企业软件安全开发建设

最新推荐文章于 2025-10-23 09:19:05 发布

原创

最新推荐文章于 2025-10-23 09:19:05 发布 · 868 阅读

5 ·

CC 4.0 BY-SA版权

本文介绍了企业软件安全开发的三种路径，重点讨论了SDL和DevSecOps，并强调了安全左移的重要性。通过安全知识库、威胁建模、源代码扫描等工具，实现安全流程的整合，以降低成本并提高产品质量。同时，列举了多个开源工具在不同阶段的应用，为企业安全建设提供参考。

目前国内据我所知企业软件安全开发建设大致分为3类，一类走SDL路线，起源于微软，一类走DevSecOps,起源于Gartner 研究公司的分析师 David Cearley，“它是糅合了开发、安全及运营理念以创建解决方案的全新方法”。第三类无拘无束，走企业自己的路，SDL内容和DevSecOps内容都借鉴也都不走寻常路（基本还是原始管理方式加前两者的改进）。我这里介绍的参考了SDL和DevSevOps内容。

下图是DevSecOps的常见模型，

file

研究DevSecOps需要先理解DevOps是干啥的，DevOps（Development和Operations的组合词）是一种重视“软件开发人员（Dev）”和“IT运维技术人员（Ops）”之间沟通合作的文化、运动或惯例。透过自动化“软件交付”和“架构变更”的流程，来使得构建、测试、发布软件能够更加地快捷、频繁和可靠（引自维基百科）。说人话就是DevOps是让企业开发自己的软件更有产出，

file

但是Sec也是就是安全部分仍然相对独立在项目流程外，DevSecOps就是解决安全融入项目质量提高的过程。为什么要这么搞也很好理解——省钱，就目前历史教科书上对王朝统治者搞了啥动作大部分的解释都可以收束为——维护王朝统治，企业搞一切动作都要有个收益问题，之前安全部门不能和群众们打成一片就会影响效率，降低收益。