DevOps 专业人员如何成为网络安全拥护者

时间 2019-11-17

原文原文链接

打破信息孤岛，成为网络安全的拥护者，这对你、对你的职业、对你的公司都会有所帮助。linux

安全是 DevOps 中一个被误解了的部分，一些人认为它不在 DevOps 的范围内，而另外一些人认为它太太重要（而且被忽视），建议改成使用 DevSecOps。不管你赞成哪一方的观点，网络安全都会影响到咱们每个人，这是很明显的事实。git

每一年，黑客行为的统计数据都会更加使人震惊。例如，每 39 秒就有一次黑客行为发生，这可能会致使你为公司写的记录、身份和专有项目被盗。你的安全团队可能须要花上几个月（也多是永远找不到）才能发现此次黑客行为背后是谁，目的是什么，人在哪，何时黑进来的。github

运维专家面对这些棘手问题应该如何是好？呐我说，如今是时候成为网络安全的拥护者，变为解决方案的一部分了。安全

孤岛势力范围的战争

在我和我本地的 IT 安全（ITSEC）团队一块儿肩并肩战斗的岁月里，我注意到了不少事情。一个很大的问题是，安全团队和 DevOps 之间关系紧张，这种状况很是广泛。这种紧张关系几乎都是来源于安全团队为了保护系统、防范漏洞所做出的努力（例如，设置访问控制或者禁用某些东西），这些努力会中断 DevOps 的工做并阻碍他们快速部署应用程序。网络

你也看到了，我也看到了，你在现场遇见的每个人都有至少一个和它有关的故事。一小撮的怨恨最终烧毁了信任的桥梁，要么是花费一段时间修复，要么就是两个团体之间开始一场小型的地盘争夺战，这个结果会使 DevOps 实现起来更加艰难。运维

一种新观点

为了打破这些孤岛并结束势力战争，我在每一个安全团队中都选了至少一我的来交谈，了解咱们组织平常安全运营里的前因后果。我开始作这件事是出于好奇，但我持续作这件事是由于它老是能带给我一些有价值的、新的观点。例如，我了解到，对于每一个由于失败的安全性而被中止的部署，安全团队都在疯狂地尝试修复 10 个他们看见的其余问题。他们反应的莽撞和尖锐是由于他们必须在有限的时间里修复这些问题，否则这些问题就会变成一个大问题。工具

考虑到发现、识别和撤销已完成操做所需的大量知识，或者指出 DevOps 团队正在作什么（没有背景信息）而后复制并测试它。全部的这些一般都要由人手配备很是不足的安全团队完成。学习

这就是你的安全团队的平常生活，而且你的 DevOps 团队看不到这些。ITSEC 的平常工做意味着超时加班和过分劳累，以确保公司，公司的团队，团队里工做的全部人可以安全地工做。测试

成为安全拥护者的方法

这些是你成为你的安全团队的拥护者以后能够帮到它们的。这意味着，对于你作的全部操做，你必须仔细、认真地查看全部可以让其余人登陆的方式，以及他们可以从中得到什么。网站

帮助你的安全团队就是在帮助你本身。将工具添加到你的工做流程里，以此将你知道的要干的活和他们知道的要干的活结合到一块儿。从小事入手，例如阅读公共漏洞披露（CVE），并将扫描模块添加到你的 CI/CD 流程里。对于你写的全部代码，都会有一个开源扫描工具，添加小型开源工具（例以下面列出来的）在长远看来是可让项目更好的。

容器扫描工具：

代码扫描工具：

Kubernetes 安全工具：

保持你的 DevOps 态度

若是你的工做角色是和 DevOps 相关的，那么学习新技术和如何运用这项新技术创造新事物就是你工做的一部分。安全也是同样。我在 DevOps 安全方面保持到最新，下面是个人方法的列表。

每周阅读一篇你工做的方向里和安全相关的文章.
每周查看 CVE 官方网站，了解出现了什么新漏洞.
尝试作一次黑客马拉松。一些公司每月都要这样作一次；若是你以为还不够、想了解更多，能够访问 Beginner Hack 1.0 网站。
每一年至少一次和那你的安全团队的成员一块儿参加安全会议，从他们的角度来看事情。

成为拥护者是为了变得更好

你应该成为你的安全的拥护者，下面是咱们列出来的几个理由。首先是增加你的知识，帮助你的职业发展。第二是帮助其余的团队，培养新的关系，打破对你的组织有害的孤岛。在你的整个组织内创建由不少好处，包括设置沟通团队的典范，并鼓励人们一块儿工做。你一样能促进在整个组织中分享知识，并给每一个人提供一个在安全方面更好的内部合做的新契机。

总的来讲，成为一个网络安全的拥护者会让你成为你整个组织的拥护者。

via: opensource.com/article/19/…

做者：Jessica Repka 选题：lujun9972 译者：hopefully2333 校对：wxy

本文由 LCTT 原创编译，Linux中国荣誉推出