近年來不少軟件安全事件成為了新聞頭條，無論是軟件開發(fā)商還是普通消費者對軟件安全隱患都深表擔(dān)憂。但也不要忽略了業(yè)界在軟件安全的努力和取得的成果。 在2020年即將到來之際，新思科技與業(yè)內(nèi)專家探討在過去幾年對軟件安全產(chǎn)生積極影響的趨勢、流程和技術(shù)。
DevSecOps對軟件安全性的影響
-新思科技高級首席顧問Meera Rao
對于希望轉(zhuǎn)向DevSecOps并構(gòu)建安全的企業(yè)來說，以下三個關(guān)鍵領(lǐng)域?qū)λ麄儺a(chǎn)生了巨大影響：
消除信息壁壘。不要等到錯誤和漏洞對應(yīng)用造成破壞之后再修復(fù)它們，而應(yīng)像對待DevOps流程中的任何其它錯誤一樣對待安全問題。安全性不應(yīng)是單獨存在的，不應(yīng)該是開發(fā)人員僅在發(fā)現(xiàn)安全性問題時才能從中獲得反饋。此外，找到合適的協(xié)作自動化工具以使開發(fā)、質(zhì)量保證和安全團(tuán)隊能夠一起工作是DevSecOps的重要組成部分。
促進(jìn)協(xié)作變革。企業(yè)希望彌補(bǔ)DevOps與安全性之間的差距，同時又保持生產(chǎn)率和解決方案上市速度，但他們通常沒有意識到整個企業(yè)都需要進(jìn)行更改。就像持續(xù)集成、持續(xù)交付和持續(xù)部署一樣，開發(fā)、安全和運營團(tuán)隊之間也必須進(jìn)行持續(xù)的協(xié)作和溝通等等。
培訓(xùn)和成就安全能手。通過建立培訓(xùn)和安全支持者計劃，開發(fā)團(tuán)隊的成員可以通過指導(dǎo)、培訓(xùn)以及與應(yīng)用程序安全團(tuán)隊密切合作，學(xué)習(xí)并自愿培養(yǎng)軟件安全技能和意識。這些安全能手們在第一線指導(dǎo)開發(fā)團(tuán)隊?wèi)?yīng)用程序安全性，彌補(bǔ)DevOps與安全團(tuán)隊之間存在的差距。
面向工具和解決方案的軟件安全趨勢
-道瓊斯產(chǎn)品安全總監(jiān)Jay Kelath
我看到了兩種軟件安全趨勢，一種是在技術(shù)工具方面；另一種是工程方面。
在工具方面，大多數(shù)都集中在IAST（交互式應(yīng)用安全測試）和DAST（動態(tài)應(yīng)用安全測試）上。這些新技術(shù)將徹底改變應(yīng)用程序的安全性。
其次是以解決方案為導(dǎo)向的應(yīng)用程序安全性。 AppSec團(tuán)隊專注于發(fā)現(xiàn)問題，然后讓開發(fā)人員修復(fù)問題。事情正在慢慢改變，現(xiàn)在正構(gòu)建工程師可以使用的解決方案。
這就是道瓊斯的發(fā)展方向。我們正在嘗試面向身份驗證、加密和跨站點腳本編寫這類問題的通用解決方案。
對于我們來說，面向特定技術(shù)開發(fā)解決方案更容易，然后告訴開發(fā)人員：“嘿，要使用身份驗證嗎？這里是一個庫、一個模式或一個要使用的工具。”這種以解決方案為導(dǎo)向的工程安全性越來越受到關(guān)注。
云+合規(guī)性=更完善的數(shù)據(jù)安全
-企業(yè)數(shù)據(jù)云公司Cloudera金融服務(wù)總經(jīng)理Steven Totman 和 Richard Harmon
混合云戰(zhàn)略始終承諾并提供更低的成本、更好的敏捷性、更高的運營效率以及更靈活的適應(yīng)新技術(shù)更新?lián)Q代的能力。金融機(jī)構(gòu)面臨的最大問題是，傳統(tǒng)的本地存儲與公共云和私有云的結(jié)合是否可以提供足夠的安全性和治理措施，以抵御欺詐和數(shù)據(jù)泄露的持續(xù)威脅。
