什么是 DevSecOps?系列(一)
什么是 DevSecOps?
「DevSecOps」 的作用和意义建立在「每个人都对安全负责」的理念之上,其目标是在不影响安全需求的情况下快速的执行安全决策,将决策传递至拥有最高级别环境信息的人员。
如今,网络空间中的诸多不安全因素使传统的安全领导可以力争在高管中占有一席之地。虽然拥有一席之地增加了安全决策的有效执行,但由于缺乏将安全技能融入到价值创造的过程当中,致使业务成果的显著减缓。没有足够的人手,企业经营者期望的速度无法实现,这种安全、资源和盈利的冲突使“安全”如何创造价值的解决方案显得越发必要。
考虑到业务对于 DevOps,敏捷和公共云服务的需求,传统安全流程中的很多环节已经成为障碍,必须消除,遗憾的是很多企业并没有到意识点。传统安全的运营是基于,一旦系统设计完成,其安全缺陷可以在系统发布前,由安全人员确定,并由企业经营者修正。这只需要有限的安全技能,就能达到结果,并且避免了在较庞大系统中增加安全上下文的需求。但是使用这种方式设计的流程只适用于瀑布模式的业务活动,并且经各方同意。不幸的是,随着迭代的引入,这样运营安全的方式是有缺陷的,并且在系统内带来了内在风险,因为业务决策需要平衡内联,并且跟上业务的速度。因此,无法实现协作。
通常,安全团队无法收集到需要的所有信息,去做出有意义的安全决策。为了提供能够密切映射客户需求的迭代值,价值创造流程不断加快。致使周期结束时的一次决策或者完整系统的测试都可能会带来毁灭性的结果。事实上,大多数这样的安全决策很少被采纳,经常被业务主管驳回,可一旦安全事件或泄露发生时,安全团队又首先遭到质疑。
随着 DevOps 的变化,传统安全不再是一种选择。在开发周期中,它的位置太靠后,而与迭代设计和系统发布相协作时,它又不够迅速。随着 DevSecOps 的引入,企业经营者或安全人员没有必要为了减少风险而遗弃它;相反的,企业内的每个人都应该利用它,并加以改进,那些拥有可以为系统贡献安全价值的技术人员更应该支持它。没有内置安全控制,肯定会发生系统故障,因为单纯的回避安全,只会给系统带来更多的风险。因此,认为价值创造和安全不能协作的想法是荒谬的。
DevSecOps 的理念使它成为协作系统,企业经营者可获得有助于安全决策的工具和流程,同时安全人员也可以使用和调试这些工具。在这种情况下,安全工程师与 DevSecOps 理念一致,作为安全从业者能够提供价值,并且为了能够给更庞大的生态系统提供安全价值,他们必须做出相应的改变。这样,DevSecOps 工程师为系统提供的价值,是一种持续监测的能力,在非合作攻击者发现缺陷前,打击和确认漏洞。因为这些改变,DevSecOps 工程师是外部攻击者的有力竞争对手。这允许所有人,包括安全人员,在业务生态系统内为迭代价值创造做出贡献,而不需要将严重缺乏的安全从业人员额外添加到DevOps团队。
而且,DevSecOps作为一种理念和安全转型,进一步与其他安全变革相协作。换句话说,无论你是不是相信安全需要被添加到开发,运营,或其他业务流程中,事实就是如此!安全需要被添加到所有业务流程中,并且需要创建一个专门的团队,理解业务,使用工具来发现缺陷,持续测试,而企业经营者则需要运用科学预测做出决策。更进一步,要完成完整的变革进程,DevSecOps需要高级管理层和董事会的参与,将信息作为业务运营的关键指标,在当今经济下,在竞争日益激烈的低信任环境中,证明自己的价值。
本文系 OneASP 工程师翻译。如今,多样化的攻击手段层出不穷,传统安全解决方案越来越难以应对网络安全攻击。OneRASP 实时应用自我保护技术,可以为软件产品提供精准的实时保护,使其免受漏洞所累。
本文转自 OneAPM 官方博客
什么是 DevSecOps?系列(一)的更多相关文章
- DevSecOps 实施篇!系列(二)
想在自己公司建立 DevSecOps 计划?没问题,企业规模无论大小,都可轻松实现.这里有5个基本的 DevSecOps 原则可以帮助你启动.当然,如果你对 DevSecOps 还不太熟悉,不妨先看看 ...
