فرآیندهای چابک و امنیت IT را با DevSecOps ترکیب کنید

بسیاری از شرکت ها از فناوری ظرف داکر استفاده می کنند. این پایدار از چرخه های توسعه سریعتر پشتیبانی می کند. نرم افزار منبع باز Kubernetes خود را برای مدیریت تعداد زیادی از ظروف – به اصطلاح ارکسترال – تاسیس کرده است. با این حال ، مأمورین رعایت یا امنیت در بسیاری از شرکت ها نگاهی جدی به آنچه فرصت های جدید را برای توسعه دهندگان ایجاد می کند ، دارند. به عنوان مثال ، IT Days 2019 در دسامبر 2019 به طور جدی با سؤالاتی در مورد فن آوری کانتینر و امنیت فناوری اطلاعات در یک پنل برخورد خواهد کرد. فن آوری کانتینر باعث تسریع در فرآیند های کاری ، آزمایش ، عملکرد تست ، چرخش و عملکرد تولید می شود. آنها برای جلوگیری از خرابی در امنیت فناوری اطلاعات ، نیاز به درک اساسی از فناوری دارند. ویژگی های امنیتی Kubernetes مانند کنترل دسترسی مبتنی بر نقش یا PodSecurityPolicy ، یک منبع اضافی برای کنترل دسترسی ، در اینجا کمک می کند. ابزار مفید دیگر CIS Kubernetes Benchmark است – مشابه CIS Docker Benchmark ، لیست مفیدی برای تهیه خوشه Kubernetes وجود دارد.

کار با میکرو سرویس ها همچنین برای فرآیندهای DevOps بسیار مهم است. مزیت این معماری پیوندها این است که بسته به نیازهای تغییر یافته ، ماژولهای جداگانه می توانند به سرعت جایگزین ، گسترش یا اقتباس شوند. با این حال ، مسئولیت امنیت محیط های IT هنگامی که شرکت ها فرآیندهای DevOps و میکرو سرویس ها را معرفی می کنند ، بطور قابل توجهی تغییر می کند. این همچنین نتیجه مطالعه "امنیت امنیتی در عصر میکروسرویس" توسط شرکت نرم افزاری Radware است. طبق گفته Radware ، اگر نقش عملیات توسعه امنیت (DevSecOps) به طور واضح مشخص نشده باشد ، این تغییر می تواند منجر به ایجاد شکاف های امنیتی جدید و خطرات بالاتر شود.

خلاصه: شرکت ها باید "فرهنگ DevSecOps" ایجاد کنند تا بتوانند از چابک استفاده کنند. برای اینکه بتوانید از فرآیندهای بدون خطر امنیت استفاده کنید.

معرفی DevOps با استفاده از مثال Adacor

Adacor از اوایل سال 2019 با رویکرد DevSecOps همکاری می کند. جلسه امنیتی این روند را آغاز کرد. مدیریت و نمایندگان بخشهای مربوط به انطباق و بهره برداری برای تعیین شرایط عمومی و یک جدول زمان بندی برای معرفی ، گرد هم آمدند. سوئیچ قبلی به DevOps نیاز به ادغام امنیت فناوری اطلاعات در فرآیندهای چابک را نشان داده بود.

سازمان امنیت اطلاعات Adacor سپس خود را ترمیم کرد:

• اکنون یک منطقه مسئول استراتژی امنیتی است. کارمندان در آنجا تصمیم گیری های استراتژیک در مورد امنیت اطلاعات را با مشورت نزدیک با مدیریت ، کارمندان حوزه مدیریت امنیت اطلاعات و انطباق (ISM) و نمایندگان بخش های تخصصی اتخاذ می کنند.
• حوزه دیگری در سطح سازمانی فعالیت می کند. این تیم امنیتی اطلاعات با نمایندگان بخش های عملیاتی هماهنگ هستند – در Adacor اینها عملیات فناوری (TOP) ، عملیات شبکه (NOP) و عملیات مشتری (COP) – و همچنین با بخش های توسعه (DEV) و انطباق هستند. براساس تصمیمات استراتژیک ، آنها اجرای عملیاتی الزامات سازمانی در سیستمهای IT را هماهنگ می کنند.

در جلسات منظم ، همه افراد درگیر در این فرآیند اکنون از موضوعات امنیتی فعلی مطلع می شوند. تمرکز روی امنیت به عنوان یک واحد عملکردی متقاطع است.

DevSecOps در عمل

برای ادغام کامل امنیت (SEC) در رویکرد DevOps ، Adacor از ابزارهای توسعه دهنده استفاده می کند ، توضیحات فرآیند را ایجاد می کند و ابزارهایی را برای انتشار نقش های جدید به اجرا در می آورد. اتوماسیون نقش اساسی در رویکرد DevOps دارد. نظارت دائمی روی مؤلفه های مربوطه و اسکن های امنیتی خودکار ، تیم های آداکار را در مورد حملات ، پیام های خطا و نقص عملکرد در هنگام بهره برداری آگاه می کند.

Adacor دستورالعمل های سخت کاری را برای کلیه پروژه های IT داخلی ، به ویژه برای سیستم های IT با اطلاعات حساس تنظیم می کند. به راهنمای اجرای فنی امنیتی (STIG). در صورت لزوم ، آنها می توانند در پروژه های مشتری سازگار شوند. آداکور همچنین نقش های سخت گیرانه ای را انجام داده است. این مجموعه دستورات و اقدامات ساده طراحی سرور یا برنامه را ساده تر می کند: در صورت لزوم می توانید بلوک های فرمان شخصی جدا شوند و یک برنامه مربوطه ایجاد شود.

از طریق رسانه ، تیم سازگار یا یک خبرنامه امنیتی IT به یک حفره امنیتی تبدیل می شود. یا اگر حادثه حاد امنیتی شناخته شود ، همه کارمندان از طریق سیستم بلیط بلیط جیرا یا از طریق ایمیل مطلع می شوند. سیستم مدیریت آسیب پذیری ما نیز اعمال می شود. نمایندگان تیم های OPS و DEV به طور مشترک این واقعه را ارزیابی می کنند: آیا سوراخ امنیتی برای Adacor مناسب است؟ کدام پروژه های مشتری را می توان تحت تأثیر قرار داد؟ آنها سپس به سرعت کاتالوگ اقدامات را با توصیه هایی برای اقدام برای همه اعضای تیم مربوط تهیه می کنند. این اقدامات تا زمانی که پرونده امنیتی حل نشود ، در بررسی ها نظارت می شود.

رویکرد همکاری DevOps حوزه مسئولیت امنیت IT را تغییر می دهد

اقدامات امنیتی باید از مرحله اول در این پروسه ادغام شود. کلمه مصنوعی "DevSecOps" ایجاد شده است تا روشن شود که امنیت باید جزئی جدایی ناپذیر از کلیه ابتکارات DevOps باشد. این بدان معناست که امنیت کاربرد و زیرساخت ها باید از قبل در مرحله مفهوم مورد توجه قرار گیرد. برای تحمل سرعت زیاد گردش کار DevOps ، اتوماسیون ویژگی های امنیتی ضروری است. انتخاب ابزار مناسب نقش مهمی در ادغام موفقیت در امنیت DevOps دارد. به منظور ایجاد کارآمد و ایمن فرآیندها ، شرکتها مجبورند تغییراتی در فرهنگ سازمانی و طراحی مجدد ساختار تیمهای امنیتی ارائه دهند.