Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Vývoj a testování v DevSecOps určují, jestli se zabezpečení stane součástí každodenní technické práce, nebo zůstává něco, co týmy řeší příliš pozdě. Silné postupy při psaní kódu, nástrojů, integrace a testování pomáhají týmům najít a opravit problémy, zatímco kód je stále napsaný.
Tato oblast schopností popisuje, jak týmy píší zabezpečený kód, urychlují vývoj pomocí schválených nástrojů a komponent a integrují a testují svou práci. Je to bod, kdy se bezpečnost buď stane součástí běžné inženýrské praxe, nebo zůstane až druhořadou záležitostí.
Jak organizace zralí, vývoj a testování se pohybují od různorodé nespravované aktivity směrem k optimalizovaným prostředím optimalizovaným pro jednotlivé vývojáře. Testování zabezpečení se stává nepřetržitým, AI a open source se posouvají z neřízeného využívání k podnikově bezpečnému a účelnému nasazení a testování se přesouvá z periodického a ručního na automatizované s posunem do dřívějších fází vývoje.
Základní oblasti funkcí
Vývoj a testování v DevSecOps se zaměřuje na tři dílčí možnosti:
Zabezpečení kódu: Jak se nástroje zabezpečení a testování použijí na kód při psaní a kontrole.
Akcelerátory vývoje: Jak se řídí AI, open source a opakovaně použitelné komponenty a používají se k urychlení doručování.
Integrace a testování: Jak se spravují úložiště, větve, buildy a automatizované testování.
Stupně
Vývoj a testování probíhá až do pěti fází vyspělosti. Tyto fáze ukazují, jak se principy DevSecOps objevují v aktivitách vývojářů– od nespravovaných experimentů až po optimalizované prostředí pro kód a testování, které zvyšuje efektivitu vývojářů.
| Celková fáze | Název fáze | Jak to vypadá |
|---|---|---|
| Ad hoc | Různorodé | Bez správy prostředků; rychlé prototypování a nespoutané objevování. |
| Inicializace | Nově vznikající | Týmy zajišťují dohled ad hoc a začínají se přiklánět k přístupu DevOps. |
| Orchestrace | Nepřetržité | Komplexní strategie s automatizací začleňuje standardy do kontinuálních procesů. |
| Zjednodušení | Posunut vlevo | Posun vlevo znamená, že problémy jsou odhaleny dříve a jejich náprava stojí méně. |
| Průkopnické | Optimalizované | Kód a testovací prostředí jsou optimalizované pro efektivitu jednotlivých vývojářů. |
Různorodé (ad hoc)
Bez správy zdrojů nebo počátečního psaní kódu jsou možné rychlé vytváření prototypů a nespoutané experimentování. Tento stav je přirozeným výchozím bodem pro startupy a nové organizace.
Zabezpečení kódu: Použití nástrojů pro zabezpečení kódu je málo nebo žádné konzistentní, což vytváří rostoucí riziko.
Akcelerátory vývoje: Týmy používají neschválené nástroje AI mimo rámec organizace a ve velké míře bez odpovídající správy využívají open source software nebo komunitní ukázky kódu. Nedostatek jasných pravidel může také způsobit, že se někteří vývojáři těmto nástrojům zcela vyhnou, a přicházejí tak o příležitosti ke zvýšení efektivity.
Integrace a testování: Práce je rozptýlená napříč několika úložišti a sestavení se provádějí ručně a zřídka s různými konfiguracemi.
Počínající (iniciační)
Týmy začínají improvizovaně zajišťovat dohled nad aktivy a metodikami, čímž odstartují širší posun k přístupu DevOps.
Zabezpečení kódu: Teams občas používají místní nástroje pro testování zabezpečení.
Akcelerátory vývoje: Týmy uznávají rizika spojená s neschváleným využíváním AI a open-source softwaru a v různých částech organizace začínají vznikat pravidla, včetně omezení nebo pokynů pro opětovné využívání kódu z vývojářských komunit.
Integrace a testování: Týmy definují strategie úložiště a větvení. Testování je stále většinou pravidelné, ruční a někdy i mimosourcované. Současně se začíná místy objevovat testovatelnost a některé týmy zavádějí postupy průběžné integrace.
Průběžné (Orchestrování)
Komplexní strategie podporovaná automatizací pomáhá prostřednictvím dynamických nástrojů a procesů začlenit standardy do průběžných pracovních postupů a monitorování.
Zabezpečení kódu: Některé testování zabezpečení se provádí, zabezpečení se stává součástí kontroly kódu a hlubší testování zabezpečení běží podle plánu. Přijímají se standardizované strategie pojmenování a větvení.
Akcelerátory vývoje: Podniková bezpečná AI a open source jsou dostupné v rámci zásad použití. AI je integrována do IDE jako pomoc při programování a do nástrojů DevOps, které zlepšují pracovní postupy kolem pull requestů.
Integrace a testování: Jsou zavedeny standardizované pojmenování, strategie větvení a testovací architektury. Automatizované testování se zavádí do primárních kanálů CI/CD, včetně testování integrace.
Posunuto doleva (zefektivnění)
Vytvoření prostředí pro posun doleva znamená, že dříve byly nalezeny problémy a náklady na nápravu byly nižší.
Zabezpečení kódu: Týmy vynucují blokování při bezpečnostních nálezech s vysokou závažností. Nástroje IDE pro práci s kódem zahrnují bezpečnostní funkce včetně ochrany proti prompt injection a otravě dat.
Akcelerátory vývoje: Týmy používají podnikové bezpečné velké jazykové modely (LLM) odpovídající jasným vzorům a standardům. Softwarová příprava a agenti DevOps využívající AI začínají automatizovat práci a pracovat s rostoucí autonomií.
Integrace a testování: Jsou zavedeny rozšířené testovací postupy, včetně testů jednotek a integrace. Automatizované testování běží nepřetržitě a zachytává problémy dříve v procesu. Týmy také používají simulace útoků phishing.
Optimalizované (Průkopnické)
Když optimalizujete kód a testovací prostředí pro jednotlivé vývojáře, vytvoříte personalizovanější efektivitu.
Zabezpečení kódu: Zabezpečení se stává nepřetržitým a je podporováno pokročilou pozorovatelností.
Akcelerátory pro vývoj: Vývojáři rozšiřují LLM asistenta pro psaní kódu o vlastní vzory. Použití komponent je záměrné a je navržené tak, aby splňovalo cíle pro řízení výkonu, dodržování předpisů a rizik. Servery MCP a orchestrace se objevují jako součást sady nástrojů.
Integrace a testování: Automatizace testů je komplexní, včetně testování výkonnosti. Týmy také přijímají detekci hrozeb řízených AI a sledují další příležitosti ke zlepšení smyčky zpětné vazby techniků.