DevOps最佳實(shí)踐:通過(guò)DevOps確?？煽亢陀行У男畔踩?/h1>
簡(jiǎn)介
DevOps 是一組關(guān)注于改善開(kāi)發(fā)與運(yùn)維團(tuán)隊(duì)之間的溝通與協(xié)作的原則與最佳實(shí)踐。這些實(shí)踐已經(jīng)被希望開(kāi)發(fā)健壯技術(shù)解決方案，以便其可靠性能得到確保并且可以被便捷升級(jí)的技術(shù)專家所廣泛接受。對(duì)于 DevOps 最初始的關(guān)注是幫助開(kāi)發(fā)人員與運(yùn)維專家能更有效地溝通和一起工作，但其他的利益相關(guān)人，例如質(zhì)量保證、測(cè)試和信息安全（InfoSec）團(tuán)隊(duì)也同樣重要。這篇文章將講解如何使用 DevOps 最佳實(shí)踐來(lái)使您的信息安全更加健壯和有效。
為何信息安全是 DevOps 的關(guān)鍵組成部分之一
DevOps 在確保開(kāi)發(fā)人員與運(yùn)維人員能一起工作并且更有效率方面非常成功。通過(guò) DevOps，運(yùn)維團(tuán)隊(duì)可以獲得他們所需要用于了解如何建立有效和可靠應(yīng)用程序構(gòu)建、打包和部署過(guò)程方面的信息。而信息安全組也同樣有許多與運(yùn)維團(tuán)隊(duì)一樣的需求。此外，InfoSec 還需要獲得他們需要用于確保整個(gè)系統(tǒng)是安全和可靠方面的信息。正如 DevOps 幫助開(kāi)發(fā)和運(yùn)維團(tuán)隊(duì)能更有效地一起工作一樣，DevOps 也可以幫助開(kāi)發(fā)和信息安全團(tuán)隊(duì)更有效地一起工作。在 DevOps 中，持續(xù)部署已經(jīng)成為 DevOps 的一個(gè)關(guān)鍵實(shí)踐，并且關(guān)注于通過(guò)自動(dòng)化的構(gòu)建、打包和部署來(lái)自動(dòng)化部署流水線。通過(guò)提供一個(gè)平臺(tái)可以在開(kāi)發(fā)生命周期里盡早訪問(wèn)和定位安全問(wèn)題，信息安全團(tuán)隊(duì)也同樣能夠從部署流水線上得到顯著的獲益。只要一旦有風(fēng)險(xiǎn)評(píng)估被介入，有效的安全保障就應(yīng)當(dāng)永遠(yuǎn)與之同步進(jìn)行。
DevOps 可以幫助定位安全風(fēng)險(xiǎn)
作為軟件或系統(tǒng)開(kāi)發(fā)工作的一部分，風(fēng)險(xiǎn)需要被理解和定位。安全保障不能僅僅在開(kāi)發(fā)過(guò)程的末尾才加入進(jìn)來(lái)。（查看參考資料了解更多關(guān)于構(gòu)建安全軟件方面的信息。） 系統(tǒng)需要在開(kāi)發(fā)生命周期的最開(kāi)始，就將安全保障與設(shè)計(jì)和開(kāi)發(fā)一道同時(shí)得到關(guān)注。DevOps 提供了必需的構(gòu)造來(lái)幫助定位眾多安全風(fēng)險(xiǎn)，這是創(chuàng)建任何復(fù)雜技術(shù)系統(tǒng)的內(nèi)在要求。
安全漏洞往往是各種事件的直接后果。例如，在 C/C++ 系統(tǒng)中進(jìn)行不恰當(dāng)?shù)木幋a實(shí)踐就可能導(dǎo)致緩沖溢出條件有機(jī)會(huì)被惡意攻擊者用于實(shí)施越級(jí)程序權(quán)限。緩沖溢出攻擊經(jīng)常被攻擊者所利用，來(lái)獲得系統(tǒng)的控制權(quán)，甚至可以很有效地獲得 root 權(quán)限。
運(yùn)行時(shí)事件的發(fā)生也可能導(dǎo)致不恰當(dāng)?shù)陌踩刂?，例如發(fā)生在不同組件之間的身份驗(yàn)證與授權(quán)。一個(gè)常見(jiàn)的安全問(wèn)題根源就是來(lái)自于由于某次部署所應(yīng)用的不正確的訪問(wèn)權(quán)限。
