安全为代码

安全作为代码是未来应用程序安全背后的推动力。根据O’Reilly，，，，安全为代码是通过映射代码和基础架构如何更改为DevOps工具和工作流程，并找到添加安全控件，测试和端口的位置，而无需使用或延迟无用*，来构建安全性。开发人员可以使用IAC的编程语言来定义基础架构。您需要做同样的事情，以使安全性达到DevOps速度。

以下是对DevSecops必不可少的实施安全性的方式：

什么是安全代码？

安全为代码（SAC）是一个概念，涉及使用代码和自动化来在组织整个基础架构上执行安全策略和实践。

在基本层面上，您可以通过将安全策略，测试和扫描整合到管道和代码本身中来实现安全性。测试应在每个代码运行中自动运行，并且结果应立即向开发人员使用。将安全扫描写入您的代码可以通过简化软件开发生命周期（SDLC）中的审核过程来节省您的团队时间和金钱。

应在项目开头定义和编码安全性，以进行重复和一致的使用。这使开发人员能够保护其代码。

预定义的安全性可以提高效率并控制自动化过程，以防止部署期间灾难（例如，由于分阶段环境中未发现问题而导致的整个基础设施意外关闭）。

安全作为代码原则

以下是安全的四个基本原则作为代码：

自动化：AS Security AS代码依靠自动化来始终如一地执行安全策略。这包括自动化安全控制部署，漏洞的检测以及对问题的补救。
版本控制：Security作为代码应作为代码将其视为并在版本控制系统中进行管理；这允许有清晰的变化，团队之间的协作以及生产前测试环境中的变化的验证。
可重复使用：安全代码应重复使用和模块化；这使团队可以使用和共享标准的安全控制和配置，从而减少实施安全所需的时间和精力。
开放标准：安全代码应根据公开标准构建；这允许采用更灵活和不可知的方法，减少供应商的锁定，并允许团队在不同用例中使用最佳解决方案。

采用这些原则使团队能够在其基础架构和应用程序中建立安全性，使安全成为开发过程中的一流公民，因此安全不是事后的想法，而是系统的组成部分。

安全代码还允许组织从孤立的，手动的安全方法转移到安全性方面，而是使团队能够以连续的，自动化的方式为其基础架构和应用程序建立安全性，以降低安全漏洞的风险并提高合规性。

安全功能作为代码

弗朗索瓦·雷诺（Francois Raynaud），DevSeccon的创始人兼总监说，使用安全作为代码使安全性更加透明，并允许安全专业人员和开发人员说相同的语言。换句话说，安全团队必须了解开发人员如何工作并利用该理解来帮助开发人员在SDLC中构建所需的安全控制。开发人员可以在开发过程中使用新工具和实践来改善安全性，可以正确做出响应。

以下是最佳实践和功能，可以纳入您的管道：

自动化安全扫描和测试（例如静态分析，，，，动态分析，和渗透测试）在您的开发生命周期内，可以在所有项目，环境和体系结构中重复使用它们。
请向开发人员提供反馈，以创建一个连续的反馈循环，以便他们可以在编码时解决问题，并在编码过程中学习最佳实践。
在流程中实施控件以评估和测试自动化安全策略。确保不会意外共享或发布机密数据和秘密。
在需要时使用自定义脚本进行自定义脚本进行自动化或耗时的手动测试。可以测试测试脚本的准确性和效率，并在所有项目，环境和体系结构中复制。
在分期环境中测试新代码并测试每个代码执行以提高安全性并减少错误
计划或连续的监视应在评论仪表板中自动生成日志（或危险信号），并与整个DevOps团队共享。

安全的好处作为代码

当组织转向安全的代码模型时，他们会意识到几个关键的好处。关键的好处之一和最初的驱动力之一是开发人员和安全团队之间的协作和敏捷性。另一个重要的好处是组织内多个团队之间的可见性。最后，安全和加密政策简化了管理的管理，并减少了组织内部的努力。****

1-更大的合作：

随着开发团队和组织转向敏捷的工作流程，安全团队通常需要赶上或仍在使用标准地面方法。开发团队的重做，忽略或撤回仍需要更新的安全流程，创建积压。他们没有在不同动机方面处理正交问题，而是直接在相同的代码库上共同努力，以确保代码在移至新级别之前通过测试。

2-改善士气：

除了安全性和合规性外，许多团队不一定了解整个基础架构。由于安全性和合规性要求已编纂，因此不再有一个问题，说明为什么要做出决定，但是在代码中很明显。例如，如果将Kubernetes与开放策略代理（OPA）集成在一起，则可以直接访问每个Kubernetes群集的用户和组。这使您可以制定一致的政策，以匹配您的服务所有权。当安全性完全集成到管道中时，当代码完成后，就会有更少的惊喜和最后一刻的障碍。

3-可见性提高：

安全性作为代码有助于简化和集中用户和数据访问，减少工作量并提高可见度。现在，您可以在自助服务中跟踪访问和策略更改并更改请求。例如，我们使用Terraform来管理云提供商的IAM资源。通过跟踪IAM更改您的源代码，任何人都可以通过直接向Terraform存储库提出拉请请求来看到完整的控制和请求更改。当决策集中在声明性的政策系统中时，无需在单独的系统中反复做出相同的决策。分布式应用程序的分布式授权政策早已消失。

4-较短的释放周期：

当设计和开发早期纳入安全要求时，问题更容易进行故障和斑点。例如，开发人员可以与OPA集成以在启用集成所花费的时间添加基于角色的访问控制（RBAC）。传统上，这需要多个安全，产品和开发团队的冲刺才能了解要求，RBAC是什么，截止日期，最后进行完整的代码审查。开发人员可以专注于核心功能，并加速软件和应用程序开发。安全团队将采用或开发其库和工具，以通过提供在继续使用此方法的同时提供固定应用程序的流程和方法来进一步加速推广。