Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Release und Bereitstellung in DevSecOps bestimmen, ob die zuvor im Lebenszyklus ausgeführte Sicherheitsarbeit bis zur Produktion erhalten bleibt. Starke Methoden für Abhängigkeitsverwaltung, Releasegovernance und Bereitstellungsworkflows tragen dazu bei, dass die Softwarebereitstellung sicher, wiederholbar und vertrauenswürdig ist.
In diesem Funktionsbereich wird beschrieben, wie eine Organisation sichere Abhängigkeiten verwaltet, die Veröffentlichungen sichert und ihre Bereitstellungsworkflows betreibt. Hier entscheidet sich, ob die Sicherheitsarbeit aus früheren Phasen bis zur Produktion erhalten bleibt oder verlorengeht.
Mit zunehmender Reife von Organisationen entwickeln sich Freigabe und Bereitstellung von fragilen Ad-hoc-Auslieferungen hin zu vorhersagegestützten, eingespielten Prozessen. Die Abhängigkeitsverwaltung reift über die Stufen des Secure Supply Chain Consumption Framework (S2C2F) weiter, Releases erhalten automatisierte Sicherheitstests und Rollback-Funktionen, und Bereitstellungsworkflows werden kontinuierlich, codegesteuert und zunehmend selbstheilend.
Kernkompetenzbereiche
Die Veröffentlichung und Bereitstellung in DevSecOps konzentriert sich auf drei Unterfunktionen:
Sichere Abhängigkeiten: Gibt an, wie Abhängigkeiten von Drittanbietern und Open Source inventarisiert, gescannt und verwaltet werden.
Sichere Versionen: Wie Sicherheitsrisiken identifiziert und über Meilensteine und Versionen hinweg verwaltet werden.
Bereitstellungsworkflows: Wie Bereitstellungen automatisiert, getestet und zuverlässig und wiederholbar gemacht werden.
PHASEN
Die Veröffentlichung und Bereitstellung wird bis zu fünf Phasen der Reife durchlaufen. Diese Phasen zeigen, wie DevSecOps-Prinzipien in der Verwaltung von Engineering-Systemen auftreten, von später und inkonsistenter Schutz bis hin zu geschützten Prozessen, die durch Vorhersage erweitert werden.
| Gesamtphase | Name der Phase | Wie es aussieht |
|---|---|---|
| Ad-hoc | Zerbrechlich | Wenig ist von Anfang an geschützt; Bedrohungen werden identifiziert und verspätet abgemildert, wenn überhaupt. |
| Initiieren | Strukturiert | Grundlegende Prozesse führen zu frühen Vorteilen durch häufigere, planbare Veröffentlichungen. |
| Orchestrieren | Angereichert | Automatisierung und eine erweiterte Testabdeckung vor der Bereitstellung sorgen für mehr Sicherheit und verringern das Risiko. |
| Optimierung | Kontinuierlich | Eine umfassendere Testabdeckung durch Automatisierung stärkt das Vertrauen und sorgt für mehr Agilität bei Releases. |
| Wegweisend | Reflexiv | Geschützte Prozesse werden mit Fortschritten bei der Vorhersage erweitert. |
Fragile (Ad-hoc)
Wenn Teams sich nur auf die Erstellung der ersten Ausgabe und Lieferung konzentrieren, bauen sie von Anfang an keine Sicherheit in den Entwicklungsprozess ein. Sie erkennen und mindern Bedrohungen oft spät, wenn überhaupt.
Sichere Abhängigkeiten: Es gibt keinen organisierten Bestand. Paketaktualisierungen müssen manuell durchgeführt werden und erfolgen möglicherweise überhaupt nicht.
Sichere Versionen: Organisierte Veröffentlichungssicherheitsbemühungen fehlen.
Bereitstellungsworkflows: Bereitstellungsaktivitäten sind fragmentiert und ad hoc.
