28、DevOps安全考量：风险识别与应对策略

DevOps安全考量：风险识别与应对策略

1. 安全团队的重要性

在企业引入DevOps时，安全团队常被应用交付团队忽视，如同足球比赛中门将的重要性易被低估。球迷往往更关注进攻球员，而对防守球员的价值认识不足。同样，应用交付团队为追求快速交付新功能，常将安全团队视为创新和变革速度的阻碍。然而，从业务成果来看，应用交付团队持续交付功能和安全团队保障安全同等重要，二者目标一致，只是角度不同。

DevOps采用小批量功能的持续交付和测试方法，安全团队可借此降低安全风险。通过对小版本功能的持续保障，能在生命周期早期发现安全漏洞并及时缓解。安全团队在审查和保障DevOps应用交付流程时，还需与开发和运维团队协作，确保DevOps交付管道和流程的安全。将安全纳入DevOps生命周期，可使应用和系统的安全保障成为整个交付过程的一部分，而非事后步骤。

2. 安全相关风险及应对措施

企业使用软件时面临多种安全风险，这些风险适用于各种软件开发方法。在DevOps项目中，由于其流程简化和高度自动化，需持续检测和响应这些风险。
- 供应链相关漏洞
- 风险描述 ：软件项目引入外部组件形成供应链，其安全特性会影响项目软件安全。DevOps开发团队为追求灵活性，可能选择强调功能和集成性而忽视安全的组件。
- 应对措施 ：采用持续测试，在交付周期各阶段进行测试，包括组件安全测试和代码审查。通过对小批量组件的持续测试，可减轻风险并加快漏洞识别。
- 内部人员攻击
- 风险