Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Vydání a nasazení v DevSecOps určuje, jestli se práce zabezpečení provedená dříve v životním cyklu zachová až do produkčního prostředí. Silné postupy pro správu závislostí, zásady správného řízení vydávání verzí a pracovní postupy nasazení pomáhají zajistit zabezpečení, opakovatelnost a důvěryhodnost doručování softwaru.
Tato oblast schopností popisuje, jak organizace spravuje zabezpečené závislosti, zabezpečuje své verze a provozuje pracovní postupy nasazení. Právě zde se bezpečnostní práce z předchozích fází buď zachová až do produkce, nebo se ztratí.
Vzhledem k tomu, že organizace zralí, uvolní a nasadí se od křehkého, ad hoc doručování směrem k reflexním procesům podporovaným predikcí. Správa závislostí postupně dozrává napříč úrovněmi frameworku S2C2F (Secure Supply Chain Consumption Framework), vydání získávají automatizované bezpečnostní testování a možnosti vrácení zpět a procesy nasazování se stávají kontinuálními, spravovanými jako kód a stále více samoopravnými.
Základní oblasti funkcí
Vydávání a nasazení v DevSecOps se zaměřují na tři dílčí schopnosti:
Zabezpečení závislostí: Jak jsou inventarizovány, skenovány a spravovány závislosti třetích stran a open-source závislosti.
Zabezpečené verze: Jak se identifikují a spravují ohrožení zabezpečení napříč milníky a verzemi.
Pracovní postupy nasazení: Jak jsou nasazení automatizovaná, otestovaná a spolehlivá a opakovatelná.
Stupně
Proces vydávání a nasazování postupuje pěti fázemi zralosti. Tyto fáze ukazují, jak se principy DevSecOps objevují ve správě technických systémů, od pozdní a nekonzistentní ochrany chráněných procesů, které jsou rozšířeny predikcí.
| Celková fáze | Název fáze | Jak to vypadá |
|---|---|---|
| Ad hoc | Křehké | Málo je chráněno od začátku; hrozby jsou identifikovány a zmírňovány pozdě, pokud vůbec. |
| Inicializace | Strukturovaný | Základní procesy vedou k rychlejším přínosům díky častějším a předvídatelným vydáním. |
| Orchestrace | Obohacený | Automatizace a rozšířené pokrytí testů před nasazením přidávají jistotu a snižují riziko. |
| Zjednodušení | Nepřetržité | Hlubší pokrytí prostřednictvím automatizace zvyšuje spolehlivost a poskytuje flexibilitu vydávání. |
| Průkopnické | Reflexivní | Chráněné procesy se rozšiřují o pokroky v předpovědích. |
Křehká (ad hoc)
Když se týmy zaměřují pouze na vytváření počátečního výstupu a doručování, nezabudují zabezpečení do procesu vývoje od začátku. Často identifikují a zmírňují hrozby pozdě, pokud vůbec.
Zabezpečené závislosti: Neexistuje žádný uspořádaný inventář. Aktualizace balíčků jsou ruční a nemusí k tomu vůbec dojít.
Zabezpečené verze: Chybí úsilí o zabezpečení uspořádaných verzí.
Postupy nasazování: Činnosti spojené s nasazováním jsou roztříštěné a nahodilé.
Strukturované (zahajování)
Vzhledem k tomu, že týmy vytvářejí procesy vydávání a nasazování, začnou vidět počáteční výhody častějších a předvídatelnějších verzí.
Zabezpečení závislostí: Týmy provádějí aktivity 1. úrovně S2C2F. Kontrola licencí je ruční a oznámení zákazníků jsou základní.
Bezpečná vydání: Týmy provádějí ruční kontroly zranitelností, licencí a problémů s verzemi při dosažení milníků a vydání, obvykle pomocí webových stránek třetích stran.
Postupy nasazení: Postupy existují, ale jsou převážně ruční a mohou být nekonzistentní nebo neúplné. Nasazení jsou obvykle velká a zřídka.
Obohacené (koordinační)
Zavedení automatizace a rozšíření pokrytí testů před nasazením zvyšuje jistotu a snižuje riziko.
Zabezpečené závislosti: Teams definuje počáteční proces správy změn s kontrolou a schválením změn verzí. Používají seznamy softwarových komponent (SBOM), skenování licencí a aktivity S2C2F na úrovni 2. Zavádějí se maskování dat.
Zabezpečené verze: Nástroje automatizovaného dynamického testování zabezpečení aplikací se používají v klíčových milníkech k identifikaci ohrožení zabezpečení a dalších problémů. Náprava je stále obtížná a časově náročná.
Pracovní postupy nasazení: Pracovní postupy jsou vyspělé a spolehlivé. Kanály verzí zahrnují komplexní automatizované testování, včetně dynamického testování zabezpečení aplikací a testování výkonu. Artefakty se ověřují pomocí podepisování kódu.
Průběžný (zefektivnění)
Automatizace, která poskytuje hlubší pokrytí komponent a scénářů, zvyšuje důvěru a dává týmům větší flexibilitu vydávání verzí.
Zabezpečené závislosti: Automatizované povědomí o externí situaci umožňuje preventivní obranné akce. Týmy provádějí aktivity 3. úrovně modelu S2C2F a automaticky generují SBOMy.
Bezpečná vydání: Týmy udržují komplexní přehled v celém řetězci, zavádějí ochranu před malwarem a detekci zero-day hrozeb a nemusejí obětovat kvalitu ve prospěch rychlosti, protože mohou změny efektivně a rychle vrátit zpět.
Pracovní postupy nasazení: Automatizované průběžné dynamické testování aplikací je integrované v průběhu cyklu. AI pomáhá poskytovat automatické opravy a infrastruktura se spravuje jako kód. Menší, častější změny se můžou průběžně nasazovat bez obětování spolehlivosti.
Reflexivní (Průkopnický)
Chráněné a chráněné procesy jsou vylepšené pomocí prediktivních funkcí, které vytvářejí další výhody zabezpečení a efektivity.
Zabezpečené závislosti: Týmy udržují plány nepředvídaných událostí pro každou závislost, přispívají k opravám zabezpečení a aktualizacím zpět do open source softwaru a provádějí aktivity úrovně 4 úrovně S2C2F.
Zabezpečené verze: Strategické investice dále zlepšují schopnost předpovídat a předcházet expozici.
Pracovní postupy nasazení: Agentická AI slouží k optimalizaci pracovních postupů a vytváření efektivních postupů, které zlepšují zabezpečení a zjednodušují průběžné nasazování.