了数据泄露事件，其中41%的事件是由软件漏洞引起的。这种安全事故不仅可能导致企业遭受数百万美元的经济损失，还会严重损害其市场声誉。
现代应用开发中的安全挑战
当今，应用程序开发方法已经发生了重大变革。许多组织采用DevOps原则和工具进行应用软件的开发。在DevOps模式下，应用程序并非一次性交付，而是通过迭代的方式进行开发和发布，有时甚至达到每日发布的频率。然而，如何在如此频繁的发布中发现潜在的安全问题，并非易事。因此，安全成为DevOps流程中至关重要的一个环节。
参与应用程序开发的每一个团队，包括开发、测试、运维和生产团队，都有责任采取必要的安全措施，确保应用程序不存在可能导致安全漏洞的缺陷。本文将探讨在安全的应用开发和部署中，DevOps的最佳实践。
实施 DevSecOps 模型
DevSecOps是DevOps领域中日益流行的概念，已成为许多IT组织安全实践的核心。顾名思义，它融合了开发（Development）、安全（Security）和运维（Operations）三个环节。
DevSecOps的核心是在DevOps生命周期中集成安全工具，这意味着安全性必须从应用开发的初期就成为其组成部分。将安全融入DevOps流程不仅能帮助组织构建更安全的应用，还能有效弥合开发、运维和安全团队之间的隔阂。
在实施DevSecOps模型时，以下几点至关重要：
- 在开发集成管道中引入安全工具，如Snyk和Checkmarx。
- 所有自动化测试都应由安全专家进行评估。
- 开发和安全团队应协作建立威胁模型。
- 安全需求应在产品待办事项中占据优先位置。
- 在部署之前，必须全面审查基础设施的所有安全策略。
小规模代码审查
代码审查应以小规模的方式进行，避免一次性审查庞大的代码块。逐行审查代码，能够更有效地发现潜在问题。
实施变更管理流程
实施有效的变更管理流程至关重要。
在应用程序已经进入部署阶段后，应避免开发人员随意添加或修改代码。此时，变更管理流程是确保流程规范的关键。任何对应用程序的修改都应经过变更管理流程的审批，获得批准后方可执行。
持续评估生产中的应用
许多组织在应用程序投入生产后，往往会忽视其安全性。然而，持续的评估和安全审查至关重要。应定期审查代码并执行安全测试，以确保没有引入新的安全漏洞。
可以利用持续安全软件，例如Invicti, Probely和Intruder。
安全培训
应对开发团队进行安全最佳实践培训。例如，确保新加入的开发人员了解SQL注入等常见的安全威胁，以及它们可能对应用程序造成的危害。通过安全培训，开发团队可以及时了解最新的安全规范和最佳实践。
网络安全领域有很多值得学习的课程。
制定并实施安全流程
安全需要流程的支持。组织应制定具体的安全流程并加以实施。在实施过程中，可能需要根据实际情况进行调整。但无论如何，都必须确保安全流程在实施后受到持续的监控和审计。
实施并执行安全治理
要在组织中有效实施DevOps安全最佳实践，建立和执行治理策略至关重要。这些策略必须清晰透明，所有参与应用程序开发的团队，包括开发、安全和运维团队，都必须严格遵守。同时，需要定期监控员工是否遵守这些治理策略。
安全编码标准
开发人员通常专注于实现应用程序的功能，而忽略了安全参数。然而，随着网络威胁的增加，确保开发团队在编码时了解安全最佳实践至关重要。他们应了解可以帮助识别代码漏洞的安全工具，以便及时修复问题。应在DevOps流程中引入安全自动化工具，以减少手动工作。通过代码分析、密钥管理、配置管理和漏洞管理等自动化工具，可以更轻松地开发安全产品。
实施漏洞评估
在将应用程序部署到生产环境之前，应实施漏洞评估，以识别并消除潜在的漏洞。应定期进行此项工作。开发团队需要根据漏洞评估的结果修改代码。可以使用多种漏洞扫描和管理工具来发现应用程序中的弱点。
实施配置管理
配置管理也至关重要。配置管理包括变更管理过程、应用程序的配置、发生的变更以及授权和批准这些变更的人员。确保所有这些方面都得到有效管理。
实施最小权限模型
DevOps安全最佳实践的关键原则之一是最小权限模型。切勿给予任何超出其工作需要的权限。例如，如果开发人员不需要ROOT或管理员访问权限，则应仅分配普通用户权限。
隔离 DevOps 网络
在组织中应用网络分段。应用程序、服务器和存储等资产不应在同一网络上运行。对于每个逻辑单元，都应建立单独的网络。例如，开发环境和生产环境应在不同的网络上运行，彼此隔离。也可以采用零信任网络解决方案。
使用密码管理器
切勿将凭据存储在Excel中。应使用集中式密码管理器。在任何情况下都不应在用户之间共享个人密码。最好将凭据存储在一个安全且集中的位置，只有授权的团队才能访问和使用这些凭据进行API调用。
实施审计和审查
应持续实施审计和审查。定期对应用程序的代码、安全流程环境以及处理的数据进行审计。
结论
以上是一些关键的DevOps安全最佳实践。在DevOps流程中实施安全实践将为组织节省大量资金。因此，应立即开始实施这些安全实践，以确保应用程序的安全和更快速的发布。