另外一個(gè)安全問(wèn)題領(lǐng)域是確保所部署的是正確的代碼。在部署過(guò)程中所帶來(lái)的錯(cuò)誤有可能會(huì)暴露給惡意攻擊者。
在不同接口之間的配置問(wèn)題經(jīng)常會(huì)曝露給攻擊者，以被其用于嘗試侵入系統(tǒng)。一旦系統(tǒng)缺乏防范措施，不恰當(dāng)?shù)陌踩刂茊?wèn)題就有可能導(dǎo)致非授權(quán)的變更變得非常難以識(shí)別，而且難于執(zhí)行鑒定證明來(lái)查清到底有哪些變更是由于錯(cuò)誤或是由于惡意目的所造成的。
InfoSec 方面的技術(shù)專家非常罕有，而且在開(kāi)發(fā)過(guò)程的早期也很難有足夠恰當(dāng)?shù)臏y(cè)試環(huán)境來(lái)實(shí)施有效的安全相關(guān)測(cè)試。許多組織甚至無(wú)法在最開(kāi)始提供所需的服務(wù)器并且部署應(yīng)用，這樣的條件限制意味著響應(yīng)安全破壞通常都是一個(gè)極其嚴(yán)苛的工作，這項(xiàng)工作需要嘗試準(zhǔn)確理解代碼存在什么問(wèn)題以及安全威脅如何能夠被排除。
這些風(fēng)險(xiǎn)實(shí)在是太常見(jiàn)了。它們導(dǎo)致許多系統(tǒng)停機(jī)事故，這種情況影響了很多的銀行和交易系統(tǒng)，甚至交易活動(dòng)本身都因此受到影響。如果我們無(wú)法在項(xiàng)目的末尾簡(jiǎn)單地加入安全保障，那么我們又該如何在最開(kāi)始就構(gòu)建安全的系統(tǒng)呢？
通過(guò)有效的源代碼管理來(lái)構(gòu)建安全的系統(tǒng)
質(zhì)量管理大師 W. Edwards Deming 非常明智地指出，質(zhì)量需要從最開(kāi)始構(gòu)建。（查看參考資料來(lái)了解 Deming 的書(shū)。）DevOps 依賴于有效的源代碼管理來(lái)創(chuàng)建自動(dòng)化的構(gòu)建、打包和部署腳本，從而構(gòu)成部署流水線。
有效的源代碼管理包括：
- 版本控制系統(tǒng)
- 為代碼可靠建立基線的能力
- 使用流和組件進(jìn)行軟件架構(gòu)建模的技術(shù)
- 對(duì)代碼多重變體的支持
將所有的源代碼放入到版本控制系統(tǒng)中，使得 InfoSec 可以掃描源代碼來(lái)發(fā)現(xiàn)安全漏洞。健壯的版本控制系統(tǒng)同樣使得安全分析師可以通過(guò)對(duì)組件結(jié)構(gòu)、組件間的接口進(jìn)行建模以理解系統(tǒng)是如何構(gòu)建的，尤其是組件間的接口，它們經(jīng)常是惡意攻擊所攻擊的目標(biāo)。
DevOps 及部署流水線幫助有效地創(chuàng)建和提供測(cè)試環(huán)境，以用于評(píng)估和測(cè)試在組件間接口上的安全漏洞。通過(guò)以及時(shí)到位的方式提供一個(gè)健壯的測(cè)試環(huán)境可以增強(qiáng)安全性，通過(guò)提供一個(gè)自動(dòng)化的測(cè)試平臺(tái)可以用于識(shí)別需要被定位的安全問(wèn)題。一旦代碼中的問(wèn)題被找到，它們就能被定位作為缺陷或變更請(qǐng)求，從而在它們的整個(gè)生命周期中被追蹤到，以確保已被識(shí)別的風(fēng)險(xiǎn)可以被定位。
健壯的源代碼管理解決方案可以幫助管理應(yīng)用的生命周期，通過(guò)提供一組工具和過(guò)程來(lái)幫助驅(qū)動(dòng)整個(gè)開(kāi)發(fā)，涵蓋從選擇正確的需求到管理在系統(tǒng)還處于產(chǎn)品階段的缺陷等各個(gè)方面。追蹤需求和缺陷是基于任務(wù)的開(kāi)發(fā)（Task-based development）的核心方面。
