Kommentar
Åtkomst till den här sidan kräver auktorisering. Du kan prova att logga in eller ändra kataloger.
Åtkomst till den här sidan kräver auktorisering. Du kan prova att ändra kataloger.
Lansering och distribution i DevSecOps avgör om säkerhetsarbetet som utfördes tidigare i livscykeln bevaras till produktion. Starka metoder för beroendehantering, versionsstyrning och distributionsarbetsflöden gör programvaruleveransen säker, repeterbar och tillförlitlig.
Det här kapacitetsområdet beskriver hur en organisation hanterar säkra beroenden, skyddar sina versioner och driver sina distributionsarbetsflöden. Det är där säkerhetsarbetet från tidigare faser antingen bevaras hela vägen till produktion eller går förlorat.
När organisationer mognar går lansering och distribution från bräcklig ad hoc-leverans till reflexiva processer som stöds av förutsägelse. Beroendehantering mognar genom nivåerna i Secure Supply Chain Consumption Framework (S2C2F), programversioner får automatiserad säkerhetstestning och återställningsmöjligheter, och distributionsarbetsflöden blir kontinuerliga, kodstyrda och alltmer självläkande.
Kärnkapacitetsområden
Lansering och distribution i DevSecOps fokuserar på tre underfunktioner:
Säkra beroenden: Hur tredjeparts- och open-source beroenden inventeras, genomsöks och underhålls.
Säkra versioner: Hur sårbarheter identifieras och hanteras över milstolpar och versioner.
Distributionsarbetsflöden: Hur distributioner automatiseras, testas och görs tillförlitliga och repeterbara.
Stadier
Lansering och distribution fortsätter genom fem mognadssteg. De här stegen visar hur DevSecOps-principer visas i administrationen av tekniska system, från sent och inkonsekvent skydd till skyddade processer som utökas med förutsägelse.
| Övergripande fas | Namn på stadium | Hur det ser ut |
|---|---|---|
| Ad hoc | Bräcklig | Lite är skyddat från början; hot identifieras och minimeras sent, om alls. |
| Påbörjande | Strukturerad | Grundläggande processer leder till tidiga fördelar med mer frekventa, förutsägbara versioner. |
| Orkestrering | Berikad | Automatisering och utökad testtäckning före distribution ökar säkerheten och minskar risken. |
| Effektivisering | Kontinuerlig | Djupare täckning genom automatisering ökar förtroendet och ger smidighet. |
| Banbrytande | Reflexiv | Skyddade processer utökas med framsteg i förutsägelsen. |
Bräcklig (ad hoc)
När teamen bara fokuserar på att producera inledande utdata och leverans bygger de inte in säkerhet i utvecklingsprocessen från början. De identifierar och minimerar ofta hot sent, om alls.
Säkra beroenden: Det finns ingen organiserad inventering. Paketuppdateringar är manuella och kanske inte inträffar alls.
Säkra versioner: Det finns inte några säkerhetsinsatser för organiserade versioner.
Distributionsarbetsflöden: Distributionsarbetet är utspridt och ad hoc.
Strukturerad (initiera)
När team etablerar lanserings- och distributionsprocesser börjar de se de tidiga fördelarna med mer frekventa och förutsägbara versioner.
Säkra beroenden: Team utför aktiviteter på S2C2F-nivå 1. Licenskontroll är manuell och kundmeddelanden är rudimentära.
Säkra versioner: Teams kör manuella kontroller av sårbarheter, licensiering och versionsproblem vid milstolpar och versioner, vanligtvis med hjälp av webbplatser från tredje part.
Distributionsarbetsflöden: Arbetsflöden finns, men de är till stor del manuella och kan vara inkonsekventa eller ofullständiga. Distributioner är vanligtvis stora och ovanliga.
Berikad (orkestrering)
Att införa automatisering och utöka testtäckningen innan distributionen ökar säkerheten och minskar risken.
Säkra beroenden: Teams definierar en inledande ändringshanteringsprocess med granskning och godkännanden för versionsändringar. De använder programvaruförteckningar (SBOM:er), licensskanning och aktiviteter på S2C2F-nivå 2. Datamaskning introduceras.
Säkra versioner: Automatiserade verktyg för dynamisk programsäkerhetstestning används vid viktiga milstolpar för att identifiera sårbarheter och andra problem. Reparationen är fortfarande svår och tidskrävande.
Distributionsarbetsflöden: Arbetsflöden blir mogna och tillförlitliga. Versionspipelines omfattar omfattande automatiserad testning, inklusive dynamisk programsäkerhetstestning och prestandatestning. Artefakter verifieras med kodsignering.
Kontinuerlig (effektivisering)
Automatisering som ger djupare täckning av komponenter och scenarier ökar förtroendet och ger teamen större flexibilitet.
Säkra beroenden: Automatiserad extern situationsmedvetenhet möjliggör förebyggande defensiva åtgärder. Teams utför aktiviteter på S2C2F-nivå 3 och genererar SBOM:er automatiskt.
Säkra releaser: Teamen upprätthåller en heltäckande inventering genom hela kedjan, inför skydd mot skadlig kod och detektering av nolldagshot, och undviker att offra kvalitet för snabbhet eftersom de effektivt och snabbt kan rulla tillbaka ändringar.
Distributionsarbetsflöden: Automatiserad, kontinuerlig dynamisk programtestning är integrerad under hela cykeln. AI hjälper till att tillhandahålla automatisk återställning och infrastrukturen hanteras som kod. Mindre, mer frekventa ändringar kan distribueras kontinuerligt utan att offra tillförlitligheten.
Reflexiv (banbrytande)
Skyddade och skyddade processer förbättras med förutsägande funktioner som ger extra säkerhets- och effektivitetsfördelar.
Säkra beroenden: Teams underhåller beredskapsplaner för varje beroende, bidrar med säkerhetskorrigeringar och uppdateringar tillbaka till open-source programvara och utför aktiviteter på S2C2F-nivå 4.
Säkra versioner: Strategiska investeringar förbättrar ytterligare möjligheten att förutsäga och förhindra exponering.
Distributionsarbetsflöden: Agentisk AI används för att optimera arbetsflöden och skapa effektivitetsvinster som förbättrar säkerheten och effektiviserar kontinuerlig distribution.