یادتان می‌آید آخرین باری که یک وصله امنیتی حیاتی در نیمه‌شب روی محیط پروداکشن (Production) قرار گرفت چقدر استرس‌زا بود و کل تیم با نفس حبس‌شده دعا می‌کردند چیزی خراب نشود؟ در توسعه نرم‌افزار سنتی، امنیت همیشه مانند یک مهمان ناخوانده در آخرین لحظه از راه می‌رسد، در حالی که درها قفل شده و مبلمان از قبل چیده شده است. این فصل آن الگوی منسوخ را کنار می‌گذارد و پایه‌های لازم برای تنیدن امنیت در تار و پود مهندسی نرم‌افزار مدرن را از همان خط اول کد تا دیپلوی نهایی بنا می‌کند. در بالاترین سطح، مشکلی که این فصل به آن می‌پردازد شکاف فاجعه‌بار میان سرعت و امنیت در چرخه عمر توسعه نرم‌افزار است. بدون یک رویکرد یکپارچه، توسعه‌دهندگان برای انتشار قابلیت‌ها عجله می‌کنند، تیم‌های عملیات برای حفظ پایداری زیرساخت تلاش می‌کنند و تیم‌های امنیت مانند نگهبانانی سخت‌گیر با ممیزی‌های دستی مانع کار می‌شوند. حاصل این وضعیت اصطکاک مزمن، از دست رفتن ددلاین‌ها و آسیب‌پذیری‌هایی است که بی‌صدا به محیط پروداکشن راه پیدا می‌کنند. روش DevSecOps با ادغام امنیت به عنوان یک شهروند درجه‌یک در سراسر پایپ‌لاین (Pipeline)، این مشکل را حل می‌کند. بررسی تکامل چرخه عمر توسعه نرم‌افزار نشان می‌دهد چرا مدل‌های خطی سنتی مانند مدل آبشاری (Waterfall) در محیط‌های پرسرعت امروزی شکست می‌خورند. در تیم‌های جزیره‌ای که به شکل دست‌نزن به کار خود ادامه می‌دهند، هر گروه بخش بسیار مشخصی از فرایند را مدیریت می‌کند در حالی که از ابزارهای سایر تیم‌ها کاملاً بی‌خبر است. این جداسازی منجر به هدررفت عظیم زمان و انرژی می‌شود زیرا کد قبل از رسیدن به کاربر نهایی، بارها میان تیم‌های مختلف پاسکاری می‌شود. روش دوپس (DevOps) برای رفع این شکاف معرفی شد تا با نزدیک کردن توسعه و عملیات، زمان ورود به بازار را کاهش دهد، اما امنیت همچنان بیرون از این چرخه باقی ماند. برای پر کردن این شکاف باقیمانده، رویکرد دوپس-امنیت امنیت را در کنار سه بازیگر اصلی توسعه نرم‌افزار یعنی توسعه، عملیات و تست قرار می‌دهد. بخش توسعه بررسی می‌کند که آیا کد کارکرد درستی دارد یا خیر؛ بخش عملیات مشخص می‌کند این کد روی چه زیرساختی اجرا می‌شود؛ و بخش تست می‌سنجد که کد چگونه با سناریوهای پیش‌بینی‌نشده برخورد می‌کند. وقتی امنیت به این مثلث ملحق می‌شود، از یک واحد ممیزی بازدارنده به یک ویژگی خودکار در خود سیستم تبدیل می‌شود. برای ملموس شدن این مفاهیم انتزاعی، کتاب یک شرکت انیمیشن‌سازی خیالی به نام Automatoonz را معرفی می‌کند که اخیراً وارد حوزه تولید وب‌تون شده است. این شرکت روی فضای ابری آمازون فعالیت می‌کند و بدون داشتن بودجه کافی برای استخدام مهندسین امنیت فراوان، باید امنیت خود را خودکارسازی کند تا به شکلی ناب