DevOps 面向健壯性和有效信息安全的最佳實(shí)踐
以下小節(jié)描述了從 DevOps 原則中推薦用于構(gòu)建信息安全的建議：
- 開(kāi)發(fā)、運(yùn)維以及信息安全團(tuán)隊(duì)之間的協(xié)作
- 使用基于任務(wù)的方式開(kāi)發(fā)軟件
- 自動(dòng)化應(yīng)用程序的構(gòu)建、打包和部署
- 使用代碼庫(kù)來(lái)機(jī)制化代碼
- 識(shí)別薄弱的環(huán)節(jié)
- 執(zhí)行侵入測(cè)試
- 編程化構(gòu)建基礎(chǔ)架構(gòu)
- 使用自動(dòng)化系統(tǒng)來(lái)配置和驗(yàn)證操作系統(tǒng)
- 提供安全和可信的應(yīng)用程序基
- 依賴于標(biāo)準(zhǔn)和框架
- 建立非授權(quán)變更的早期偵測(cè)
開(kāi)發(fā)、運(yùn)維和信息安全團(tuán)隊(duì)之間的協(xié)作
信息安全團(tuán)隊(duì)通常非常缺乏足夠能理解復(fù)雜系統(tǒng)常見(jiàn)的內(nèi)在自有安全漏洞方面的技術(shù)專家。正如 DevOps 能改善開(kāi)發(fā)與運(yùn)維之間的溝通，DevOps 同樣能增強(qiáng)信息安全團(tuán)隊(duì)的能力，它允許信息安全團(tuán)隊(duì)完全理解整個(gè)應(yīng)用以及它是如何構(gòu)建、打包和部署的。這一知識(shí)可以幫助 InfoSec 維護(hù)一個(gè)相關(guān)的和有效的關(guān)注。通過(guò)理解系統(tǒng)的基礎(chǔ)架構(gòu)，InfoSec 同樣可以幫助理解何時(shí)安全會(huì)被突破以及應(yīng)該采取什么樣的措施應(yīng)對(duì)該安全漏洞，尤其在基礎(chǔ)設(shè)施自身缺乏安全免疫力的前提下。在許多案例中，這對(duì)使用自動(dòng)化的過(guò)程重建服務(wù)器來(lái)說(shuō)非常關(guān)鍵。
使用基于任務(wù)的方式開(kāi)發(fā)軟件
基于任務(wù)的開(kāi)發(fā)（Task-based development）涉及了對(duì)諸如任務(wù)、缺陷和需求等工作項(xiàng)的創(chuàng)建，以及在為開(kāi)發(fā)相關(guān)代碼所創(chuàng)建的變更集中追蹤這些工作項(xiàng)。通過(guò)追蹤需求與任務(wù)和缺陷之間的聯(lián)系，通常由于一個(gè)核心需求的實(shí)現(xiàn)失敗而導(dǎo)致的安全問(wèn)題就可以得到避免。
追蹤需求與測(cè)試案例之間的聯(lián)系也是基于任務(wù)開(kāi)發(fā)一個(gè)重要的方面，因?yàn)樗梢源_保每一個(gè)需求可以得到驗(yàn)證（verified）和檢驗(yàn)（validated）。這一可追溯性對(duì)于避免由于缺陷而導(dǎo)致的安全漏洞來(lái)說(shuō)非常關(guān)鍵。定義和追蹤工作項(xiàng)可以幫助管理開(kāi)發(fā)工作的復(fù)雜性。代碼同樣可以被機(jī)制化以幫助建立安全測(cè)試。
支持基于任務(wù)開(kāi)發(fā)的 IBM 軟件：
- IBM Rational Team Concert 可以使定義和追蹤工作項(xiàng)更加容易。
- IBM® Rational® Quality Manager，一個(gè)基于 web 的中央化測(cè)試管理環(huán)境，為追蹤和生成度量報(bào)表提供了一個(gè)協(xié)作化的解決方案。
自動(dòng)化應(yīng)用程序的構(gòu)建、打包和部署
