《2020 DevSecOps 企业实践白皮书》发布 – 作者:FreeBuf咨询-安全小百科

企业安全建设中，安全风险就像是蝴蝶效应，它虽然不会像多米诺骨牌一样瞬间将企业安全全盘推倒，但却会持续散发影响力。随着网络环境与攻击方式的复杂性，传统查缺补漏式的安全建设模式无法有效应对安全风险，单一、单点的安全防护更是非常滞后。

在此背景下，最佳的选择便是将安全贯穿于企业业务生命周期的每一个环节，从源头及时治理安全问题，真正走出企业安全建设的“囚徒困境”，这便是引入DevSecOps的原因。

DevSecOps作为安全领域中逐渐步入成熟期的技术体系，从最初的理念到如今少量的成功实践案例，中间经历了大量的探索与发展。如今，很多企业已经意识到DevSecOps的重要性并想要有所实践，但仍然面临大量挑战。

本次FreeBuf咨询邀请国内DevSecOps实践先行者某金融机构、携程、腾讯等分别从DevSecOps工具链及企业落地实践等方面研究探讨，共同推出一份DevSecOps企业实践报告，为企业CSO提供安全建设的有效参考。内容亮点如下：

一、DevSecOps 发展现状

DevSecOps最早由Gartner咨询公司研究员David Cearley在2012年首次提出。2016年9月，Gartner发布报告《DevSecOps: How to Seamlessly Integrate Security into DevOps》，对该模型及配套解决方案进行详细分析，核心理念为：“安全是整个IT团队（包括开发、测试、运维及安全团队）所有成员的责任，需要贯穿整个业务生命周期的每一个环节。

根据GitLab近期发起的第四次年度全球DevSecOps年度调查，超过25％的开发人员表示对安全性完全负责，而33％的安全团队成员表示他们拥有安全性。共有29％的人认为每个人都应对安全负责。

可以看到，DevSecOps逐渐深入人心。虽然国内的DevSecOps落地仍然处于发展阶段，但很多国内企业已经意识到DevSecOps的重要性。随着DevOps的深度实践，工作流程越来越规范、工具和应用场景也越来越丰富。在此趋势下，国内陆续涌现出了一批专注DevSecOps的创新安全厂商，通用技术方案被越来越多的行业头部用户所采纳。

此外，DevSecOps的合规和治理也在国内持续推动中，关键标志之一就是全球首个DevOps标准的发布——《研发运营一体化（DevOps）能力成熟度模型》。其中第六部分《安全及风险管理》对DevOps全链路中开发、交付、运营等过程的安全风险控制进行规范要求，为企业安全风险管控手段和能力提升提供有效引导，帮助企业更好的落地实践DevSecOps。

二、企业DevSecOps 落地之初的挑战

由于DevSecOps还没有通用化的标准或实践指南，并没有很多成熟经验可以借鉴，企业在落地之初主要遇到的挑战如下：

1、安全人才短缺

根据《中国DevOps现状调查报告（2019年）》，有65.02%的企业仍未建立专业安全团队。

图《中国DevOps现状调查报告（2019年）》-专业安全团队比例低

大多数企业仍处于“一个人的安全部”的现状，日常工作主要承担防火墙、安全监测、补丁管理、病毒管理等较传统的网络安全工作。近年随着安全越来越被重视，企业开始成立独立的安全团队，然而大部分仅仅是IT人员的扩张，专业的安全人员比例却在降低。缺乏专业的安全人员，便可能导致和研发沟通不畅，因而影响安全和DevOps嵌入的效率。

2、文化的挑战

安全通常是作为独立组织存在，且与研发和运营分开。此外，在IT人员的概念中，安全往往会增加IT人员额外的工作量，拖累项目的进度甚至延期，因而IT人员与安全往往站在对立面。同时研发人员和运营人员大都不懂安全。由此造成的文化与意识壁垒，一时间很难打破。

3、安全知识和技能薄弱

DevSecOps需要研发、运维及安全人员协作，共同承担安全职责，可站在对方的视角看待问题。但是对于研发和运维人员来说，往往缺少安全意识及技能，在系统设计开发及部署运维等环节，无法高效协同保障安全性。

4、安全与研发流程割裂

安全测试工具有很多种类，如源代码安全扫描、黑盒安全测试、开源组件安全测试、主机安全测试等。这些安全测试工具通常为独立的工具及单独的Web页面，需要研发人员分别登录查看漏洞及修复，部分测试工具的扫描时间可能还会长达小时级。由于安全与研发流程的割裂，便会影响DevOps的快速迭代。

