共计 2591 个字符，预计需要花费 7 分钟才能阅读完成。
应用程序安全性面临的挑战日益严重，波及数据泄露、进犯隐衷和其余网络威逼的事件层出不穷，任何没有将安全性放在首位的软件开发模型都有可能导致公司的财务和声誉损失。面对这些挑战，平安软件开发生命周期（SSDLC）应运而生。
浏览本文，您能理解到什么是平安软件开发生命周期，如何实现它，以及如何将平安嵌入软件开发生命周期的所有阶段。
作为 DevSecOps 解决方案提供商、Mend（原 WhiteSource）受权合作伙伴，龙智始终关注开源平安问题，致力于帮忙您将“平安”理念真正落地在 DevOps 的实际中。欢送分割咱们，理解如何解决开源代码平安问题。
在软件开发生态系统中，平安威逼层出不穷，企业须要在整个开发和交付过程中把控平安，将图谋不轨的人拒之门外，这就是“平安软件开发生命周期”的用武之地。企业除了须要为客户提供当先于竞争对手的翻新产品外，更须要在软件开发生命周期的每一步都十分平安。
为了实现平安的软件开发生命周期，您须要采取一些重要但常常被忽视的措施，在此过程中，还须要应用正确的工具来实现这项工作。
什么是平安的软件开发生命周期？
在一个平安的软件开发生命周期中，平安被整合到整个开发和交付周期，并在每个阶段落地施行。平安软件开发生命周期的设计是为了尽早发现和修复平安问题，而不是把平安测试放到开发的前期阶段，因为在前期解决问题的老本和工夫要都会大大增加。
实现平安软件开发生命周期须要企业采纳一套新的平安实际和流程，以及 DevSecOps 办法。这种新办法波及到平安软件开发生命周期的各个方面，以确保将安全性融入整个开发过程，并放慢检测和修复。这包含尽早、常常测试平安的更新流程，在整个软件开发生命周期中集成自动化利用平安测试工具，并确保安全性。DevOps 和开发团队有一个独特的指标——平安开发和交付。
依据 Forrester 最近的《应用程序平安情况报告》，软件开发组织的平安专家曾经开始投资以实现平安软件开发生命周期，他们也正在将测试工具施行利用到开发过程的晚期。
为什么确保软件开发生命周期的平安很重要
在过来的几年里，对应用层（Application layer）的攻打变得越来越广泛。Ponemon 最近对于升高企业应用平安危险的钻研报告发现，许多人认为平安危险的最高级别是在应用层。
您的企业最放心哪种类型的攻打？
该钻研考察了 600 多名 IT 和 IT 平安从业者，以理解企业对应用程序平安的关注度持续上升的起因。而报告中提出了一些乏味的后果，受访者指出，除了无奈在生产中进行疾速修复外，还无奈疾速检测破绽和威逼。近 60% 的受访者示意，在生产阶段打补丁可能须要数天、数周甚至数月的工夫。
然而，当平安软件开发生命周期施行到位时，这些都不再是问题。
咱们如何能力实现平安软件开发生命周期？
平安左移是平安软件开发生命周期中的一个重要准则。这要求开发和平安团队从最早的阶段开始，在整个软件开发生命周期中纳入最新的平安实际和工具。平安左移能够帮忙企业在前期节俭大量工夫和金钱，因为与在软件开发生命周期晚期阶段解决安全漏洞相比，在后期制作中修复安全漏洞的老本要高得多。
将安全性嵌入平安软件开发生命周期的所有阶段
软件开发生命周期的每一步都须要平安的施行和工具。在所有阶段中，自动检测、优先解决和修复工具都能够与您团队的 IDE、代码存储库、构建服务器和谬误跟踪工具集成，以便在呈现潜在危险呈现时立刻解决。
#1 布局
首先，在布局阶段，开发人员和平安专家须要思考在开发过程中可能须要留神哪些常见危险，并做好筹备。
#2 需要与剖析
在软件开发生命周期的第二阶段，要对将应用的技术、框架和语言做出决定。专家应该思考哪些破绽可能威逼到所选开发工具的平安，而后在整个设计和开发过程中做出失当的平安抉择。
#3 架构与设计
在这个阶段，团队应该遵循架构和设计指南来解决在后面阶段曾经思考和剖析的危险。当破绽在设计阶段的晚期被解决时，就能够胜利地确保它们不会在开发阶段损坏软件。像威逼建模和架构危险剖析这样的流程，将使您的开发流程变得更简略、更平安。
#4 开发
在开发阶段，团队须要确保他们应用了平安的编码标准。在执行日常代码审查，确保我的项目具备指定个性和性能的同时，开发人员还须要留神代码中的任何安全漏洞。
#5 测试
测试阶段应该包含平安测试，应用自动化的 DevSecOps 工具来进步应用程序的安全性。
重要的是要记住，DeSecvOps 办法要求在整个软件开发周期中进行继续测试。尽早并常常进行测试是确保您的产品和软件开发周期从一开始就平安的最佳形式。这意味着团队应该在开发的最早阶段开始测试，而且平安测试在部署和施行阶段也不会进行。
#6 保护
只管您的团队在测试期间可能曾经做得很彻底了，但现实生活与测试环境不同。要筹备好解决以前没有发现的谬误或危险，并确保正确执行配置。
即便在部署和施行之后，也须要在整个软件维护过程中遵循平安实际。产品须要不断更新来确保不被新破绽所影响，并与您可能决定采纳的任何新工具兼容。
亲密关注开源平安
为实现平安的软件开发生命周期，另一个须要解决的问题是有已知破绽的开源组件。因为当初的软件产品蕴含 60%-80% 的开源代码，因而，关注开源平安治理在整个软件开发生命周期中都十分重要。软件成分剖析 (SCA) 工具 Mend（原 Whitesource）是一个很好的抉择。作为软件成分剖析（SCA）市场的先驱者，Mend 能够实时揭示开发人员留神其代码中呈现的任何开源危险，甚至提供切实可行的优先级、修复倡议以及主动修复。
通过应用 Mend，企业能够超过于检测范畴之外，以更高的效率主动发现并阻止应用程序安全漏洞。开发人员能够在其本地环境中实时理解如何修复代码，并帮忙所在公司在不影响开发期限的状况下，升高应用程序平安危险。
作者简介：
帕特里夏·约翰逊（PATRICIA JOHNSON）
一位在利用程序开发、基础设施和平安方面具备丰盛教训的技术和商业领导者，并且十分关注开源软件。帕特里夏帮忙公司更好地治理他们的开源应用，使他们可能专一于构建平凡的产品，并最大限度地施展开源的劣势。
文章起源：https://www.mend.io/resources…
如需理解更多开源代码检测工具 Mend 的相干信息，请分割 Mend 受权合作伙伴——龙智：
官网：www.shdsd.com
电话：400-666-7732
邮箱：marketing@shdsd.com