可以以多種方式來(lái)創(chuàng)建自動(dòng)化過(guò)程來(lái)構(gòu)建、打包和部署代碼來(lái)支持敏捷迭代開(kāi)發(fā)。自動(dòng)化構(gòu)建過(guò)程是實(shí)現(xiàn)持續(xù)集成（continuous integration）和持續(xù)交付（continuous delivery）的一個(gè)前提條件。構(gòu)建過(guò)程應(yīng)當(dāng)自動(dòng)化地嵌入不可改變的版本 ID 到每一個(gè)由構(gòu)建過(guò)程所使用或所創(chuàng)建的配置項(xiàng)（configuration item，CI）中。這也是加密哈希值（hash）應(yīng)當(dāng)被創(chuàng)建的地方，以便在下文將要介紹的應(yīng)用程序部署過(guò)程中用于驗(yàn)證。沖刺里程碑發(fā)布版本（Sprint milestone release）可以被用于測(cè)試和驗(yàn)證在項(xiàng)目啟動(dòng)階段（inception）尚未被完全理解的需求。更加重要的是，關(guān)于如何構(gòu)建每一個(gè)組件的技術(shù)細(xì)節(jié)可以被隱含性地文檔記錄，并可以被包括了信息安全方面的感興趣的利益相關(guān)者所審閱。在代碼中創(chuàng)建變體可以建立應(yīng)用程序的測(cè)試，包括機(jī)制化代碼來(lái)建立與安全相關(guān)的測(cè)試。
#p#
使用代碼庫(kù)來(lái)機(jī)制化代碼
將代碼機(jī)制化涉及了結(jié)合代碼庫(kù)來(lái)運(yùn)行代碼，以便可以更加容易地掃描運(yùn)行時(shí)代碼的安全漏洞。DevOps 在代碼被構(gòu)建、打包和部署到一個(gè)以識(shí)別安全漏洞為目的的測(cè)試機(jī)器方面擔(dān)當(dāng)了一個(gè)關(guān)鍵的角色。為了保持 DevOps 關(guān)注于盡早定位問(wèn)題，對(duì)一個(gè)應(yīng)用程序的安全分析需要在整個(gè)應(yīng)用生命周期的過(guò)程中貫徹執(zhí)行。嘗試在生命周期的后期修復(fù)一個(gè)安全問(wèn)題會(huì)比在開(kāi)發(fā)工作的前期及早期定位它更加困難。通過(guò)參與到整個(gè)應(yīng)用生命周期當(dāng)中，安全分析師可以更加有效地識(shí)別系統(tǒng)中存在的任何問(wèn)題。
可以幫助進(jìn)行應(yīng)用安全檢測(cè)的 IBM 軟件：
- IBM® Security AppScan® 使您可以在整個(gè)應(yīng)用生命周期當(dāng)中貫徹執(zhí)行靜態(tài)和動(dòng)態(tài)測(cè)試。
- IBM® Security Qradar® Vulnerability Manager 為應(yīng)用程序?qū)崿F(xiàn)了智能化的漏洞掃描。
識(shí)別薄弱環(huán)節(jié)
如同諺語(yǔ)所說(shuō)的，“鏈條的堅(jiān)固程度取決于它最薄弱的環(huán)節(jié)”（"a chain is only as strong as its weakest link"）。通過(guò)考察系統(tǒng)最全面的視圖，安全分析師可以識(shí)別出針對(duì)某一個(gè)特定組件或組件間接口所存在的問(wèn)題。面向遺留系統(tǒng)的接口通常是必須的。它們也同樣是鏈條中最薄弱的環(huán)節(jié)。在漏洞被識(shí)別為風(fēng)險(xiǎn)之后，應(yīng)用程序可以被測(cè)試來(lái)找到潛在的安全問(wèn)題?？梢圆扇∠鄳?yīng)的步驟用于減小風(fēng)險(xiǎn)，并定位安全漏洞。這些技術(shù)對(duì)于建立早期入侵測(cè)試來(lái)說(shuō)非常有用。
執(zhí)行入侵測(cè)試
