安全DevOps是增強安全性的法寶

如今，在各種網(wǎng)絡(luò)風(fēng)險日益頻繁和和加劇的情況下，真正的信息安全應(yīng)當(dāng)從單純的安全硬件和點產(chǎn)品發(fā)展到一種日益依賴安全DevOps的方法。

在過去的二十幾年中，IT安全界已經(jīng)發(fā)生了劇變。新廠商一直在提供能夠更好地保護企業(yè)免受最新威脅的方案。各種安全廠商可謂成千上萬，且不斷提豐富多彩的開源工具。

如今，安全團隊面臨著一個高度碎片化的市場，要從各種不同的廠商中選擇工具?，F(xiàn)在許多企業(yè)都安裝了多種來自不同安全公司的不同產(chǎn)品。根據(jù)思科2018年的安全功能評分研究報告，約有46%的安全專家承認使用了十多種廠商的安全產(chǎn)品，而在2017年這個數(shù)字只有28%。隨著業(yè)務(wù)模式的變化，攻擊面的擴展和威脅的不斷演變，安全業(yè)界也在繼續(xù)前進。但是，為了從這個過程中獲得最全面的好處，我們需要改變想法。

企業(yè)簡單地將各種不同的硬件安裝到位，就認為受到保護的日子一去不復(fù)返。除非這些不同的方案能夠相互通信，否則合法的威脅將會通過其中存在的漏洞危害企業(yè)網(wǎng)絡(luò)安全。為彌補這些漏洞，企業(yè)現(xiàn)在需要重新思考自己購買和部署安全技術(shù)的方法。越來越多的廠商重視積極地與其安全廠商統(tǒng)一協(xié)作，并且使用一種架構(gòu)性的方法來指導(dǎo)這種協(xié)作，即集成多種獨立的產(chǎn)品和平臺。這正是業(yè)界日漸對安全DevOps增加需求的原因。

當(dāng)今的安全廠商們都有可用的API，因而其他廠商（客戶或第三方）可以編寫軟件并訪問API和將解決方案連接到一起。許多廠商更進了一步，采用了一種API優(yōu)先權(quán)的策略，意味著自己的用戶接口和管理控制臺與API通信。其他廠商可以使用同樣的API將數(shù)據(jù)聚合到一個簡單的易于讀取的接口中，這可以節(jié)省大量的時間并改善安全性。

對安全DevOps的關(guān)注還支持SDN和SDA（軟件定義訪問），因而企業(yè)可以快速響應(yīng)，以應(yīng)對變化的業(yè)務(wù)需求和增強安全性。這種解決方案將配置和管理工作集中化，并使用自動化的方法來部署應(yīng)用程序，并保障應(yīng)用程序和用戶的安全性。對于企業(yè)網(wǎng)絡(luò)中的用戶或設(shè)備訪問任何應(yīng)用程序都實施適當(dāng)?shù)牟呗浴?/p>

利用軟件來縮短不同技術(shù)和工具的差距提供了端到端的可見性和控制，并減少復(fù)雜性。這可以使安全團隊更高效地檢測、遏制、修復(fù)威脅，因為他們擁有了更大的背景。這與執(zhí)法部門調(diào)查犯罪并沒有很大不同，因為他們要調(diào)查犯罪現(xiàn)場。但是，如果執(zhí)法部門可以訪問其他信息，如附近的攝像頭等，就能夠收集其他有價值的證據(jù)，從而更完整地描繪發(fā)生了什么。這是因為更大的背景提升了效率和有效性。

對安全DevOps依賴的日益增加對安全專家來說意味著什么？企業(yè)需要退一步看看，要確保團隊中擁有適當(dāng)?shù)娜藛T。安全運維的不同團隊使用不同的工具。將這些工具整合到一個企業(yè)的安全架構(gòu)中要求這些團隊的每個成員一起協(xié)作，并制定和執(zhí)行一致的路線圖。

整合還對安全團隊所需求的技能產(chǎn)生了變化。團隊現(xiàn)在需要理解安全的軟件工程師，或是能夠編寫代碼的安全工程師。這種技能的組合可能極難找到，尤其是在企業(yè)已經(jīng)缺乏網(wǎng)絡(luò)安全人才的情況下。多數(shù)軟件工程師都是編寫代碼的專家，卻無強烈的安全意識。但是，如果不理解軟件是如何部署的，不理解軟件是在何種環(huán)境中使用何種工具和技術(shù)部署的，也不理解威脅制造者的伎倆和手段，軟件工程師就不會生產(chǎn)出最優(yōu)化的方案。同樣，安全工程師是計劃和執(zhí)行安全措施的專家，卻往往并沒有編程語言的知識，尤其是像Python和Java這種使用API的計算機語言。

不管是在內(nèi)部的安全資源中工作，還是在外部的安全咨詢機構(gòu)中工作，我們從一開始就必須確保與擁有適當(dāng)技能的適當(dāng)人員一起協(xié)作，因而才能充分利用企業(yè)安全架構(gòu)的安全DevOps的價值。

只有改變思想和觀念，并充分利用安全領(lǐng)域正在發(fā)生的那些激動人心的技術(shù)和進步，才可以真正增強安全。