DevSecOps基本概念介绍

DevSecOps是把安全的最佳实践集成到DevOps的流程里面，它是一个很形象的词，拆分理解：Dev（开发）、Sec（安全）、Ops（运维）三个部分。DevSecOps包括创立一种安全即代码（Security as Code）的文化，从而在发布开发工程师和安全团队之间，建立一种可以持续的，灵活合作的机制和流程，从而把在传统软件开发流程里面最后由安全测试团队把关扫描的安全工作，左移到整个软件开发的全流程，从而大大降低了应用在上线后出现的安全隐患，也大大加快了上线的速度，同时也让其他非安全团队的软件人员在设计、开发、测试、发布的全过程中具备安全意识，以避免后续反复多次的补救，甚至需要推翻整个产品重新开发的尴尬局面。

一、DevSecOps适用对象

1． 需要有完整的软件研发流程，包括版本控制、 代码仓库。

2． 软件开发有成熟的第三方包管理，例：如 maven。

3． 软件应用系统较多，短迭代周期，目前与 Java应用适配程度较高。

4． 安全团队有参与研发过程管控的能力。

二、SDL、SDLC以及S-SDLC三种开发模型的概念

SDL（Security Development Lifecycle）是安全开发生命周期的简称，它是由微软微软提出的从安全角度指导软件开发过程的管理模式。SDL是一个安全保证的过程，其重点是软件开发，它在开发的所有阶段都引入了安全和隐私的原则。通俗的讲就是一个帮助开发人员“构建更安全的软件”和“解决安全合规要求”的同时“降低开发成本”的“软件开发过程”。

它由以下7个部分组成：

1、安全培训(training)：推广安全编程意识

2、需求分析(requirements)：寻找安全嵌入的最优方式

3、系统设计(design):威胁建模设计

4、实现(implementation)：安全开发

5、验证(verification)：黑/白盒测试

6、发布(release)：最后检查确认

7、响应(response)：应急响应，bug跟踪解决

SDLC（Software Development