17、深入理解 DevSecOps：从概念到实践

深入理解 DevSecOps：从概念到实践

1. DevSecOps 基础概述

在企业软件开发与部署的流程中，安全是至关重要的一环。传统的 DevOps 注重开发与运维的高效协作，以加速新应用和功能的开发与部署。然而，这种对速度和敏捷性的追求可能会带来安全风险，例如代码未经充分测试就被推向生产环境。

1.1 安全融入 DevOps 的必要性

安全应从 DevOps 周期的起点——代码仓库的访问开始。企业在采用 DevOps 时，希望尽可能自动化开发、测试和部署过程。但如果在这个过程中忽视安全，可能会导致严重后果。例如，开发人员从仓库中获取代码并进行开发，在开发环境中代码运行正常，但在部署到生产环境时，可能需要与生产系统建立连接，这就需要打开特定的路由和防火墙端口。而防火墙规则的设置通常需要安全工程师进行评估和批准，这可能会减慢整个 DevOps 流程。但绕过这一步骤是不可取的，因为这会增加代码和系统的攻击面。

1.2 DevSecOps 的起点

• 基于角色的访问控制（RBAC） ：在代码从仓库中被拉取时，就应应用 RBAC 模型。该模型定义了谁可以访问仓库以及访问的级别。例如，一个身份可能只被允许查看代码，或者被授予完全访问权限，包括拉取、更改和添加代码。需要注意的是，这里的身份不仅可以是人员，还可以是 DevOps 工具。
• 代码扫描与测试 ：在整个 DevOps 周期中，代码需要不断进行审查、扫描和漏洞测试。例如，如果一个应用程序禁止访问互联网，但代码中显示了指向端口 80 的指针，这可能会被标记为风险。扫描、测试和验证