DevSecOps چیست؟
DevSecOps چیست؟
بررسی اجمالی
DevSecOps مخفف توسعه، امنیت و عملیات است. این رویکردی به فرهنگ، اتوماسیون و طراحی پلت فرم است که امنیت را به عنوان یک مسئولیت مشترک در کل چرخه عمر فناوری اطلاعات یکپارچه می کند.
DevSecOps در مقابل DevOps
DevOps فقط مربوط به تیم های توسعه و عملیات نیست. اگر می خواهید از agility و پاسخگویی رویکرد DevOps نهایت استفاده را ببرید، امنیت فناوری اطلاعات نیز باید نقش یکپارچه را در چرخه عمر کامل برنامه های شما ایفا کند. چرا؟ در گذشته، نقش امنیت به یک تیم خاص در مرحله نهایی توسعه یه صورت مجزا انجام میشد. زمانی که چرخههای توسعه ماهها یا حتی سالها طول میکشید، این مسئله چندان مشکلساز نبود، اما آن روزها به پایان رسیدهاند. DevOps موثر چرخه های توسعه سریع و مکرر را تضمین می کند (گاهی اوقات هفته ها یا روزها)، اما شیوه های امنیتی قدیمی می توانند حتی کارآمدترین طرح های DevOps را خنثی کنند.
اکنون، در چارچوب مشترک DevOps، امنیت یک مسئولیت مشترک است که از انتها به انتها یکپارچه شده است. این یک طرز فکر بسیار مهم است که باعث شد برخی اصطلاح DevSecOps را برای تأکید بر نیاز به ایجاد یک پایه امنیتی در ابتکارات DevOps ایجاد کنند. 
DevOps security is automated
برای انجام: چرخههای توسعه کوتاه و مکرر را حفظ کنید، اقدامات امنیتی را با کمترین اختلال در عملیات ادغام کنید، با فناوریهای نوآورانه مانند کانتینرها و ریزسرویسها همگام باشید، و در عین حال همکاری نزدیکتر بین تیمهای معمولاً منزوی را تقویت کنید - این امری مهم برای هر سازمانی است. همه این ابتکارات در سطح انسانی آغاز می شود - با نکات و نکات همکاری در سازمان شما - اما تسهیل کننده این تغییرات انسانی در چارچوب DevSecOps اتوماسیون است.
اما چه چیزی را خودکار کنیم و چگونه؟ راهنمایی مکتوب برای کمک به پاسخ به این سوال وجود دارد. سازمان ها باید به عقب برگردند و کل محیط توسعه و عملیات را در نظر بگیرند. این شامل مخازن کنترل منبع، رجیستری کانتینر، خط لوله یکپارچه سازی و استقرار پیوسته (CI/CD)، مدیریت رابط برنامه نویسی برنامه (API)، هماهنگ سازی و اتوماسیون انتشار، و مدیریت و نظارت عملیاتی است. فنآوریهای جدید اتوماسیون به سازمانها کمک کرده تا شیوههای توسعه چابکتری را اتخاذ کنند، و همچنین در پیشبرد اقدامات امنیتی جدید نقش داشتهاند. اما اتوماسیون تنها چیزی نیست که در مورد چشمانداز فناوری اطلاعات در سالهای اخیر تغییر کرده است - فناوریهای بومی ابری مانند کانتینرها و میکروسرویسها اکنون بخش عمدهای از ابتکارات DevOps هستند و امنیت DevOps باید با آنها سازگار شود.
DevOps security is built for containers and microservices
مقیاس بزرگتر و زیرساخت پویاتر که توسط کانتینرها فعال شده است، روش بسیاری از سازمانها را تغییر داده است. به همین دلیل، شیوههای امنیتی DevOps باید با چشمانداز جدید سازگار شوند و با دستورالعملهای امنیتی خاص کانتینر هماهنگ شوند. فناوریهای بومی ابری خود را به سیاستها و چکلیستهای امنیتی ثابت نمیدهند. در عوض، امنیت باید در هر مرحله از چرخه عمر برنامه و زیرساخت مستمر و یکپارچه باشد. DevSecOps به معنای ایجاد امنیت در توسعه برنامه از انتهای تا انتها است. این ادغام در خط لوله به همان اندازه که به ابزارهای جدید نیاز دارد، به یک ذهنیت سازمانی جدید نیز نیاز دارد. با در نظر گرفتن این موضوع، تیمهای DevOps باید امنیت را برای محافظت از محیط کلی و دادهها، و همچنین فرآیند یکپارچهسازی/تحویل مستمر، خودکار کنند - هدفی که احتمالاً شامل امنیت میکروسرویسها در کانتینرها میشود.
Environment and data security
Standardize and automate the environment:
هر سرویس باید کمترین امتیاز ممکن را برای به حداقل رساندن اتصالات و دسترسی های غیرمجاز داشته باشد.
Centralize user identity and access control capabilities:
کنترل دسترسی دقیق و مکانیسم های احراز هویت متمرکز برای ایمن سازی ریزسرویس ها ضروری است، زیرا احراز هویت در چندین نقطه آغاز می شود.
Isolate containers running microservices from each other and the network:
این شامل دادههای در حال حمل و نقل و در حالت استراحت است، زیرا هر دو میتوانند اهداف با ارزشی را برای مهاجمان نشان دهند.
Encrypt data between apps and services:
یک پلت فرم ارکستراسیون کانتینر با ویژگی های امنیتی یکپارچه به به حداقل رساندن احتمال دسترسی غیرمجاز کمک می کند.
Introduce secure API gateways:
APIهای امن مجوز و دید مسیریابی را افزایش می دهند. با کاهش API های در معرض دید، سازمان ها می توانند سطوح حملات را کاهش دهند.
CI/CD process security
Integrate security scanners for containers:
این باید بخشی از فرآیند افزودن کانتینرها به رجیستری باشد
. Automate security testing in the CI process:
این شامل اجرای ابزارهای تجزیه و تحلیل استاتیک امنیتی به عنوان بخشی از ساختها، و همچنین اسکن تصاویر کانتینر از پیش ساخته شده برای آسیبپذیریهای امنیتی شناختهشده در حین کشیدن آنها به خط لوله ساخت است.
Add automated tests for security capabilities into the acceptance test process:
تستهای اعتبارسنجی ورودی و همچنین ویژگیهای تأیید اعتبار و مجوز را بهطور خودکار انجام دهید.
Automate security updates, such as patches for known vulnerabilities:
این کار را از طریق خط لوله DevOps انجام دهید. این باید نیاز ادمین ها را برای ورود به سیستم های تولید حذف کند، در حالی که یک گزارش تغییرات مستند و قابل ردیابی ایجاد می کند.
Automate system and service configuration management capabilities:
این اجازه می دهد تا با سیاست های امنیتی مطابقت داشته باشید و خطاهای دستی را حذف کنید. حسابرسی و اصلاح نیز باید خودکار باشد.