共计 1830 个字符，预计需要花费 5 分钟才能阅读完成。
在之前的文章中咱们探讨了 DevSecOps 的最佳实际。“平安左移”作为这一实际的准则和理念是无奈绕过的话题。在本篇文章中，咱们将聊聊平安左移的理由及其给企业带来的益处。
麻利和灵便是古代云原生技术的标记，它能够解决从构建到生产的简单数字化转型打算。随着市场变动和疫情常态化，优化软件开发生命周期（SDLC）已逐步成为公司亲密关注的焦点，特地是治理 CI/CD 流水线和 SDLC 前期生产阶段的平安危险。
借助适合的云技术，开发团队可能与 DevOps 及平安经营团队一起平安地构建和测试应用程序的代码，并最终实现更高效运行，同时缩小生产过程中的平安问题。
平安已成为市场差异化标记
2020 年，在已知破绽中，90% 波及到 Web 应用程序，这是黑客攻击的次要指标 。而消费者则是最间接受害者，因为他们的个人身份信息（PII）正在被曝光并在暗网上发售。将平安代码更快地投入生产环境意味着更少的安全漏洞。同时用户隐衷和平安对消费者来说非常重要，而企业以因提供更平安的服务给消费者可能取得更多青眼和支出。
歹意攻击者在对破绽进行攻打时也在调整策略、技术和程序，其攻击速度比以往任何时候都要快，因而在没有 DevSecOps 技术以及 DevOps 流程和团队的状况下开发软件并不可取。而构建弱小的 DevOps 根底，须要对团队成员、工具和组织架构投入精力和金钱。
CI/CD 流水线中的平安左移
CI/CD 流水线是开发人员的必经之路。任何步骤的故障都会触发向对应开发人员发送的告诉。
以下是 CI/CD 流水线中的三个根本阶段：
构建阶段
在这个阶段，代码从源代码中获取并与其依赖项相结合。随后对代码进行编译以在生产服务器上部署最终的应用程序。容器镜像和 IaC 模板在本地进行扫描，或作为 CI/CD 工作流的一部分进行扫描。随后执行自动化测试来验证代码的真实性和品质。
部署阶段
镜像仓库会受到继续监控，以确保应用程序镜像在部署之前是平安的，同时具备防护策略来阻止不平安部署。一旦源代码通过了所有测试，就会部署到各种环境中，如生产环境。
运行阶段
通过环境警报和危险优先级与告诉工具的集成，以此来监控生产环境中的危险。CI/CD 流水线加了严格的法规来爱护个人身份信息。
在 DevOps 中应用 CI/CD 流水线让开发人员无需毁坏代码就可能轻松辨认缺点和软件 / 应用程序品质问题。当“平安左移”概念被退出到 SLDC 时，CI/CD 流水线能够失去进一步强化。平安防护左移将 DevSecOps 准则和工具自动化作为动静集成利用，以在构建 - 测试 - 运行周期中强化平安。
平安左移嵌入 CI/CD 流水线的劣势
当平安左移嵌入到 CI/CD 流水线中时，企业可取得以下四个劣势：
1. 进步应用程序的平安情况
适合的云平台能够扫描容器镜像，并在 IaC 模板中帮忙辨认 SDLC 中的破绽或谬误配置。寻找可能为平安经营团队提供左移扫描后果的云平安性能，并深刻理解生产环境，如果潜在的攻打门路与现有危险相结合，这些性能帮忙 DevOps 和开发团队高效解决问题。
2. 在 SDLC 晚期预防平安危险
在相比之下，晚期的代码问题更容易修复，且修复老本更低。而当代码进入生产环境并呈现问题时，修复老本极高。
3. 更早地将应用程序部署到生产环境
平安不再是开发完结后才进行的工作。将平安更早地集成到 CI/CD 流水线中，可能防止在生产环境呈现相干问题无奈疾速解决，而导致应用程序无奈按时在生产环境中部署的状况。
4. 优化团队合作，增强平安治理
通过将平安集成到 CI/CD 流水线中，并使开发人员和 DevOps 可能在应用与平安团队雷同的平台的同时，可能自行进行扫描流程，团队可能很好地合作，各部门从开发到运行时可能被动治理平安危险。
通过平安左移强化多部门合作
合作对于平安和开发团队至关重要。 平安经营核心（SOC）团队可能须要承受云技术相干培训，而云团队则须要理解企业如何执行风险管理。
理解团队的角色和职责以及各团队履行的平安责任，对于治理平安危险至关重要。平安团队能够疏导开发和 DevOps 团队如何充沛执行威逼建模演习，同时在安全事件期间提供充沛反对。平安团队也能够操作底层平台或库，为云工程团队提供反对（如 IAC 扫描性能、用于身份验证和监控的共享库）以及对工作负载构造进行反对（如平安服务网格）。
随着技术的倒退，平安管理人员比以往任何时候都有更多的抉择，通过专门构建的 SDLC 性能来推动云平安，而这些性能提供了从开发到运行时的环境可视性。这能够将跨职能团队汇集在一起，以对立工作流程和治理平安危险。
