# DevSecOps的体系建设和落地实践 - 周纪海

{%hackmd @DevOpsDay/BJXaW1_k6 %}

> 從這裡開始寫

## DevOps => DevSecOps
DevOps core
- 敏捷開發
- CICD 自動化
- 持續反饋
- 意識和文化

可是傳統 DevOps 沒有考慮太多訊息安全，傳統的安全開發型是趕不上 DevOps 的快速交付，進一步產生矛盾

### what's DevSecOps
將安全意識和能力融入到開發團隊(稱之為安全左移)，讓所有人對資訊安全負責

### 為什麼要 DevSecOps
- 傳統模式
安全至關重要
- DevOps 模式
注重速度和質量，沒有考慮安全
- DevSecOps 模式
安全和速度並重，需求開發跟測試已經在 DevOps 壓縮完時長了，專注壓縮安全評審時長

DevOps 是將 Dev 和 Ops 整合，DevSecOps 就是 Dev Sec Op 三者整合

### 金融業推動 DevSecOps 動機和目標
因為金融行業安全要求特高，是屬於監管行業

### 實現 DevSecOps 挑戰
- 人和文化
- 不夠重視資安
- 會增加額外工作量
- 缺乏資訊去修補安全漏洞
- 不是所有高層都支持
- 技術
- 軟體開發複雜，需要 DevSecOps 提供相應的自動化工具支持
- DevSecOps 工具的成熟度不高
- 流程
- IT治理模型，流程不適合跨團隊合作
- 各個開發團隊之間溝通，協作低效
## SDLC 安全左移
### 需求安全
- 需求分析是最開始的工作

需求管理 -> 需求安全分類 ->需求安全評審

### 架構安全

### 威脅建模
識別資產 -> 架構設計概覽 -> ...

### 開發測試安全
安全教育本質上，就是整體提升資安意識

### 維運安全

## DevSecOps 技術

### DevSecOps 技術類型
- SAST 靜態應用安全技術 (ex: Sonarqube)
- 掃 Code ，工程師接受度高但是誤報率偏高
- DAST 動態應用安全技術
- 模擬駭客攻擊來尋找問題，能精準找到漏洞，工程師學習成本偏高（除非你家工程師都是駭客）
- IAST 交互式應用安全技術
- 部署成本偏高，也可能會影響性能
- SCA 軟體成分分析工技術
- 現在開發會用到大量的 open source ，常會忽略漏洞審查，檢查所有使用的第三方的套件，並且識別版本可能有的已知安全漏動
- RASP 實時應用安全保護技術
- 一種建立在應用中，或是連接運行環境的安全技術

### 產品
- SAST
- Fortify
- Checkmarx
- DAST
- IAST
- SCA
- RASP

## 案例分析
### DevSecOps 體系
- 安全工具
- 安全能力
- 度量和平台
- 組織結構
- 成熟度模型
- 文化建設

### DevSecOps 工具和自動化
編碼
- SAST
- SCA
建構
- SAST
- SCA

測試
- IAST
- DAST

發布和生產
- RASP

### DevSecOps 度量和平台建設

### 如何正確使用 DevSecOps 度量
沒使用好會照成反效果

常見的度量使用誤區
- 傳統度量：工時打卡, code 行數, 缺陷數, 需求數
- 團隊橫向對比
- 看 KPI
- 沒有準確定義度量

正確使用度量
- 不能橫向對比團隊
- 不用 KPI
- 可視覺化
- 度量數據的深度挖掘和分析
- 配合提醒機制
- 質量門禁進行控制

### 資安培訓
安全培訓
- 應用工具培訓

#### DevSecOps 培訓
- 在線培訓和 secure code warrior
- 安全培訓營: 角色對調 (工程師 => 駭客)，從被動修復漏洞改成積極進攻，從攻擊駭客角度去看
- 組織結構建設: 開發團隊的 **安全專家**
- 中央和虛擬 DevSecOps
- 文化建設：安全編程大賽
- 文化建設：社區分享
- 文化建設：安全眾測

## 未來展望
- 進一步安全左移 - 安全架構設計
- 建立安全漏洞共享知識庫
- AI 助力 DevSecOps
- 最終目的：全體免疫