什麼是 DevSecOps？

DevSecOps 可讓使用者在軟體開發生命週期 (SDLC) 初期整合安全性測試，這通常稱為「儘早執行安全性測試」(Shifting Security Left) 或「儘早測試」(Shift Left)。DevSecOps 讓使用者能夠在軟體開發週期中及早順暢地控管 應用程式安全性 ，而不是等到後期發現需要防範的漏洞時才採取行動，屆時要執行補救措施不但困難，成本也極高。

DevSecOps 是從  DevOps 的概念延伸而來，有時又稱為「安全 DevOps」。即使每個人或每個組織對 DevOps 的解讀方式不盡相同，但若想轉換到 DevOps，文化和技術方面就必須有所變革。雖然沒有言明，不過「安全性」本就是成功推行 DevOps 不可或缺的要素。

如果要採用 DevSecOps ，相關團隊從一開始就需要妥善規劃應用程式和基礎架構安全性。正確的工具可以幫助團隊達到持續整合安全性的目標，而整個過程也包括做出適當的決策，像是選擇使用具備安全功能的整合式開發環境 (IDE) 等等。團隊也需要使用能夠自動執行某些安全措施的工具和程序，方能避免降低 DevOps 工作流程效率。

DevSecOps 的優點

開發人員在寫程式時不一定能時時考慮到安全性。而具備 DevSecOps 思維的開發人員可在軟體和應用程式遞送的管線全面強化自動化功能，避免程式設計錯誤，最終減少 資料外洩的可能性。

當團隊導入 DevSecOps 工具與程序後，即可將安全性功能整合至 DevOps 架構，加快安全性軟體的發行速度。開發人員也可在撰寫程式碼的同時，測試該程式碼的安全性並偵測安全性漏洞。自動掃描可在 CI/CD 管線的程式碼簽入、編譯、發佈或其他元件自動觸發。透過與開發人員既有的工具整合，開發團隊可更輕鬆地改善 Web 應用程式開發的安全層面。

DevSecOps 實務的關鍵要素

若要採用 DevSecOps 方法，則可能需要將以下要素納入首要考量：

• 應用程式/API 清查
  • 自動探查、分析及持續監控所有產品組合的程式碼，其中可能包括資料中心、虛擬環境、私有雲端環境、公用雲端環境、容器、無伺服器系統等項目中的實際程式碼。您可以搭配使用自動化探查與自行清查工具。探查工具可幫助您辨識自己擁有的應用程式和 API，而自行報告工具可讓應用程式主動進行清查作業，並將中繼資料回報至中央資料庫。
• 自訂程式碼安全性
  • 在整個開發、測試及操作過程中持續監控軟體，以找出安全性弱點。您可以經常提供程式碼，讓系統能在每次程式碼更新時迅速辨識資安弱點。
  • 靜態應用程式安全測試 (SAST) 可掃描應用程式的原始程式檔，精準找出安全問題的根本原因，並幫助修復其中暗藏的安全漏洞。
  • 動態應用程式安全測試 (DAST) 會以可控管的方式對執行中的網路應用程式或服務模擬攻擊，找出執行中環境內可入侵的弱點。
  • 互動式應用程式安全性測試 (IAST) 會透過檢測使用代理程式和感應器的應用程式來進行深度掃描，以持續分析應用程式、其基礎結構、相依性、資料流程與程式碼。
• 開放原始碼安全性
  • 開放原始碼軟體 (OSS) 通常暗藏安全性弱點，因此您使用的解決方案應可追蹤 OSS 程式庫並回報資安弱點及授權違規情形，安全防護才可面面俱到。
  • 軟體構成分析 (SCA) 會自動深入分析開放原始碼軟體 (OSS)，讓您對該軟體有更全面的掌握，藉以管理風險、保障安全性並遵循授權要求。 
• 執行時期預防威脅功能
  • 保護生產期間的應用程式免受新發現的漏洞威脅，或受到尚未開發的舊版應用程式影響。 
  • 記錄功能可讓您掌握攻擊手法與受影響系統的類型；威脅情報功能則會在進行威脅模型分析與安全性架構建立程序時通知您。 
• 法規遵循監控
  • 允許稽核 GDPR、CCPA、PCI 等法令的整備度與長期法規遵循 狀態。
• 文化因素
  • 找出主要的安全負責人、為開發人員制定安全培訓計畫等等。

實際採用 DevSecOps

第1步：在軟體需求中加入安全性功能
步驟 2：快速地儘早進行測試，且應經常執行
步驟 3：善用整合功能，讓應用程式安全性成為生命週期中不可或缺的一環
步驟 4：在開發和測試過程中自動管理安全性
步驟 5：發行後持續監控並保護其安全

Fortify 有助於將安全性功能整合至 DevOps

• 全方位、多元包容且可延伸的應用程式安全性平台，可在您的 AppSec 旅程中進行協調，並給予指引。
• 使用 Fortify 整合生態系統，將安全性內嵌於應用程式開發及部署中。
• 使用 Fortify 的 DevSecOps 可全面強化在 CI/CD 管線中的自動化測試，找出程式碼錯誤。
• 自動化的靜態程式碼分析功能，可協助開發人員透過 Static Code Analyzer 排除弱點，並建構安全的軟體。
• WebInspect 動態應用程式安全測試會在應用程式處於執行狀態時進行分析，並模擬對應用程式可能發動的攻擊，以找出弱點。 
• Debricked 和 Fortify 可讓您完全掌控開放原始碼的安全合規性與社群健康狀態。
• 無論來源為何，都能利用 Fortify Insight 將評估結果彙整、分析與報告至單一窗口，得到企業全體的清楚可見度。

領先業界的 AppSec 解決方案

• Fortify 平台是全方位、多元包容且可延伸的應用程式安全性平台，可在您的 AppSec 旅程中進行協調，並給予指引。
• 使用 Fortify on Demand 執行安全即服務解決方案。
• 客戶評鑑是產品成功的最佳實證。Gartner Peer Insights、G2s 和 Fortify 的客戶成功故事。 
• 榮獲 Gartner 應用程式安全性測試魔術象限評選為領導品牌。