19、软件安全与DevSecOps：挑战、实践与优化

软件安全与DevSecOps：挑战、实践与优化

1. 安全的权衡与挑战

软件团队在安全方面面临着诸多挑战，常见导致安全工作放缓的因素有以下四点：
- 缺乏责任感 ：开发者和运维团队成员常不认为自己对应用程序的安全状况负责，将安全视为阻碍业务增长的因素，把安全合规工作留给专业人员。然而，只有当安全成为团队的共同责任，大家协作识别和解决问题，软件交付过程才不会因安全问题受阻。
- 软件交付的最后一步 ：传统上，软件团队采用瀑布模型开发功能，临近上线时将其交给安全团队。这种大规模发布方式难以准确识别新代码带来的所有安全风险，手动测试耗时，导致软件开发和发布速度不一致。作为DevSecOps从业者，需关注此类瓶颈，避免团队效率降低。
- 应用架构的快速演变 ：近年来，单体应用向微服务架构转变，产生了大量API，增加了安全调查和审批的负担。微服务间的通信需要管理大量证书，容器化成为常见选择，但也带来了新的安全挑战。
- 过时的安全工具 ：安全专业人员习惯使用的工具可能跟不上软件开发的创新速度。安全不仅要跟上开发者采用的新工具，还要不断关注新的攻击面，可能需要寻找新的安全工具、采用第三方云安全软件或开发定制解决方案。

2. 什么是DevSecOps

DevSecOps是将安全测试集成到软件交付生命周期各个阶段的实践，是DevOps方法的扩展。它通过工具和流程促进开发、运维和安全团队之间的协作，确保软件制品不仅在操作上高效，而且在任何时候都能安全发布到生产环境。与DevOps不同，DevSecOps强