您现在的位置是:首页 > 百科经验 >
Devops团队的安全性预计将得到改善
在联合开发和运维以更快地交付更多代码之后,DevOps团队将处理安全性作为另一个需要克服的主要障碍。与DevOps过程相反,许多当前的安全控制要么没有完成,要么作为DevOps团队必须通过的门进行管理,而不是将过程集成在一起。
Gartner分析师预测,到2022年,向DevOps添加安全性的团队数量将从目前的40%增加到90%左右。对于将安全性集成到DevOps流程中的团队来说,有很多好处。通过了解应用程序面临的威胁,团队可以在适当的位置防范适当的风险,从而减少数据泄露、数据丢失和各种风险。尽管安全专家仍然可以监视软件的各个方面,但DevOps的一个重要原则是能够以一定的规模和速度进行操作,避免出现任意的组织和技术瓶颈。有益的安全工具与DevOps工具链的其他项目相一致,可以在任何时候提供持续的反馈:在编写代码时,通过CI/CD管道,并在代码在测试和生产环境中运行时监视和了解对代码的威胁。
希望了解如何提高安全性的团队可以利用在线可用的教育材料。提供各种免费培训课程来解释安全在DevOps中的作用:对经理的培训,对技术从业者的培训。培训安全指南项目经理Calvin Lo表示:“培训和安全教育是这个谜题的另一个关键部分。”“通过了解应用程序如何被黑客攻击的威胁和弱点,软件专业人员可以获得直接的专业知识,然后在第一时间防止许多常见问题的发生。”
Gartner路线图上的一个工具是交互式应用程序安全性测试IAST。IAST帮助团队理解和处理开发和测试期间的安全性,其方式与应用程序性能管理(APM)工具帮助团队理解性能的方式类似。APM工具(如New Relic、Dynatrace和AppDynamics)没有将代码发送给专门的性能团队以评估实验室中的独立测试,而是使用工具不断地监视应用程序中发生的事情,而不需要更改代码。因此,团队可以监控他们自己的数据,而不需要在性能工程领域进行专门的研究。使用诸如IAST之类的工具,团队可以利用工具来发现安全缺陷,而不需要专门研究安全风险。因此,这些较新的DevOps工具可以通过查看诸如用户输入何时到达未经验证的SQL命令(SQL注入)、将XML解析器配置为向外部用户提供本地文件(XXE)以及许多其他类型的风险来定位安全缺陷。通过监视api中的代码,IAST分析程序还可以帮助将应用程序的流映射到其他资源,并作为自动威胁模型的基础。
DevOps极大地改善了团队交付软件的质量和性能。DevSecOps在安全性方面也有类似的好处,但是需要在文化、人员、流程和技术方面进行更改。成功的团队既将安全‘左’移到开发中,也将‘右’移到操作中,他们正在利用基于工具的方法,如IAST和RASP,而不是传统的由外向内扫描和防火墙。”
Jeff Williams是对比度安全的首席技术官,他提供了一个免费的IAST监视器。
其他值得注意的安全DevOps工具有:
帮助将安全性作为代码集成到DevOps中的其他工具包括:混沌工程、一种将故障恢复和自动恢复设计到系统中的方法,以及运行时应用程序自我保护(RASP),它是一种在应用程序运行时防范实际漏洞(而不仅仅是攻击)的方法。
许多安全工具链的核心问题是速度、技能和准确性。一些工具,例如安全静态代码分析,速度太慢,并且由于不能遍历非命令式代码流(例如控制反转)而提供了太多的误报。对误报进行分类需要一个通常不在大多数软件团队中的专家。其他工具,如Web应用程序防火墙(WAFs),则难以准确地理解它们所看到的内容。尽管WAFs可以监视生产环境以查看数据在网络上的移动,但是它们缺乏体系结构可视性来区分攻击是否重要以及何时重要。其结果是,操作团队从无关的爬虫攻击中接收到大量噪音,而开发人员无法利用攻击信息以有意义的方式进行改进——例如,SQL注入阻塞统计对于使用NoSQL的应用程序的团队来说并不重要。2014年,安全行业公布的数据显示,美国的组织每小时遭到超过5000次攻击。2018年的其他数据显示,每天有1000个组织遭到攻击。在DevOps管道中,这些基于网络的WAF报告所缺少的关键方面是,这些攻击实际完成防御者关心的事情的频率。
希望在保持快速发布周期的同时提高安全性的开发人员可以评估Gartner周期,或者从Microsoft SDL中寻找其他建议,以及诸如对比社区版和OWASP依赖项检查之类的工具。
热点推荐
- · 尽管大肆宣传Rimac拒绝制造SUV
Rimac永远不会制造SUV。根据MateRimac的说法,就像从来没有一样。尽管制造SUV是充实银行账户的可靠方式,但这家EV超级跑车制造商甚至根本不
- · 全电动梅赛德斯EQSSUV在阿拉巴马州...
对于梅赛德斯-奔驰塔斯卡卢萨工厂的优秀工人来说,有理由庆祝。EQSSUV终于下线了,看起来已经准备好与宝马iX和特斯拉ModelX展开竞争。今年
- · 马自达MX30于2022年售罄但其未来存疑
马自达不会经常出错,但当它犯错时,它会以惊人的方式犯错。它把MX-30弄得一团糟,因此,有几个谣言说它可能在美国上市仅仅一年后就被砍掉
- · Twitter正在空间选项卡中测试播客集成
Twitter不想将其社交音频产品限制在受Clubhouse启发的空间中。该公司还将播客纳入其中。很长一段时间以来,我们一直在听到有关此开发的谣言
- · 三星的所有新品都已经上市销售
最后,三星的所有新品都已经上市销售。这些新产品包括三星GalaxyZFlip4、GalaxyZFold4、GalaxyWatch5、GalaxyWatch5Pro以及最后但并非最不
- · ConfiBlur应用程序可以帮助您隐藏...