三、走出“囚徒困境”：DevSecOps 落地与指导

基于Gartner DevSecOps理念，企业需要从文化、流程及技术三方面切入，通过固化流程、加强人员协作以及工具化、自动化技术手段将安全无缝内嵌到研发流程中，从而实现企业DevSecOps落地。

1、安全文化变革

好的DevSecOps文化能够支持更严格的安全策略的贯彻执行。在有着优良企业安全文化的团队中，安全自然成为了一种共同的责任，在这种文化之下，不同业务部门间的鸿沟会相对更为容易跨越，在问题出现的时候，也会得到最早地解决。

图安全建设安全活动干系人

2、安全左移流程

Gartner给出建议，不要强制DevOps开发人员采用安全人员的旧的流程。相反地，将安全保证措施无缝集成到开发的持续集成（CI）和持续部署（CD）的工具链中。在软件开发的初期就介入进来，由此顺利衔接安全与研发相关工具及流程。

图研发运营一体化过程中安全活动

3、构建DevSecOps工具链

DevSecOps主要分为10个阶段，分别是计划（Plan）、创建（Create）、验证（Verify）、预发布（Preprod）、发布（Release）、预防（Prevent）、检测（Detect）、响应（Respond）、预测（Predict）、适应（Adapt），其中预防（Prevent）在之前的版本里也有叫做配置（Configure）。

图 DevSecOps 工具链

在 DevSecOps 中，每个阶段应用特定的安全工具，以此实现高效的安全落地。对企业来讲，选择合适的安全工具及活动是切入DevSecOps更加柔和有效的实践方式。

下面分别摘取国内某金融机构和携程的部分安全活动应用情况进行简单介绍。

四、国内某金融机构部分安全活动应用情况

1、源代码安全扫描工具（SAST）

该机构起初采用了商业工具Fortify及Appscan Source，但在实际应用发现存在误报率较高及扫描速度较慢的问题。为了更好的集成到DevOps流程，后转而使用开源SonarQube+Find Security Bugs插件取代。

图 SonarQube集成Find Security Bugs插件

2、黑盒安全测试（DAST）：该机构目前采用的黑盒安全测试工具有AppScan、AWVS、OWASP ZAP和Arachni，通过自研三叉戟自动化安全测试平台进行封装和分布式扫描调度，提供API方式给DevOps平台进行集成。

3、交互式应用安全测试(IAST)：引入了IAST工具Contrast Security，集成至DevOps平台中进行自动化安全测试。

4、容器全生命周期安全管理

利用完整的安全工具链对容器进行检测、监控及修复，保障容器镜像及运行环境的安全，形成了一套行之有效的容器全生命周期安全管理方法论。

-Docker安全配置基线：首先根据Docker安全标准整理得到“Docker容器安全实践指南”，该指南包括了主机安全配置、Docker守护进程配置、Docker守护程序配置文件、容器镜像和构建、容器运行安全、Docker安全操作等方面，为研发及运维人员提供Docker安全加固指南，降低Docker安全风险。

-Kubernetes安全：其次，Kubernete作为容器云的编排服务和集群运行环境，直接关系到容器的运行安全。安全团队根据实践总结了Kubernetes部署安全指南，用于指导Kubernetes的安全部署。

-内部安全镜像仓库：制定了严格的内部安全镜像仓库管理策略，协调开发团队和安全团队合作，共同建立和更新内部镜像仓库，禁止从互联网获取镜像资源。

-容器安全扫描工具自动化集成：目前生产环境的Docker主机均从内部私有Registry中提取生产镜像。当构建工具上传镜像到私有Registry后，容器安全扫描器会从该Registry中获取镜像的副本，实施安全测试。

-容器安全风险度量及可视化：为了对项目组的容器安全风险进行度量及直观展示，从容器镜像的项目分布、安全漏洞、操作系统等纬度进行了可视化展示，便于项目组进行容器安全风险的持续监控及容器安全漏洞的修复。

五、携程部分安全活动情况

1.开源组件安全扫描(SCA)

SCA是携程落地比较早的项目，主要在应用CI的过程中进行扫描分析，对于扫描发现中高危级别漏洞的应用进行发布拦截。

图携程漏洞管理界面

针对不同属性漏洞，携程规定对于外网应用存在POC的漏洞进需进行优先修复，内网应用和无POC的漏洞紧急性则调低。此外，携程还按照漏洞归属区分框架漏洞和应用漏洞，对于框架引入的第三方组件漏洞，会协调公司内部框架修复。通过这样的方式减少了大量的漏洞告警，使得SCA嵌入CI/CD流程对发布流程的影响降到最低。