部署流水線提供了一個(gè)有效的框架來(lái)創(chuàng)建所必須的測(cè)試環(huán)境來(lái)執(zhí)行入侵測(cè)試。通過(guò) DevOps，入侵測(cè)試可以在整個(gè)軟件和系統(tǒng)生命周期中貫徹進(jìn)行。通過(guò)改善開(kāi)發(fā)和信息安全團(tuán)隊(duì)之間的溝通，DevOps 及 InfoSec 都可以在通常專門為入侵測(cè)試所留出的短小時(shí)間片斷里設(shè)計(jì)和執(zhí)行更加有效的入侵測(cè)試。部署流水線同樣可以使信息安全人員可以獲得對(duì)于有效評(píng)估安全漏洞來(lái)說(shuō)非常關(guān)鍵的技術(shù)信息。
編程化地構(gòu)建基礎(chǔ)設(shè)施
安全專家認(rèn)為大多數(shù)的系統(tǒng)都是缺乏免疫力的，而且一旦環(huán)境被入侵，惡意代碼通常都可以隨之被卷入。通常黑客會(huì)入侵沒(méi)有恰當(dāng)安全保護(hù)的系統(tǒng)，然后使用這些系統(tǒng)來(lái)攻擊其他更安全的機(jī)器。此類的攻擊通常都涉及到拒絕服務(wù)攻擊（denial of service attack），由此可以追溯到被用于攻擊的機(jī)器。在拒絕服務(wù)攻擊中，受信任的受害者會(huì)發(fā)現(xiàn)他們自身被告發(fā)參與發(fā)起對(duì)另外一個(gè)系統(tǒng)的攻擊，并被要求解釋為何他們的機(jī)器被用于惡意目的。
當(dāng)一個(gè)系統(tǒng)缺乏免疫時(shí)，最佳的直接行動(dòng)就是徹底清除和重新準(zhǔn)備服務(wù)器。DevOps 提供了許多智能的過(guò)程從包括操作系統(tǒng)和應(yīng)用程序基礎(chǔ)等方面來(lái)通過(guò)完全自動(dòng)化的流程構(gòu)建服務(wù)器。這種通過(guò)編程化構(gòu)建基礎(chǔ)設(shè)施的能力也被稱為基礎(chǔ)設(shè)施即代碼（Infrastructure as Code）。DevOps 中這一關(guān)鍵的實(shí)踐通常用于支持基于云的基礎(chǔ)設(shè)施。這些技術(shù)也被稱作敏捷系統(tǒng)管理（agile systems administration）一個(gè)引用自與 DevOps 在敏捷開(kāi)發(fā)環(huán)境中所提供的價(jià)值相關(guān)的術(shù)語(yǔ)。
IBM® Tivoli® Provisioning Manager 通過(guò)自動(dòng)化物理服務(wù)器、虛擬服務(wù)器、軟件、存儲(chǔ)和網(wǎng)絡(luò)的管理，可以實(shí)現(xiàn)一個(gè)動(dòng)態(tài)的基礎(chǔ)架構(gòu)。
使用自動(dòng)化系統(tǒng)來(lái)配置和驗(yàn)證操作系統(tǒng)
基礎(chǔ)設(shè)施即代碼（Infrastructure as Code）通過(guò)提供自動(dòng)化過(guò)程來(lái)配置和驗(yàn)證操作系統(tǒng)符合已建立的行業(yè)安全標(biāo)準(zhǔn)，例如被廣泛遵從的互聯(lián)網(wǎng)安全中心安全標(biāo)桿（Center for Internet Security (CIS) Security benchmark），可以被用于實(shí)現(xiàn)安全的系統(tǒng)。這些標(biāo)桿精確定義了操作系統(tǒng)應(yīng)當(dāng)如何被配置。（查看 參考資料來(lái)獲得到 Center for Internet Security 的鏈接。）