那里有大量非常简单但有用的应用程序。ConfiBlur就是其中之一。这个应用程序有一项工作,并且做得很好,至少在我们的测试期间它做得很好。
- · 新专利显示具有透明后显示屏的Gala...
如果您认为您已经看到一些有趣的手机投放市场,那么与我们在智能手机专利中看到的彻头彻尾的外星设计相比,它们根本算不上什么。三星是这些
- · 在Razer游戏PC上节省大笔费用正好...
他们正在削减它有点接近,但作为英特尔玩家日的一部分,亚马逊今天有很多很棒的个人电脑在出售,他们仍然可以及时到达回到学校。所以这里肯
- · 如何将Pixel6a置于深色主题中
有一些关于黑暗主题的东西只会吸引人们。哎呀,您正在阅读本文的网站应用了深色主题。人们只是喜欢黑色或深灰色背景。这就是为什么像Google
- · 如何将Pixel6a置于深色主题中
有一些关于黑暗主题的东西只会吸引人们。哎呀,您正在阅读本文的网站应用了深色主题。人们只是喜欢黑色或深灰色背景。这就是为什么像Google
- · 苹果将广告拓展至 IPHONE/IPAD 新领域
在最新一期的 Power On 中,Bloomberg Mark Gurman 给出了他对苹果的一些预测。他认为,苹果已经准备好将广告扩展到iPhone 和 iPad
- · 在收益超出预期后 沃尔玛坚持下半...
沃尔玛周二表示,销售额增长超过 8%,但由于消费者转向折扣店购买杂货和必需品,第二财季利润收紧。该公司股价上涨约 5%,收于 139 37
- · 带有触控选项的铰链式双屏显示器即...
Mobile Pixels Inc 是一家喜欢为客户提供多种屏幕选项的公司。之前已经生产了很多种(在新标签中打开)为笔记本电脑用户提供扩展和附加屏
- · Linux 中的 Alder Lake 笔记本...
据报道,Linux 对网络摄像头的支持目前已成为第 12 代 Alder Lake 笔记本电脑的主要问题,正如Phoronix 最近的一篇文章所展示的那样
- · AS Watson 集团将在 2030 年前...
健康和美容零售商 AS Watson Group 承诺到 2030 年为全球年轻人提供 200,000 个职位空缺。英国 Superdrug 和 Savers 的所有者
- · NVIDIA宣布推出新的神经图形SDK
NVIDIA宣布推出新的神经图形SDK,以帮助所有人都可以创建元界内容,提供超过10种不同的工具和程序,包括NeuralVDB和KaolinWisp形式的新增功
- · 8月16日前往溜冰场时的Rollerdrome...
PlayStation游戏玩家期待新的快节奏动作血统游戏在溜冰鞋上的到来,Rollerdrome将很高兴得知来自Roll7的JemimaTyssenSmith已经在PlayStatio
- · 欧洲的小米12T和小米12TPro价格和...
小米12T和小米12TPro的假定欧洲价格标签以及其他一些关键细节已经泄露,例如所谓的发布日期时间表。小米12T预计将配备联发科天玑8100处理器
- · Genesis推出G90豪华轿车与高级时装活动
在短短几年内,Genesis已成为欧洲高端品牌的有力竞争者。但是,对于许多人来说,高端子公司缺乏一些东西——正确的形象。然而,这家汽车制
- · 1988年路虎卫士90Restomod拥有Corv...
ECD汽车设计似乎无法将克尔维特发动机推入老式路虎。调谐器使用称为ProjectOverload的3系列路虎卫士做到了这一点,然后在几周前又推出了基
点击排行
- · 尽管大肆宣传Rimac拒绝制造SUV
Rimac永远不会制造SUV。根据MateRimac的说法,就像从来没有一样。尽管制造SUV是充实银行账户的可靠方式,但这家EV超级跑车制造商甚至根本不
- · 交易:B&H推出混合LG Watch G7...
去年十月,LG Watch W7亮相。该设备被认为是混合智能手表,因为它结合了机械手和数字功能。例如,时计在Wear OS上运行,包括气压计,秒
- · 斯巴鲁制造了一款名为e-Boxer的混...
这是全新的斯巴鲁XVe-Boxer-本质上是一个自我充电混合版本的品牌的粗糙‘n’翻滚交叉-如果你继续阅读后,这一点,我们高度赞扬你的承诺,你知道,汽车。 这并不是说XVe-Boxer将是一款
- · 新的宝马M8将有三种外形
在一个似乎无法获得足够高性能汽车的世界里,还有更多的消息可以让马力的瘾君子远离戒毒所一段时间。因为宝马老板强烈暗示M8将有三种口味:coupe,gran coupe(上面以概念形式预览)
- · 使用无线电源 在驾驶时为电动汽车充电
虽然电动汽车的采用通常被认为是绿色交通的重要一步,但许多司机对购买一辆可能在旅行结束前失去动力的车辆持谨慎态度。为了消除这种范围焦虑,斯坦福大学的一个团队设计了一个系统,
- · 2020年马自达CX-9回顾 当时尚战胜功能
这可能是最好看的三排交叉今天出售。尽管这款马自达CX-9已经上市多年,但它仍然是一款好品味的典范,外观和外观都很漂亮。 研究马自达CX-9|在你身边寻找马自达CX-9 但是,当购买一辆