安全DevOps是增強(qiáng)安全性的法寶

如今，在各種網(wǎng)絡(luò)風(fēng)險(xiǎn)日益頻繁和和加劇的情況下，真正的信息安全應(yīng)當(dāng)從單純的安全硬件和點(diǎn)產(chǎn)品發(fā)展到一種日益依賴安全DevOps的方法。

在過(guò)去的二十幾年中，IT安全界已經(jīng)發(fā)生了劇變。新廠商一直在提供能夠更好地保護(hù)企業(yè)免受最新威脅的方案。各種安全廠商可謂成千上萬(wàn)，且不斷提豐富多彩的開(kāi)源工具。

如今，安全團(tuán)隊(duì)面臨著一個(gè)高度碎片化的市場(chǎng)，要從各種不同的廠商中選擇工具。現(xiàn)在許多企業(yè)都安裝了多種來(lái)自不同安全公司的不同產(chǎn)品。根據(jù)思科2018年的安全功能評(píng)分研究報(bào)告，約有46%的安全專家承認(rèn)使用了十多種廠商的安全產(chǎn)品，而在2017年這個(gè)數(shù)字只有28%。隨著業(yè)務(wù)模式的變化，攻擊面的擴(kuò)展和威脅的不斷演變，安全業(yè)界也在繼續(xù)前進(jìn)。但是，為了從這個(gè)過(guò)程中獲得最全面的好處，我們需要改變想法。

企業(yè)簡(jiǎn)單地將各種不同的硬件安裝到位，就認(rèn)為受到保護(hù)的日子一去不復(fù)返。除非這些不同的方案能夠相互通信，否則合法的威脅將會(huì)通過(guò)其中存在的漏洞危害企業(yè)網(wǎng)絡(luò)安全。為彌補(bǔ)這些漏洞，企業(yè)現(xiàn)在需要重新思考自己購(gòu)買(mǎi)和部署安全技術(shù)的方法。越來(lái)越多的廠商重視積極地與其安全廠商統(tǒng)一協(xié)作，并且使用一種架構(gòu)性的方法來(lái)指導(dǎo)這種協(xié)作，即集成多種獨(dú)立的產(chǎn)品和平臺(tái)。這正是業(yè)界日漸對(duì)安全DevOps增加需求的原因。

當(dāng)今的安全廠商們都有可用的API，因而其他廠商（客戶或第三方）可以編寫(xiě)軟件并訪問(wèn)API和將解決方案連接到一起。許多廠商更進(jìn)了一步，采用了一種API優(yōu)先權(quán)的策略，意味著自己的用戶接口和管理控制臺(tái)與API通信。其他廠商可以使用同樣的API將數(shù)據(jù)聚合到一個(gè)簡(jiǎn)單的易于讀取的接口中，這可以節(jié)省大量的時(shí)間并改善安全性。

對(duì)安全DevOps的關(guān)注還支持SDN和SDA（軟件定義訪問(wèn)），因而企業(yè)可以快速響應(yīng)，以應(yīng)對(duì)變化的業(yè)務(wù)需求和增強(qiáng)安全性。這種解決方案將配置和管理工作集中化，并使用自動(dòng)化的方法來(lái)部署應(yīng)用程序，并保障應(yīng)用程序和用戶的安全性。對(duì)于企業(yè)網(wǎng)絡(luò)中的用戶或設(shè)備訪問(wèn)任何應(yīng)用程序都實(shí)施適當(dāng)?shù)牟呗浴?/p>

利用軟件來(lái)縮短不同技術(shù)和工具的差距提供了端到端的可見(jiàn)性和控制，并減少?gòu)?fù)雜性。這可以使安全團(tuán)隊(duì)更高效地檢測(cè)、遏制、修復(fù)威脅，因?yàn)樗麄儞碛辛烁蟮谋尘啊＿@與執(zhí)法部門(mén)調(diào)查犯罪并沒(méi)有很大不同，因?yàn)樗麄円{(diào)查犯罪現(xiàn)場(chǎng)。但是，如果執(zhí)法部門(mén)可以訪問(wèn)其他信息，如附近的攝像頭等，就能夠收集其他有價(jià)值的證據(jù)，從而更完整地描繪發(fā)生了什么。這是因?yàn)楦蟮谋尘疤嵘诵屎陀行浴?/p>

對(duì)安全DevOps依賴的日益增加對(duì)安全專家來(lái)說(shuō)意味著什么？企業(yè)需要退一步看看，要確保團(tuán)隊(duì)中擁有適當(dāng)?shù)娜藛T。安全運(yùn)維的不同團(tuán)隊(duì)使用不同的工具。將這些工具整合到一個(gè)企業(yè)的安全架構(gòu)中要求這些團(tuán)隊(duì)的每個(gè)成員一起協(xié)作，并制定和執(zhí)行一致的路線圖。

整合還對(duì)安全團(tuán)隊(duì)所需求的技能產(chǎn)生了變化。團(tuán)隊(duì)現(xiàn)在需要理解安全的軟件工程師，或是能夠編寫(xiě)代碼的安全工程師。這種技能的組合可能極難找到，尤其是在企業(yè)已經(jīng)缺乏網(wǎng)絡(luò)安全人才的情況下。多數(shù)軟件工程師都是編寫(xiě)代碼的專家，卻無(wú)強(qiáng)烈的安全意識(shí)。但是，如果不理解軟件是如何部署的，不理解軟件是在何種環(huán)境中使用何種工具和技術(shù)部署的，也不理解威脅制造者的伎倆和手段，軟件工程師就不會(huì)生產(chǎn)出最優(yōu)化的方案。同樣，安全工程師是計(jì)劃和執(zhí)行安全措施的專家，卻往往并沒(méi)有編程語(yǔ)言的知識(shí)，尤其是像Python和Java這種使用API的計(jì)算機(jī)語(yǔ)言。

不管是在內(nèi)部的安全資源中工作，還是在外部的安全咨詢機(jī)構(gòu)中工作，我們從一開(kāi)始就必須確保與擁有適當(dāng)技能的適當(dāng)人員一起協(xié)作，因而才能充分利用企業(yè)安全架構(gòu)的安全DevOps的價(jià)值。

只有改變思想和觀念，并充分利用安全領(lǐng)域正在發(fā)生的那些激動(dòng)人心的技術(shù)和進(jìn)步，才可以真正增強(qiáng)安全。