對(duì)操作系統(tǒng)的準(zhǔn)備和對(duì)安全配置的驗(yàn)證這兩方面都可以使用由 CIS 規(guī)范所提供的指南被完全地腳本化。腳本使服務(wù)器可以通過(guò)一個(gè)自動(dòng)化的過(guò)程被完全準(zhǔn)備好和提供支持。為了確保一個(gè)可靠和安全的平臺(tái)，應(yīng)當(dāng)從一個(gè)完全安全并被正確配置的服務(wù)器開(kāi)始。在您的服務(wù)器基礎(chǔ)設(shè)施被準(zhǔn)備好和可以被驗(yàn)證之后，就可以使用相同的原則以一個(gè)安全和可驗(yàn)證的方式來(lái)部署應(yīng)用程序基礎(chǔ)。通過(guò)嵌入版本 ID 到每一個(gè)配置項(xiàng)中，包括代碼組件、配置和屬性文件，這一自動(dòng)化構(gòu)建過(guò)程可以確保代碼一旦被部署就可以被驗(yàn)證。
加密哈希值（Cryptographic hash）應(yīng)當(dāng)被創(chuàng)建用在應(yīng)用程序部署的驗(yàn)證當(dāng)中。
部署應(yīng)用程序本身與提供一個(gè)完全安全可信的應(yīng)用程序基礎(chǔ)同樣非常重要，而且不僅僅只是驗(yàn)證，還應(yīng)進(jìn)行安全漏洞的偵測(cè)，包括非授權(quán)的變更。為部署驗(yàn)證構(gòu)建包含嵌入版本 ID 的代碼，以及使用加密技術(shù)來(lái)識(shí)別非授權(quán)的變更，使得您可以創(chuàng)建一個(gè)安全可信的應(yīng)用程序基礎(chǔ)。
IBM Tivoli Provisioning Manager for OS Deployment 可以實(shí)現(xiàn)操作系統(tǒng)的自動(dòng)化遠(yuǎn)程部署。
IBM® UrbanCode Deploy 提供了一個(gè)自動(dòng)化部署框架來(lái)減少部署錯(cuò)誤并改善效率、正確性和可追溯性。
提供安全可信的應(yīng)用程序基礎(chǔ)
為了確?？尚诺膽?yīng)用程序基礎(chǔ)，應(yīng)當(dāng)使用可以安全識(shí)別準(zhǔn)確二進(jìn)制代碼以及所有其他配置項(xiàng)（包括 XML 及屬性配置文件）的過(guò)程來(lái)構(gòu)建應(yīng)用程序代碼，以便您可以毫無(wú)疑問(wèn)地證明正確的代碼確實(shí)被部署和確認(rèn)沒(méi)有非授權(quán)的變更發(fā)生。
這些過(guò)程通常會(huì)使用在應(yīng)用程序自動(dòng)化構(gòu)建和打包過(guò)程中就首先創(chuàng)建的加密哈希值。一旦代碼被部署，哈希值就可以被重新計(jì)算來(lái)驗(yàn)證所有的代碼是否被正確部署。
這些相同的過(guò)程可以被用于建立可靠的基線和用于識(shí)別任何非授權(quán)的變更，通常這些變更會(huì)由于人為錯(cuò)誤或惡意目的而潛在發(fā)生。
從一個(gè)安全可信的應(yīng)用程序基礎(chǔ)開(kāi)始工作，可以確保系統(tǒng)被可靠和準(zhǔn)確地部署，并使之更加容易地識(shí)別和定位任何可能的安全缺口。當(dāng)非授權(quán)的變更被實(shí)現(xiàn)之后，基線應(yīng)當(dāng)能被更新來(lái)進(jìn)行記錄并追蹤變更。這些技術(shù)被描述在許多行業(yè)標(biāo)準(zhǔn)和框架當(dāng)中，包括被廣泛遵從的 ITIL v3 框架，該框架提供了關(guān)于如何構(gòu)建和維護(hù)可靠服務(wù)的指南。
IBM® Rational® Integrated Development Environments (IDEs) 運(yùn)行在開(kāi)發(fā)人員的桌面上，提供豐富的能力用于開(kāi)發(fā)、單元測(cè)試、除錯(cuò)、分析、現(xiàn)代化和優(yōu)化應(yīng)用程序。
依賴于標(biāo)準(zhǔn)和框架
