共计 1722 个字符，预计需要花费 5 分钟才能阅读完成。
目前，业界曾经达成共识：“平安左移”成为了落地 DevSecOps 的重要实际之一。
所谓左右，与软件研发生命周期（SDLC）相干，惯例的软件研发生命周期从左到右根本由以下步骤组成：打算（Plan）→ 编码（Code）→ 测试（Test）→ 公布（Release）→ 部署（Deploy）→ 运维 & 监控（Operation & Monitoring）。
“左移”是指凑近编码、打算侧，“右移”是指凑近上线运维侧。
平安左移与软件麻利交付无关。传统平安伎俩和平安人员的染指，都在 SDLC 右侧。在敏态交付的驱动下，产品月度公布甚至周公布都变得稀松平时了，但平安始终是软件交付的底线与基石。为了在疾速交付的前提下，还能保障软件的安全性，就提出了将平安进行左移的思路——即在打算、编码阶段就让平安染指，从源头把控平安。
平安左移是一本经济账
归根究底，平安“左移”的背地其实是一本经济账。
从上图能够看出，在软件开发生命周期不同阶段发现破绽，其修复老本（人力、财力等）是不一样的。
如果说需要阶段发现一个破绽，其修复老本是 1，在编码阶段发现，其老本就变成了 5，而在生产阶段老本变成了惊人的 30，这意味着：生产阶段破绽修复老本 = 需要阶段破绽修复老本 x 30。
也就是说：越早发现破绽，其修复老本越低，而越早也就意味着要在凑近软件开发生命周期左侧来发现破绽，即“平安左移”。
3 个层面，实现真正的平安左移
要实现真正的“平安左移”，须要做到以下三个层级：
伎俩 / 工具左移
针对应用程序平安，不同阶段有不同的平安伎俩来帮忙发现潜在的安全漏洞，诸如:
- 传统的动态应用程序平安测试（SAST），能够在应用程序处于非运行态时，针对源码、字节码、二进制包等进行扫描，发现问题;
- 动静应用程序平安测试（DAST），能够在应用程序在运行态时，扫描和发现问题；
- 敏感信息监测；
- 当下时髦的容器镜像扫描、IAST、RASP 等伎俩。
在传统时代，平安个别在靠后阶段（可能是 Test 阶段甚至 Release 阶段）染指，个别是由业余的平安人员来手动进行上述的平安测试。这个过程中，研发不参加平安问题发现。
而在“平安左移”体系中，咱们激励研发人员参加到平安防护体系中来，甚至成为平安发现与修复的前站。比方在 IDE 中集成 SAST，在编码阶段就能在本地进行平安扫描，一旦发现问题，即可自行修复，不波及与其余团队（测试、平安）的交互，升高了沟通老本。
此外，开发人员也能够在本地尝试敏感信息扫描（可利用开源的 git-secrets、git-leaks 等工具）确保编码时没有对于敏感信息（数据库明码、token 等）进行 Hardcode。
伎俩 / 工具的左移，是实现“平安左移”的第一个层级，也是最容易实现的一个层级。
数据左移
当然，对于平安而言，发现问题并不是最重要的，能尽快修复问题才是最终目标。这就要求所有平安报告（由第一层级的平安工具所产生）的数据通过无效整顿（如去除假阳性、辨别好破绽的重大等级、倡议的修复伎俩等）并间接反馈给研发人员。反馈形式如间接把后果嵌入到 MR（Merge Request）中，不便开发人员、测试人员、代码审核人员查看信息，以确保合入的代码是通过平安扫描、修复的，进一步保障代码品质。此外，所有平安报告应该有对立的平安面板进行展现，不便所有人员查看，做到公开通明，有助于团队合作。
数据左移的目标是为了 用数据驱动平安问题的修复，同时通过公开通明的形式进步安全性。这是“平安左移”的第二个层级。
文化左移
DevSecOps 模式下，平安人员不再是惟一须要对平安负责的团队 / 人员。
“平安左移”之下，须要造就开发人员对于平安的责任意识，在编码中秉持平安准则，比方不引入有平安危险的内部依赖包、不 Hardcode 敏感信息等。
再往左，还能够造就产品 / 架构的安全意识，在打算 / 设计阶段就充分考虑平安，比方应用威逼建模形式，梳理平安边界、零碎间的平安连贯形式等。
文化左移是“平安左移”的第三个层级，也是最终层级。其目标是打造真正的“人人为平安”的企业文化，这也是 DevSecOps 最终想要达到的指标 —— 一个企业中，所有与软件研发相干的人员都可能成为软件平安交付的瓶颈，只有每个人都具备安全意识，能力打消平安瓶颈点，独特为客户交付平安、高效的软件。
