Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
DevSecOps'ta geliştirme ve test, güvenliğin günlük mühendislik işlerinin bir parçası mı olacağını, yoksa ekiplerin ele almakta çok geç kaldığı bir konu olarak mı kalacağını belirler. Kodlama, araçlar, tümleştirme ve test etme konusunda güçlü uygulamalar, ekiplerin kod yazılırken sorunları bulmasına ve çözmelerine yardımcı olur.
Bu yetenek alanı ekiplerin güvenli kod yazma, tasdikli araçlar ve bileşenlerle geliştirmeyi hızlandırma ve çalışmalarını tümleştirme ve test etme işlemlerini açıklar. Bu, güvenliğin günlük mühendisliğin bir parçası haline geldiği veya sonradan amaçlandığı noktadır.
Kuruluşlar olgunlaştıkça geliştirme ve test, ayrı, yönetilmeyen etkinliklerden tek tek geliştiriciler için ayarlanmış iyileştirilmiş bir ortama doğru ilerler. Güvenlik testleri sürekli hale gelir, yapay zeka ve açık kaynak denetimsiz olmaktan çıkıp kurumsal kullanım için güvenli ve amaca yönelik hale gelir; test süreçleri de dönemsel ve manuel olmaktan çıkıp otomatikleştirilmiş ve daha erken aşamalara kaydırılmış hale gelir.
Çekirdek yetenek alanları
DevSecOps'ta geliştirme ve test üç alt özelliğe odaklanır:
Kod güvenliği: Güvenlik araçlarının ve testlerinin kod yazılıp gözden geçirilirken koda nasıl uygulandığı.
Geliştirme hızlandırıcıları: Yapay zeka, açık kaynak ve yeniden kullanılabilir bileşenler nasıl yönetilir ve teslimi hızlandırmak için kullanılır.
Tümleştirme ve test: Depolar, dallar, derlemeler ve otomatikleştirilmiş test nasıl yönetilir?
Aşama
Geliştirme ve test, beş olgunluk aşamasından geçer. Bu aşamalar DevSecOps ilkelerinin yönetilmeyen denemelerden geliştirici verimliliğini artıran iyileştirilmiş bir kod ve test ortamına kadar geliştirici etkinliklerinde nasıl göründüğünü gösterir.
| Genel aşama | Aşama adı | Nasıl göründüğü |
|---|---|---|
| Geçici | Farklı | Kaynakların yönetimi yok; hızlı prototip oluşturma ve dizginlenmemiş keşif. |
| Başlatma | Yeni Ortaya Çıkan | Ekipler, doğaçlama denetim uygulayarak DevOps zihniyetine doğru kaymaya başlar. |
| Orkestrasyon | Devamlı | Otomasyonla birlikte kapsamlı bir strateji, standartları sürekli süreçlerin içine yerleştirir. |
| Sadeleştirme | Sola kaydırılmış | Sola kaydırma, sorunların daha önce bulunduğu ve düzeltilmesi daha düşük maliyetli olduğu anlamına gelir. |
| Öncü | İyileştirilmiş | Kod ve test ortamı, bireysel geliştirici verimliliği için iyileştirilmiştir. |
Ayrı (Geçici)
Kaynakların yönetimi veya ilk kodlama etkinlikleri olmadan hızlı prototip oluşturma ve dizginlenmemiş keşifler mümkündür. Bu durum, startup'lar ve yeni kuruluşlar için doğal bir başlangıç noktasıdır.
Kod güvenliği: Kod güvenlik araçlarının çok az tutarlı kullanımı vardır ve bu da artan bir risk yüzeyi oluşturur.
Geliştirme hızlandırıcıları: Ekipler kuruluş dışında tasdik edilmemiş yapay zeka araçlarını kullanır ve açık kaynak yazılım veya topluluk kodu örneklerinin geniş ve korumasız bir şekilde kullanılmasını sağlar. İlke eksikliği, bazı geliştiricilerin bu araçlardan tamamen kaçınmasına ve verimlilik fırsatlarını kaçırmasına da neden olabilir.
Tümleştirme ve test: Çalışmalar birden çok depoya dağıtılır ve derlemeler el ile ve seyrek olarak çeşitli yapılandırmalarla gerçekleştirilir.