標(biāo)準(zhǔn)和框架提供了關(guān)于如何實(shí)現(xiàn)安全可靠系統(tǒng)的專家指南。這當(dāng)中許多功能和過(guò)程被描述在這些指南中，包括監(jiān)控和追蹤代碼基線的能力。ITIL v3 框架描述了服務(wù)資產(chǎn)配置管理（Service Asset & Configuration Management，SACM），可以捕獲基線并存儲(chǔ)在配置管理系統(tǒng)（configuration management system，CMS）。這些基線可以通過(guò)配置管理數(shù)據(jù)庫(kù)（configuration management database，CMDB）進(jìn)行監(jiān)控，并且將差異報(bào)告到 CMS 中。最終介質(zhì)庫(kù)（Definitive Media Library，DML）包含了基線、正式發(fā)布版本可以作為一部分部署用于準(zhǔn)備服務(wù)器。
這些技術(shù)，包括使用入侵預(yù)防系統(tǒng)（Intrusion Prevention System，IDS）來(lái)監(jiān)控基線的最佳實(shí)踐，被作為業(yè)界最佳實(shí)踐而得到廣泛注重。DevOps 方式提供了自動(dòng)化和框架來(lái)實(shí)現(xiàn)這些過(guò)程。但即使采用了最佳預(yù)防實(shí)踐，入侵仍然可能發(fā)生。偵測(cè)和響應(yīng)事故的能力是非常關(guān)鍵的。
建立非授權(quán)變更的早期偵測(cè)
當(dāng)非授權(quán)變更發(fā)生時(shí)，無(wú)論是因?yàn)槿藶殄e(cuò)誤還是惡意攻擊，它們都應(yīng)被立即偵測(cè)到并觸發(fā)事故響應(yīng)。DevOps 方式提供了流程來(lái)讓非授權(quán)變更可以更容易被偵測(cè)和主動(dòng)定位到，以實(shí)現(xiàn)對(duì)用戶最小的影響。它們還提供了準(zhǔn)備服務(wù)器和立即部署系統(tǒng)來(lái)重建系統(tǒng)恢復(fù)到一個(gè)可靠的基線上的基本條件。這些技術(shù)需要在關(guān)鍵利益相關(guān)者之間的協(xié)作以及優(yōu)異的溝通，這包括了開(kāi)發(fā)、運(yùn)維、質(zhì)量保證、測(cè)試和信息安全等團(tuán)隊(duì)。
許多 IBM Rational 變更管理軟件產(chǎn)品 可以幫助監(jiān)管軟件變更和配置管理。
結(jié)論
DevOps 在關(guān)注于幫助開(kāi)發(fā)人員與運(yùn)維人員一起更加有效的工作方面非常知名。信息安全及質(zhì)量保證和測(cè)試團(tuán)隊(duì)，也同樣是應(yīng)當(dāng)在 DevOps 框架中被展現(xiàn)的關(guān)鍵利益相關(guān)者。DevOps 幫助改善溝通，并幫助從編寫(xiě)代碼的開(kāi)發(fā)人員處傳遞核心技術(shù)知識(shí)給負(fù)責(zé)確保實(shí)現(xiàn)無(wú)中斷服務(wù)運(yùn)維和安全專業(yè)人員。通過(guò) DevOps 已有的結(jié)構(gòu)，InfoSec 可以決定明智的決策，以幫助保護(hù)系統(tǒng)基礎(chǔ)設(shè)施和應(yīng)用程序免于發(fā)生任何有可能導(dǎo)致系統(tǒng)產(chǎn)生危險(xiǎn)的非預(yù)期事件，無(wú)論這些事件是由于無(wú)意的錯(cuò)誤或惡意攻擊。保持系統(tǒng)安全幫助避免系統(tǒng)災(zāi)難，并確保無(wú)中斷的服務(wù)。DevOps 方式以及部署流水線使得您的團(tuán)隊(duì)可以產(chǎn)出既同時(shí)滿足您業(yè)務(wù)需求，又能提供安全可信應(yīng)用程序基礎(chǔ)的功能特性。
