10、DevSecOps技术：保障应用安全交付的关键

DevSecOps技术：保障应用安全交付的关键

1. DevSecOps技术概述

DevSecOps技术支撑着DevOps的核心原则，但要明确的是，DevSecOps和DevOps不只是关于技术，更重要的是文化和DevOps原则。实际上，并没有所谓的“DevSecOps工具”，而是一系列能够实现DevSecOps的工具集合。营销信息常让人混淆，很多现代安全工具宣称自己是“DevSecOps工具”，但判断一个工具是否为DevSecOps工具，关键在于其是否能支持DevOps的核心原则。

以下是一些支持DevSecOps原则的工具类型：
- 协作 ：协作是DevSecOps的核心，像Slack或Teams这样的聊天工具，能促进全球混合团队环境下信息的自由流动；PagerDuty等工具可在出现问题时帮助团队协调和沟通。
- 价值从左到右流动 ：CI/CD工具如Jenkins和CircleCI是DevOps第一原则的关键，能让价值顺畅、持续地流向客户。各种形式的自动化，如安全编排、自动化和响应（SOAR）工具或自定义脚本，可减少日常繁琐工作，让工程师专注于为客户构建优质产品和服务。
- 赋能 ：给予工程师从开发到生产支持的应用生命周期更多控制权，能提升业务成果。云提供商等抽象层和自动化安全测试，可让工程师独立完成工作，减少对其他团队的依赖。
- 快速反馈和持续学习 ：CI/CD工具实现的小批量交付，能让工程师快速获得客户反馈，了解代码变更的影响。监控和可观测性工具的共享遥测数据，能提供变更影响的关键可见性。