DevSecOps实践体系

DevOps 起源于通过合并开发和运维实践，消除隔离，统一关注点，提升团队和产品的效率和性能。它是一种注重于构建容易维护和易于平常自动运营的产品和服务的新型协作方式。安全在很多团队中都是常见的隔离点。安全的核心关注点是保护团队，而有时这也意味着创建延缓新服务或是新产品发布的障碍或策略，用于保障任何事都能被很好的理解和安全的执行，并且没有给团队带来不必要的风险。

威胁情报 平台

• 管理
  • 开源 代码
  • 第三方 管理
  • 漏洞 管理
• 技术
  • SIEM
  • 防火墙
  • IPS
• 整合
  • 威胁 建模
  • 情报 共享
  • 团队 监督
• 人 员 • 流 程 • 组 织 • 技 术
• DevSevOps 九大实践要素
  • 工匠精神
    • 黄带：安全意识
    • 绿带：安全代码
  • 架构和设计
    • 威胁建模
  • 工具
    • 第三方代码导入分析
    • 自主代码编码分析
  • 漏洞管理
    • 团队工作协议
    • 高危漏洞清理
  • 团队监督
    • 安全同行审阅
    • 安全评估
• DevSecOps 实践流程
  • 创建
    • 供应链安全检测
    • 代码安全架构审查
    • IDE安全编码规范插件
  • 计划
    • 安全培训
    • 安全编码指南
    • 威胁建模
    • 安全需求及方案设计
  • 适应
    • 安全方案持续改进
    • 安全技术、工具、策略持续优化
    • 纵深防御持续调整
  • 配置
    • 安全加固配置
    • 纵深防御体系配置 (HIDS、RASP、WAF、UEBA等）
  • 检测
    • 自动化渗透测试
    • RASP
    • HIDS
    • 纵深防御体系
  • 验证
    • 灰盒安全测试
    • 软件成分分析
    • 黑盒安全测试
    • 应用漏洞关联
    • 白盒安全测试
  • 预发布
    • 容器安全检测
    • 运行环境检测
    • Fuzzing安全测试
    • Chaos-Monkey-Style Testing
  • 发布
    • 安全检测已通过校验
    • 安全风险评估
    • 签名校验
  • 预测
    • 漏洞情报收集
    • 漏洞分析预警
    • 检测响应综合分析
    • 威胁情报
  • 响应
    • RASP
    • HIDS
    • 纵深防御体系
    • 应急响应
• DevSevOps实践体系