安全DevOps是增強安全性的法寶

如今，在各種網絡風險日益頻繁和和加劇的情況下，真正的信息安全應當從單純的安全硬件和點產品發展到一種日益依賴安全DevOps的方法。

在過去的二十幾年中，IT安全界已經發生了劇變。新廠商一直在提供能夠更好地保護企業免受最新威脅的方案。各種安全廠商可謂成千上萬，且不斷提豐富多彩的開源工具。

如今，安全團隊面臨著一個高度碎片化的市場，要從各種不同的廠商中選擇工具。現在許多企業都安裝了多種來自不同安全公司的不同產品。根據思科2018年的安全功能評分研究報告，約有46%的安全專家承認使用了十多種廠商的安全產品，而在2017年這個數字只有28%。隨著業務模式的變化，攻擊面的擴展和威脅的不斷演變，安全業界也在繼續前進。但是，為了從這個過程中獲得最全面的好處，我們需要改變想法。

企業簡單地將各種不同的硬件安裝到位，就認為受到保護的日子一去不復返。除非這些不同的方案能夠相互通信，否則合法的威脅將會通過其中存在的漏洞危害企業網絡安全。為彌補這些漏洞，企業現在需要重新思考自己購買和部署安全技術的方法。越來越多的廠商重視積極地與其安全廠商統一協作，并且使用一種架構性的方法來指導這種協作，即集成多種獨立的產品和平臺。這正是業界日漸對安全DevOps增加需求的原因。

當今的安全廠商們都有可用的API，因而其他廠商（客戶或第三方）可以編寫軟件并訪問API和將解決方案連接到一起。許多廠商更進了一步，采用了一種API優先權的策略，意味著自己的用戶接口和管理控制臺與API通信。其他廠商可以使用同樣的API將數據聚合到一個簡單的易于讀取的接口中，這可以節省大量的時間并改善安全性。

對安全DevOps的關注還支持SDN和SDA（軟件定義訪問），因而企業可以快速響應，以應對變化的業務需求和增強安全性。這種解決方案將配置和管理工作集中化，并使用自動化的方法來部署應用程序，并保障應用程序和用戶的安全性。對于企業網絡中的用戶或設備訪問任何應用程序都實施適當的策略。

利用軟件來縮短不同技術和工具的差距提供了端到端的可見性和控制，并減少復雜性。這可以使安全團隊更高效地檢測、遏制、修復威脅，因為他們擁有了更大的背景。這與執法部門調查犯罪并沒有很大不同，因為他們要調查犯罪現場。但是，如果執法部門可以訪問其他信息，如附近的攝像頭等，就能夠收集其他有價值的證據，從而更完整地描繪發生了什么。這是因為更大的背景提升了效率和有效性。

對安全DevOps依賴的日益增加對安全專家來說意味著什么？企業需要退一步看看，要確保團隊中擁有適當的人員。安全運維的不同團隊使用不同的工具。將這些工具整合到一個企業的安全架構中要求這些團隊的每個成員一起協作，并制定和執行一致的路線圖。

整合還對安全團隊所需求的技能產生了變化。團隊現在需要理解安全的軟件工程師，或是能夠編寫代碼的安全工程師。這種技能的組合可能極難找到，尤其是在企業已經缺乏網絡安全人才的情況下。多數軟件工程師都是編寫代碼的專家，卻無強烈的安全意識。但是，如果不理解軟件是如何部署的，不理解軟件是在何種環境中使用何種工具和技術部署的，也不理解威脅制造者的伎倆和手段，軟件工程師就不會生產出最優化的方案。同樣，安全工程師是計劃和執行安全措施的專家，卻往往并沒有編程語言的知識，尤其是像Python和Java這種使用API的計算機語言。

不管是在內部的安全資源中工作，還是在外部的安全咨詢機構中工作，我們從一開始就必須確保與擁有適當技能的適當人員一起協作，因而才能充分利用企業安全架構的安全DevOps的價值。

只有改變思想和觀念，并充分利用安全領域正在發生的那些激動人心的技術和進步，才可以真正增強安全。