具有諷刺意味的是，盡管混合云環(huán)境會因企業(yè)不斷在私有和/或本地環(huán)境與公共云之間移動數(shù)據(jù)而帶來安全風(fēng)險，但它們?nèi)钥梢詫崿F(xiàn)更大的災(zāi)難恢復(fù)和更高的數(shù)據(jù)安全性。因此，銀行將處于更好的狀態(tài)以實現(xiàn)合規(guī)性。這是因為將數(shù)據(jù)放在一個地方通常比在整個企業(yè)的多個信息孤島中分散保護(hù)起來更容易。此外，云供應(yīng)商在確保數(shù)據(jù)安全方面有著巨大的既得利益。
軟件安全及硬件安全的趨勢
-新思科技首席安全官Deirdre Hanford
除了需要安全的軟件（我們和其他幾家公司都在這一領(lǐng)域開展業(yè)務(wù)）之外，還有一種新興趨勢是確保基礎(chǔ)硬件也安全。新思科技有很大一部分業(yè)務(wù)是半導(dǎo)體設(shè)計，提供電子設(shè)計自動化軟件工具和芯片設(shè)計構(gòu)件。
我們越來越多地從合作伙伴那里聽到，他們不僅希望構(gòu)建像IoT設(shè)備這樣的超酷且功能強(qiáng)大的芯片，而且還需要安全的IoT設(shè)備。他們希望確保不僅在該芯片上運行的軟件是安全的，而且底層硬件也得安全。我的大部分職業(yè)生涯都是和硬件打交道，看到硬件團(tuán)隊的需求中出現(xiàn)安全性，這使我倍感興奮。
GDPR條例的實施改善了網(wǎng)絡(luò)安全
-Check Point
《通用數(shù)據(jù)保護(hù)條例》（GDPR） 不可避免地重塑了歐洲（乃至全世界）企業(yè)如何處理網(wǎng)絡(luò)安全的模式。
企業(yè)采用全面的安全計劃，在設(shè)計階段將安全性深度集成到IT系統(tǒng)中，而不是在部署后進(jìn)行改進(jìn)。得益于此，企業(yè)將獲得一致且更強(qiáng)大的數(shù)據(jù)安全性。整合安全體系結(jié)構(gòu)，將其嵌入平臺中并貫穿整個IT網(wǎng)絡(luò)，這通常在解決網(wǎng)絡(luò)安全事件和提升GDPR合規(guī)性方面更為有效。
軟件安全培訓(xùn)日趨增多
-新思科技高級安全顧問Mahesh Kukreja
企業(yè)越來越意識到安全問題的重要性。對軟件開發(fā)人員安全培訓(xùn)的需求不斷增長，因此他們能夠從一開始就構(gòu)建安全軟件。隨著越來越多的企業(yè)需要安全培訓(xùn)，安全技術(shù)也將迅速增強(qiáng)。有些開發(fā)人員對安全性仍然漠不關(guān)心（除非系統(tǒng)受到破壞），此類的培訓(xùn)課程有助于讓他們樹立“安全開發(fā)”心態(tài)。
做好DevOps有助于提升安全性
-Puppet, CircleCI和Splunk，出自2019 State of DevOps Report
在整個軟件交付生命周期中集成安全性的公司更有可能在整個企業(yè)中貫徹DevOps實踐。
我們發(fā)現(xiàn)，在安全集成最高級別的公司中，有22％的公司已達(dá)到DevOps演進(jìn)的高級階段。DevOps的原理和安全性的原理有異曲同工之妙，能為軟件開發(fā)帶來積極影響（包括文化、自動化、評估和共享），能確保出色的安全性。
濃厚的DevOps文化還支持更強(qiáng)的安全性。共享的文化，團(tuán)隊使用共同的工具進(jìn)行協(xié)作并朝著共同的目標(biāo)努力；交付團(tuán)隊擁有強(qiáng)大的自治能力，但是跨企業(yè)邊界完成工作相對容易-- 這種文化可以使不同部門真正地?fù)?dān)負(fù)起共同的安全責(zé)任，可以盡早發(fā)現(xiàn)問題并以最佳方式解決問題。
編者注：
該文章為節(jié)選，全文請參考：https://www.synopsys.com/blogs/software-security/software-security-trends-devsecops/
