基于DevSecOps的软件供应链安全治理技术简析.docxVIP

基于DevSecOps的软件供应链安全

治理技术简析

0前言

在数字化转型背景下，作为云原生技术不可或缺的持续交付、DevOps、微服务和容器技术正在被广泛使用，面对软件交付周期所带来的压力，DevSecOps理念被提出，DevSecOps是一种融合了开发、安全及运营理念的全新的安全管理模式，其核心理念是：业务应用生命周期的每个环节都需要为安全负责，安全是整个IT团队（包括开发、测试、运维及安全团队）所有成员的责任，并且需要贯穿到从研发至运营的全过程。

——————————

收稿日期：2022-07-29

传统研发运营安全侧重于在测试及运营阶段，进行安全威胁排除，漏洞修复，更多的是被动式安全防御。面对云原生时代业务需要频繁调整、上线，亟需进行安全左移，在需求、研发阶段便进行安全介入，从源头处降低安全风险，实现主动式安全防御，从而构建覆盖软件应用服务全生命周期的安全体系。本文基于DevSecOps理念，在明确业务系统安全需求的前提下，制定贯穿软件系统全生命周期的实践方案，通过在软件开发的不同阶段将安全工具或安全活动进行整合，将各个信息安全孤岛进行串联，协同作战，实现安全设计、安全编码、安全测试和安全运营的统一融合，在提升软件系统研发过程标准化与自动化的同

14

14 2022/09/DTPT

时，降低对效率的影响，也降低安全的成本。

1软件供应链安全治理思路

依托DevSecOps理念，通过构建安全工具链、整合安全流程、嵌入安全自动化检查等方式，将安全贯穿设计、开发、测试、运营生命周期的每个环节，推动研发运营安全体系向敏捷化、自动化演进，应对新的云服务开发运维模型，提高业务系统安全问题修复效率、降低安全运营成本。图1所示为软件供应链安全治理体系。

安全培训

安全设

计 威胁建模活

动

衡量指标

项目组成员应清楚了解DevSecOps各个阶段需要承担的责任和义务，并进一步对DevSec?Ops体系整体过程进行学习

收集有关业务系统、部署环境和合规性要求等方面的信息，自动识别风险和潜在弱点

根据预定义的安全和合规性策略对整体风险进行分类管理

输出安全设计方案，并对安全问题进行跟踪根据业务应用系统的不同安全级别来制定

安全开发衡量指标，用于评估实施效果

软件供应链安全治理体系

图2安全设计活动

DevOps 设计 编码 测试 运营

首先，通过动态调查问卷快速收集有关业务系统、部

管理安全需求管理规范安全编码体系安全设计管理规范管理规范

安全测试规范

安全管理规范

运维安全应急预案

署环境和合规性要求等方面的重要且详细的信息，根据收集到的信息自动识别风险、威胁和潜在弱点；其

安全需求代码安全安全设计安全能力

交互式应用安全评测

应用运行时自保护

安全监控及响应

次，根据预定义的安全和合规性策略对整体风险进行分类管理；最后，输出安全设计方案，并对安全问题进

研发运营安全全流程平台

安全 研发运营流程评审、安全检测与安全评估、应急响应运营

知识 软件开发安全、代码安全规范详解、安全评测赋能

图1软件供应链安全治理体系

2软件供应链安全治理方案

2.1设计安全

应用软件安全设计是保证软件安全的最根本前提，需要根据业务安全策略、合规需求、应用系统的特性等进行快速的分类分级，并根据系统分类分级情况分别定义不同的安全策略，进而选取合适的安全活动

（见图2）。在计划阶段通常涉及的安全活动主要包含安全培训、威胁建模、安全开发衡量指标制定。

行跟踪。

c）衡量指标。根据业务应用系统的不同安全级别，制定对应的安全开发衡量指标，用于评估实施效果。

2.2编码安全

应用软件编码阶段是业务安全问题修复成本最低的时期，依靠安全编码规范、安全基础库SDK的调用以及开源组件安全检测，最大程度地保证在编码阶段消除安全风险，保证软件的原生安全（见图3）。

首先，针对OWASPTOP102021和OWASPTOP10

2017涉及的漏洞类型制定安全编码规范，为应用系统的代码编写提供安全编码方法、安全编码用例、缺陷

安全编码规范

a）安全培训。DevSecOps流程方面需要让项目组成员清楚了解各个阶段需要承担的责任与义务，并进一步对DevSecOps体系整体过程进行学习。DevSec?

指导开发人员安全编码

项

源代码

安全接口调用

指导安全人员构建安全SDK库

Ops工具使用方面需要对项目组成员进行培训，如对

开发人员、安