安全DevOps是增强安全性的法宝

如今，在各种网络风险日益频繁和和加剧的情况下，真正的信息安全应当从单纯的安全硬件和点产品发展到一种日益依赖安全DevOps的方法。

在过去的二十几年中，IT安全界已经发生了剧变。新厂商一直在提供能够更好地保护企业免受最新威胁的方案。各种安全厂商可谓成千上万，且不断提丰富多彩的开源工具。

如今，安全团队面临着一个高度碎片化的市场，要从各种不同的厂商中选择工具。现在许多企业都安装了多种来自不同安全公司的不同产品。根据思科2018年的安全功能评分研究报告，约有46%的安全专家承认使用了十多种厂商的安全产品，而在2017年这个数字只有28%。随着业务模式的变化，攻击面的扩展和威胁的不断演变，安全业界也在继续前进。但是，为了从这个过程中获得最全面的好处，我们需要改变想法。

企业简单地将各种不同的硬件安装到位，就认为受到保护的日子一去不复返。除非这些不同的方案能够相互通信，否则合法的威胁将会通过其中存在的漏洞危害企业网络安全。为弥补这些漏洞，企业现在需要重新思考自己购买和部署安全技术的方法。越来越多的厂商重视积极地与其安全厂商统一协作，并且使用一种架构性的方法来指导这种协作，即集成多种独立的产品和平台。这正是业界日渐对安全DevOps增加需求的原因。

当今的安全厂商们都有可用的API，因而其他厂商（客户或第三方）可以编写软件并访问API和将解决方案连接到一起。许多厂商更进了一步，采用了一种API优先权的策略，意味着自己的用户接口和管理控制台与API通信。其他厂商可以使用同样的API将数据聚合到一个简单的易于读取的接口中，这可以节省大量的时间并改善安全性。

对安全DevOps的关注还支持SDN和SDA（软件定义访问），因而企业可以快速响应，以应对变化的业务需求和增强安全性。这种解决方案将配置和管理工作集中化，并使用自动化的方法来部署应用程序，并保障应用程序和用户的安全性。对于企业网络中的用户或设备访问任何应用程序都实施适当的策略。

利用软件来缩短不同技术和工具的差距提供了端到端的可见性和控制，并减少复杂性。这可以使安全团队更高效地检测、遏制、修复威胁，因为他们拥有了更大的背景。这与执法部门调查犯罪并没有很大不同，因为他们要调查犯罪现场。但是，如果执法部门可以访问其他信息，如附近的摄像头等，就能够收集其他有价值的证据，从而更完整地描绘发生了什么。这是因为更大的背景提升了效率和有效性。

对安全DevOps依赖的日益增加对安全专家来说意味着什么？企业需要退一步看看，要确保团队中拥有适当的人员。安全运维的不同团队使用不同的工具。将这些工具整合到一个企业的安全架构中要求这些团队的每个成员一起协作，并制定和执行一致的路线图。

整合还对安全团队所需求的技能产生了变化。团队现在需要理解安全的软件工程师，或是能够编写代码的安全工程师。这种技能的组合可能极难找到，尤其是在企业已经缺乏网络安全人才的情况下。多数软件工程师都是编写代码的专家，却无强烈的安全意识。但是，如果不理解软件是如何部署的，不理解软件是在何种环境中使用何种工具和技术部署的，也不理解威胁制造者的伎俩和手段，软件工程师就不会生产出最优化的方案。同样，安全工程师是计划和执行安全措施的专家，却往往并没有编程语言的知识，尤其是像Python和Java这种使用API的计算机语言。

不管是在内部的安全资源中工作，还是在外部的安全咨询机构中工作，我们从一开始就必须确保与拥有适当技能的适当人员一起协作，因而才能充分利用企业安全架构的安全DevOps的价值。

只有改变思想和观念，并充分利用安全领域正在发生的那些激动人心的技术和进步，才可以真正增强安全。