- Angular2入门系列教程7-HTTP(一)-使用Angular2自带的http进行网络请求
上一篇:Angular2入门系列教程6-路由(二)-使用多层级路由并在在路由中传递复杂参数 感觉这篇不是很好写,因为涉及到网络请求,如果采用真实的网络请求,这个例子大家拿到手估计还要自己写一个web ...
- 【原】Android热更新开源项目Tinker源码解析系列之三:so热更新
本系列将从以下三个方面对Tinker进行源码解析: Android热更新开源项目Tinker源码解析系列之一:Dex热更新 Android热更新开源项目Tinker源码解析系列之二:资源文件热更新 A ...
- Angular杂谈系列1-如何在Angular2中使用jQuery及其插件
jQuery,让我们对dom的操作更加便捷.由于其易用性和可扩展性,jQuer也迅速风靡全球,各种插件也是目不暇接. 我相信很多人并不能直接远离jQuery去做前端,因为它太好用了,我们以前做的东西大 ...
- ABP入门系列(1)——学习Abp框架之实操演练
作为.Net工地搬砖长工一名,一直致力于挖坑(Bug)填坑(Debug),但技术却不见长进.也曾热情于新技术的学习,憧憬过成为技术大拿.从前端到后端,从bootstrap到javascript,从py ...
- 03.SQLServer性能优化之---存储优化系列
汇总篇:http://www.cnblogs.com/dunitian/p/4822808.html#tsql 概 述:http://www.cnblogs.com/dunitian/p/60413 ...
- Angular2入门系列教程6-路由(二)-使用多层级路由并在在路由中传递复杂参数
上一篇:Angular2入门系列教程5-路由(一)-使用简单的路由并在在路由中传递参数 之前介绍了简单的路由以及传参,这篇文章我们将要学习复杂一些的路由以及传递其他附加参数.一个好的路由系统可以使我们 ...
- Angular2入门系列教程5-路由(一)-使用简单的路由并在在路由中传递参数
上一篇:Angular2入门系列教程-服务 上一篇文章我们将Angular2的数据服务分离出来,学习了Angular2的依赖注入,这篇文章我们将要学习Angualr2的路由 为了编写样式方便,我们这篇 ...
- Angular2入门系列教程4-服务
上一篇文章 Angular2入门系列教程-多个组件,主从关系 在编程中,我们通常会将数据提供单独分离出来,以免在编写程序的过程中反复复制粘贴数据请求的代码 Angular2中提供了依赖注入的概念,使得 ...
随机推荐
- 设置checkbox选中,设置radio选中,根据值设置checkbox选中,checkbox勾选
设置checkbox选中,设置radio选中,根据值设置checkbox选中,checkbox勾选 >>>>>>>>>>>>&g ...
- Yii2查询语句使用不等于号
Yii2 Active Record查询条件使用不等于号,需要使用到 operator format: [operator, operand1, operand2, ...] 运算符格式: [运算符, ...
- JavaScript入门(8)
一.什么是对象 JavaScript中的所有事物都是对象.如:字符串.数值.数组.函数等.每个对象带有属性和方法. 对象的属性:反映该对象某些特定的性质的.如:字符串的长度.图像的长宽 对象的方法:能 ...
- 史上最全的phpstorm常用配置
取消自动保存并标识修改的文件为星星标记 1.取消自动保存 进入 File -> Settings -> General,取消下面两选项的勾选: 2.星星标记 进入 File -> S ...
- java面板
import java.awt.Color; import java.awt.Container; import javax.swing.JFrame; import javax.swing.JLab ...
- Spark:用Scala和Java实现WordCount
http://www.cnblogs.com/byrhuangqiang/p/4017725.html 为了在IDEA中编写scala,今天安装配置学习了IDEA集成开发环境.IDEA确实很优秀,学会 ...
- vc静态加载dll和动态加载dll
如果你有a.dll和a.lib,两个文件都有的话可以用静态加载的方式: message函数的声明你应该知道吧,把它的声明和下面的语句写到一个头文件中 #pragma comment(lib, &quo ...
- Android颜色大全
<?xml version="1.0" encoding="utf-8"?> <resources> <color name=&q ...
- Jquery on 事件
$(document).on("click", 'a.AAA', function(){ var flag=$(this).attr('flag'); alert(flag); } ...
- 禁用浏览器缓存Ajax请求
$.ajax({ url: 'url.php', cache: false, success: function(data){ //..... } }); 仅Get有缓存, Post不会缓存