DevSecOps
Простыми словами
Безопасность не откладывают до финальной проверки. Угрозы обсуждают при проектировании, код и зависимости проверяют при изменениях, инфраструктуру задают контролируемыми конфигурациями, а найденные проблемы получают владельца и срок исправления.
Как применяется
Практики включают threat modeling, code review, SAST, DAST, SCA, управление секретами, безопасность контейнеров и правила выпуска. Набор зависит от рисков продукта; установка одного сканера сама по себе не создаёт DevSecOps.
Пример применения
При каждом merge request конвейер проверяет зависимости и исходный код. Критическая подтверждённая уязвимость блокирует выпуск, пока команда не исправит её или не оформит ограниченное решение о принятии риска.
Не путать с
- DevOpsDevOps оптимизирует поставку и эксплуатацию
- SASTУстановка SAST сама по себе не создаёт DevSecOps
Как это работает
- ТребованияРиски и критерии безопасности включаются в задачи и архитектурные решения.
- Проверки в CI/CDКод, зависимости, секреты, образы и конфигурации проверяются в конвейере.
- Разбор результатаКоманда подтверждает находку, определяет приоритет и ответственного за исправление.
- Контроль выпускаКритичные проблемы блокируют выпуск, а принятые исключения имеют владельца и срок.
Продолжить изучение
Связанные термины
Частые вопросы
Это организация разработки, при которой безопасность встроена в проектирование, код, CI/CD, инфраструктуру и эксплуатацию и имеет понятных владельцев.
Чем DevSecOps отличается от DevOps?DevOps ускоряет и стабилизирует поставку; DevSecOps добавляет системные требования, проверки и обратную связь по рискам на всех этапах.
Какие проверки включают в CI/CD?Обычно применяют review, SAST, DAST, SCA, анализ секретов, проверку IaC и контейнеров, но набор выбирают по угрозам продукта.