Strukturiert (Initiierend)
Wenn Teams Veröffentlichungs- und Bereitstellungsprozesse einrichten, beginnen sie damit, die frühen Vorteile häufigerer und vorhersagbarerer Versionen zu sehen.
Sichere Abhängigkeiten: Teams führen Aktivitäten der S2C2F-Ebene 1 aus. Die Lizenzüberprüfung ist manuell, und Kundenhinweise sind rudimentär.
Sichere Versionen: Teams führt manuelle Überprüfungen auf Sicherheitsrisiken, Lizenzierungs- und Versionsprobleme bei Meilensteinen und Versionen durch, in der Regel mithilfe von Websites von Drittanbietern.
Bereitstellungsworkflows: Workflows sind zwar vorhanden, sind jedoch weitgehend manuell und können inkonsistent oder unvollständig sein. Bereitstellungen sind in der Regel umfangreich und erfolgen nur selten.
Angereichert (Orchestrierung)
Die Einführung von Automatisierung und erweiterung der Testabdeckung vor der Bereitstellung erhöht Sicherheit und reduziert Risiken.
Sichere Abhängigkeiten: Teams definieren einen anfänglichen Änderungsverwaltungsprozess mit Überprüfungen und Genehmigungen für Versionsänderungen. Sie verwenden Softwarerechnungen von Materialien (SBOMs), Lizenzüberprüfungen und S2C2F-Aktivitäten der Ebene 2. Die Datenmaskierung wird eingeführt.
Sichere Versionen: Automatisierte Tools für dynamische Anwendungssicherheitstests werden bei wichtigen Meilensteinen verwendet, um Sicherheitsrisiken und andere Probleme zu identifizieren. Die Behebung ist immer noch schwierig und zeitaufwändig.
Bereitstellungsworkflows: Arbeitsabläufe werden ausgereift und zuverlässig. Releasepipelines umfassen umfassende automatisierte Tests, einschließlich dynamischer Anwendungssicherheitstests und Leistungstests. Artefakte werden mit der Codesignatur überprüft.
Kontinuierlich (Optimierung)
Automatisierung, die eine tiefere Abdeckung von Komponenten und Szenarien bietet, erhöht das Vertrauen und bietet Teams mehr Flexibilität bei der Freigabe.
Sichere Abhängigkeiten: Automatisiertes externes Situationsbewusstsein ermöglicht präventive Abwehraktionen. Teams führen S2C2F-Aktivitäten auf Ebene 3 aus und generieren SBOMs automatisch.
Sichere Releases: Teams führen ein durchgängiges Inventar, führen Schutz vor Schadsoftware und Zero-Day-Erkennung ein und müssen Qualität nicht gegen Geschwindigkeit eintauschen, weil sie effektiv und schnell ein Rollback durchführen können.
Bereitstellungsworkflows: Automatisierte, kontinuierliche dynamische Anwendungstests werden während des gesamten Zyklus integriert. KI hilft bei der Bereitstellung der automatischen Heilung, und die Infrastruktur wird als Code verwaltet. Kleinere, häufigere Änderungen können kontinuierlich bereitgestellt werden, ohne die Zuverlässigkeit zu beeinträchtigen.
Reflexiv (Wegweisend)
Geschützte und geschützte Prozesse werden mit prädiktiven Funktionen verbessert, die zusätzliche Sicherheits- und Effizienzvorteile schaffen.
Sichere Abhängigkeiten: Teams pflegen für jede Abhängigkeit Notfallpläne, bringen Sicherheitskorrekturen und Aktualisierungen in Open-Source-Software zurück ein und führen Aktivitäten auf S2C2F-Stufe 4 durch.
Sichere Freigaben: Strategische Investitionen verbessern weiter die Fähigkeit, Gefährdungen vorherzusehen und zu verhindern.
Bereitstellungsworkflows: Agentenbasierte KI wird eingesetzt, um Workflows zu optimieren und Effizienzgewinne zu erzielen, die die Sicherheit verbessern und die kontinuierliche Bereitstellung verschlanken.