Beliren (Başlangıç Aşamasında)
Ekipler varlıkların ve metodolojilerin gözetimini geliştirmeye başlar ve DevOps zihniyetine doğru daha geniş bir geçiş başlatır.
Kod güvenliği: Teams zaman zaman yerel güvenlik testi araçlarını kullanır.
Geliştirme hızlandırıcıları: Ekipler, onaylanmamış yapay zeka ve açık kaynak kullanımından kaynaklanan riskleri kabul eder; geliştirici topluluklarından kodun yeniden kullanımına ilişkin kısıtlamalar veya yönergeler de dahil olmak üzere politikalar, kuruluşun bazı bölümlerinde ortaya çıkmaya başlar.
Entegrasyon ve test: Ekipler, depo ve dallanma stratejilerini tanımlar. Test etme hâlâ çoğunlukla periyodik, manuel ve bazen de dış kaynak kullanılarak gerçekleştiriliyor. Aynı zamanda, test edilebilirlik yer yer ortaya çıkmaya başlar ve bazı ekipler sürekli tümleştirme uygulamalarını benimser.
Sürekli (Orkestrasyon)
Otomasyon tarafından desteklenen kapsamlı bir stratejiyle dinamik araçlar ve süreçler, standartların sürekli iş akışlarına ve izlemeye dönüştürülmesi için yardımcı olur.
Kod güvenliği: Bazı güvenlik testleri uygulanır, güvenlik kod gözden geçirmesinin bir parçası olur ve zamanlamaya göre daha derin güvenlik testi çalıştırılır. Standartlaştırılmış adlandırma ve dallanma stratejileri benimsenmiştir.
Geliştirme hızlandırıcıları: Kurumsal olarak güvenli yapay zeka ve açık kaynak kullanım ilkesi kapsamında kullanıma sunulur. Yapay zeka, programlama yardımcısı olarak IDE'lere ve pull request iş akışlarını iyileştiren DevOps araçlarına entegre edilmiştir.
Tümleştirme ve test: Standart adlandırma, dallanma stratejileri ve test çerçeveleri mevcuttur. Otomatik test, bazı tümleştirme testleri de dahil olmak üzere birincil CI/CD işlem hatlarına eklenir.
Sola kaydırılmış (Sadeleştirme)
Sola kaydırmak için ortam oluşturmak, sorunların daha önce bulunduğu ve düzeltilmesi daha düşük maliyetli olduğu anlamına gelir.
Kod güvenliği: Ekipler, yüksek önem dereceli güvenlik bulguları için geçiş denetimi uygular. IDE kod araçları, istem ekleme ve veri zehirlenmesine karşı koruma dahil olmak üzere güvenlik özelliklerini içerir.
Geliştirme hızlandırıcıları: Ekipler, açık kalıplar ve standartlarla uyumlu, kurumsal kullanıma uygun büyük dil modellerini (LLM'leri) kullanır. Yapay zeka destekli yazılım mühendisliği ve DevOps ajanları, işleri otomatikleştirmeye ve giderek artan bir özerklikle çalışmaya başlar.
Tümleştirme ve test: Birim ve tümleştirme testleri de dahil olmak üzere yaygın test uygulamaları mevcuttur. Otomatikleştirilmiş test sürekli çalışır ve sürecin başlarındaki sorunları yakalar. Ekipler kimlik avı simülasyonlarını da kullanır.
Optimize edilmiş (Öncü)
Kod ve test ortamını tek tek geliştiriciler için iyileştirdiğinizde daha kişiselleştirilmiş verimlilik oluşturursunuz.
Kod güvenliği: Güvenlik sürekli hale gelir ve gelişmiş gözlemlenebilirlik tarafından desteklenir.
Geliştirme hızlandırıcıları: Geliştiriciler, kod yardımcısı LLM'lerini kendi özel desenleriyle genişletir. Bileşen kullanımı kasıtlı hale gelir ve performans, uyumluluk ve risk yönetimi hedeflerine ulaşmak üzere tasarlanmıştır. MCP sunucuları ve düzenleme, araç zincirinin bir parçası olarak ortaya çıkar.
Tümleştirme ve test: Test otomasyonu, performans testi de dahil olmak üzere kapsamlı hale gelir. Ekipler ayrıca yapay zeka destekli tehdit algılamayı benimseyerek mühendislik geri bildirim döngülerini geliştirmek için diğer fırsatları takip eder.