Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
DevSecOps'taki sürüm ve dağıtım, yaşam döngüsünde daha önce yapılan güvenlik çalışmalarının üretime kadar korunup korunmadığını belirler. Bağımlılık yönetimi, yayın idaresi ve dağıtım iş akışlarına yönelik güçlü uygulamalar, yazılım teslimi güvenliğinin, yinelenebilir ve güvenilir hale getirilebilmesine yardımcı olur.
Bu yetenek alanı, bir kuruluşun güvenli bağımlılıkları nasıl yönettiğini, yayınlarının güvenliğini nasıl sağlaydırdığı ve dağıtım iş akışlarını nasıl çalıştırdığı açıklanmaktadır. Önceki aşamaların güvenlik çalışmalarının üretime kadar korunduğu veya kaybolduğu yerdir.
Kuruluşlar olgunlaştıkça, yayın ve dağıtım kırılgan, geçici teslimden tahmin tarafından desteklenen esnek süreçlere doğru ilerler. Bağımlılık yönetimi, Güvenli Tedarik Zinciri Tüketim Çerçevesi (S2C2F) düzeyleri aracılığıyla olgunlaşır, yayınlar otomatik güvenlik testi ve geri alma özellikleri kazanır ve dağıtım iş akışları sürekli, kodla yönetilir ve giderek kendi kendini iyileştirir.
Çekirdek yetenek alanları
DevSecOps'ta sürüm ve dağıtım üç alt özelliğe odaklanır:
Güvenli bağımlılıklar: Üçüncü taraf ve açık kaynak bağımlılıkları nasıl envantere kaydedilir, taranır ve korunur.
Güvenli sürümler: Güvenlik açıklarının kilometre taşları ve sürümler arasında nasıl tanımlandığı ve yönetilme şekli.
Dağıtım iş akışları: Dağıtımların otomatikleştirilmiş, test edilmiş ve güvenilir ve tekrarlanabilir hale nasıl getirildiğinden.
Aşama
Sürüm ve dağıtım, olgunluğun beş aşaması boyunca ilerler. Bu aşamalar DevSecOps ilkelerinin, geç ve tutarsız korumadan tahminle genişletilmiş korumalı süreçlere kadar mühendislik sistemlerinin yönetiminde nasıl göründüğünü gösterir.
| Genel aşama | Aşama adı | Nasıl göründüğü |
|---|---|---|
| Geçici | Kırılgan | Başından itibaren çok az şey korunur; tehditler, ancak çok geç fark edilir ve giderilir, hatta bazen hiç giderilmez. |
| Başlatma | Yapılandırılmış | Temel süreçler, daha sık ve öngörülebilir sürümler sayesinde erken faydalar sağlar. |
| Orkestrasyon | Zenginleştirilmiş | Dağıtımdan önce otomasyon ve genişletilmiş test kapsamı kesinlik ekler ve riski azaltır. |
| Yalınlaştırma | Devamlı | Otomasyon aracılığıyla daha derin kapsama, güveni artırır ve yayın çevikliği sağlar. |
| Öncü | Dönüşlü | Korumalı süreçler tahmindeki ilerlemelerle artırılır. |
Kırılgan (Geçici)
Ekipler yalnızca ilk çıktı ve teslim oluşturmaya odaklandığında, başlangıçtan itibaren geliştirme sürecine güvenlik sağlamaz. Tehditleri genellikle geç tanımlar ve en azından azaltırlar.
Güvenli bağımlılıklar: Düzenli envanter yoktur. Paket güncelleştirmeleri el ile gerçekleştirilir ve hiç gerçekleşmeyebilir.
Güvenli sürümler: Düzenli sürüm güvenlik çalışmaları yoktur.
Dağıtım iş akışları: Dağıtım çalışmaları dağınık ve geçicidir.
Yapılandırılmış (Başlatma)
Ekipler yayın ve dağıtım süreçleri oluşturduklarında, daha sık ve öngörülebilir sürümlerin erken avantajlarını görmeye başlarlar.
Güvenli bağımlılıklar: Ekipler S2C2F düzey 1 etkinlikleri gerçekleştirir. Lisans denetimi el ile yapılır ve müşteri bildirimleri temeldir.
Güvenli sürümler: Teams, genellikle üçüncü taraf siteleri kullanarak kilometre taşlarında ve sürümlerde güvenlik açıkları, lisanslama ve sürüm sorunları için el ile denetimler gerçekleştirir.
Dağıtım iş akışları: İş akışları vardır, ancak bunlar büyük ölçüde el ile gerçekleştirilir ve tutarsız veya eksik olabilir. Dağıtımlar genellikle büyük ve seyrektir.
Zenginleştirilmiş (Orkestrasyon)
Canlıya almadan önce otomasyonu devreye almak ve test kapsamını genişletmek, güveni artırır ve riski azaltır.
Güvenli bağımlılıklar: Teams, sürüm değişiklikleri için gözden geçirme ve onaylarla ilk değişiklik yönetimi işlemini tanımlar. Yazılım malzeme listelerini (SBOM'ları), lisans taramasını ve S2C2F 2. seviye faaliyetlerini kullanırlar. Veri maskeleme kullanıma sunulmuştur.
Güvenli sürümler: Güvenlik açıklarını ve diğer sorunları belirlemek için önemli kilometre taşlarında otomatik dinamik uygulama güvenlik testi araçları kullanılır. Düzeltme hala zor ve zaman alıcıdır.
Dağıtım iş akışları: İş akışları olgun ve güvenilir hale gelir. Yayın işlem hatları, dinamik uygulama güvenlik testi ve performans testi dahil olmak üzere kapsamlı otomatikleştirilmiş test içerir. Yapıtlar kod imzalama ile doğrulanır.
Sürekli (Kesintisiz)
Bileşenleri ve senaryoları daha ayrıntılı bir şekilde kapsayan otomasyon, güveni artırır ve ekiplere daha fazla sürüm çevikliği sağlar.
Güvenli bağımlılıklar: Otomatik dış durumsal farkındalık, önleyici savunma eylemlerine olanak tanır. Ekipler S2C2F düzey 3 etkinliklerini gerçekleştirir ve otomatik olarak SBOM'lar oluşturur.
Güvenli sürümler: Ekipler uçtan uca envanteri yönetir, kötü amaçlı yazılımlara karşı koruma ve sıfır gün algılama sağlar; ayrıca etkili ve hızlı bir şekilde geri alım yapabildikleri için hız uğruna kaliteden ödün vermez.
Dağıtım iş akışları: Döngü boyunca otomatik, sürekli dinamik uygulama testi tümleştirilir. Yapay zeka, otomatik iyileştirme sağlamaya yardımcı olur ve altyapı kod olarak yönetilir. Daha küçük, daha sık yapılan değişiklikler güvenilirlikten ödün vermeden sürekli dağıtılabilir.
Refleksif (Öncü)
Korumalı ve korunan süreçler, ek güvenlik ve verimlilik avantajları oluşturan tahmine dayalı özelliklerle geliştirilmiştir.
Güvenli bağımlılıklar: Teams her bağımlılık için acil durum planlarını korur, güvenlik düzeltmelerini ve güncelleştirmelerini açık kaynak yazılıma geri gönderir ve S2C2F düzey 4 etkinlikleri gerçekleştirir.
Güvenli sürümler: Stratejik yatırımlar, açığa çıkması tahmin etme ve önleme becerisini daha da geliştirir.
Dağıtım iş akışları: Aracı yapay zeka, iş akışlarını iyileştirmek ve güvenliği geliştiren ve sürekli dağıtımı kolaylaştıran verimlilikler oluşturmak için kullanılır.