资源文章：将安全融入DevOps环境
执行摘要
在许多组织中，DevOps与安全工作相互独立。随着开发和部署速度加快，安全控制往往到后期才被考虑。不过，DevSecOps倡导尽早将安全融入流程，实践证明这种做法正在带来成效。
什么是DevOps？
DevOps是一套实践方法，通过打破软件开发与IT运维之间的壁垒来实施持续集成流程。
传统上，许多组织按职能划分团队，以便在基础设施中开发、部署和治理应用。然而，为加快创新和业务数字化转型，组织不断提速开发和发布新功能。安全往往到后期才被考虑，这会降低质量，并导致许多客户不满。在开发周期接近尾声时更改应用代码，不仅成本极高（因为需要额外测试和重新认证），还会加深一种普遍看法，即“安全拖慢了我们的进度”。
随着开发周期不断缩短，开发团队采用更多敏捷方法来加快软件发布，DevOps持续集成旨在提高发布频率，让更多新功能更快推向市场。关键在于速度。
“持续集成的目标是更快、更频繁地发布软件，并将更多新功能推向市场。关键在于速度。”
如何在DevOps流程的早期阶段集成安全措施？
在软件开发生命周期的早期采用安全最佳实践，可以显著降低成本并提高效率。然而，在许多组织中，安全团队仍然各自为政，就像DevOps兴起之前开发团队和运维团队彼此孤立一样。因此，一种更新的实践应运而生，将安全融入持续集成和持续部署流程，即DevSecOps。
DevSecOps日益普及，很大程度上得益于一种称为“左移”的方法。“左移”是指软件开发团队从一开始就专注于编写稳健的代码。这种方法使安全工作不再只是被动把关，而是更多地发挥预防作用。安全团队为开发团队提供指导和支持，并尽早将安全自动化融入持续集成和持续交付（CI/CD）开发流水线。
在DevSecOps环境中，安全是共同责任。这有助于加强协作和反馈，打破开发、运维与安全团队之间的壁垒，从而以更低的成本和更高的效率加快功能上市。
提升规模和效率的5种方法
即使安全是共同责任，安全团队也不能指望开发人员立即成为安全专家，并在第一次遇到机会时就做出正确的安全控制决策。与DevOps一样，DevSecOps也是一种理念，需要改变应用开发和部署方式背后的文化。不过，如果安全团队重点关注以下五个方面，就能降低成本、提高效率并增强扩展能力：
01
安全左移
并尽可能在开发生命周期的早期将安全融入流程。
02
让安全路径更易用
重点提供打包式、无摩擦的安全控制，并将其内置于开发人员的CI/CD流水线中。
03
打破壁垒
加强开发、运维和安全团队（应用开发、DevOps和SecOps）之间的协作与反馈。
04
培养安全倡导者
在开发团队中培养安全倡导者，让团队始终重视安全。
05
创建构建流水线
在开发人员使用的同一工具中集成安全控制和测试。这样可以自动、一致地应用控制措施，开发团队无需在每次发布新版本时都依赖安全团队。
相关内容
网络研讨会
如何在DevOps环境中集成安全机制
了解Advanced WAF如何帮助应对不断演变且日益复杂的攻击，同时跟上现代应用开发的速度。
解决方案
应用安全
F5可在任何架构中提供应用保护，抵御多种不断演变的攻击类型。