و ایمن رشد کند. سفر این شرکت نشان می‌دهد چگونه تیم‌های کوچک می‌توانند با تعریف سیاست‌های امنیتی به شکل کد، از حفاظت سطح سازمانی بهره‌مند شوند. این رویکرد مبتنی بر کد در زیرساخت ابری بیش از پیش می‌درخشد، جایی که سیستم‌ها باید به طور پیش‌فرض ایمن باشند. با تعریف منابع ابری به شکل اعلامی، تیم‌ها می‌توانند پارامترهای امنیتی قابل‌پیش‌بینی را پیش از پروویژن شدن منابع اعمال کنند. رانندگی بدون چراغ راهنمایی را تصور کنید؛ هرج‌ومرج ایجاد می‌شود. به همین ترتیب، زیرساخت ابری به موانع خودکار نیاز دارد، مانند دروازه‌های تصمیمی که به طور خودکار قالب‌های ذخیره‌سازی رمزگذاری‌نشده را رد می‌کنند. حرکت سریع و امنیت سریع کاملاً به اتوماسیون وابسته است نه به دقت انسانی. انسان‌ها مستعد خستگی، خطای دید و وسوسه دور زدن بررسی‌های امنیتی در مواقع اضطراری هستند. با این حال، ایجاد قابلیت دور زدن برای دیپلوی‌ها فاجعه‌بار است. در مقابل، بررسی‌های امنیتی باید همگام‌ساز یا دارای ویژگی تکرارپذیری بدون عارضه جانبی (Idempotence) باشند تا مهم نیست چند بار یک قالب را بررسی می‌کنید، همیشه نتیجه قابل‌اعتمادی بگیرید. پایداری این سرعت مستلزم تحولی بنیادین در فرهنگ سازمانی است و فرهنگ دوپس-امنیت را شکل می‌دهد. تغییر فرهنگ دشوار است زیرا نیازمند این است که امنیت به یک مسئولیت مشترک برای تمام مهندسان تبدیل شود نه بار دوش یک تیم خاص. وقتی توسعه‌دهندگان پیامدهای امنیتی کد خود را درک کنند، سازمان‌ها سیلوی‌های فرهنگی مولد آسیب‌پذیری را از بین می‌برند. هر تحول معماری تیم‌ها را وادار می‌کند تا میان سرعت و کنترل تعادل برقرار کنند: | بعد مقایسه | رویکرد سنتی | رویکرد دوپس-امنیت | | --- | --- | --- | | زمان‌بندی | ممیزی امنیت در انتهای کار | تعبیه بررسی‌های امنیتی از ابتدا | | اجرا | بازبینی‌های دستی و دروازه‌های انسانی | گاردریل‌های خودکار و بررسی‌های پایپ‌لاین | | مسئولیت | تیم امنیت ایزوله | مسئولیت مشترک میان همه مهندسان | | استثناها | اجازه دور زدن‌های دستی خطرناک | اصلاحات مستند و مسدودسازی خودکار | [ ] ردیابی محدودیت‌های تاریخی مدل‌های سنتی چرخه عمر توسعه نرم‌افزار و شناسایی گلوگاه‌های انتقال. [ ] نقشه‌برداری از سه ستون اصلی توسعه نرم‌افزار شامل توسعه، عملیات و تست و یکپارچه‌سازی امنیت در آن‌ها. [ ] طراحی قالب‌های زیرساخت ابری که سیاست‌های امنیتی را به شکل اعلامی اعمال کنند. [ ] پیاده‌سازی دروازه‌های تصمیم خودکار در پایپ‌لاین دیپلوی جهت مسدودسازی منابع ناامن. [ ] ساخت بررسی‌های امنیتی تکرارپذیر که قالب‌های پیکربندی را به شکلی قابل‌اعتماد ارزیابی کنند. [ ] توسعه فرهنگ امنیتی مشترک در میان تیم‌های مهندسی برای حذف دور زدن‌های دستی خطرناک در پروداکشن.