安全即代码 (SaC) 是一门将安全性集成到 DevOps 工具和流程中的学科，它通过识别可能包含安全检查、测试和关卡的位置，而不增加额外成本或延迟更改代码和基础设施的过程。开发人员可以通过创建为此目的而设计的代码来指定基础设施平台和配置。为了将 DevOps 的敏捷性和速度带入安全，我们必须关注 SaC 的部署。应用程序安全的未来将由 SaC 推动。
通过将安全规则、策略、工具和代理、测试和扫描纳入CI/CD 管道以及代码本身，可以实现 SaC 的基本部署。每次提交一段代码时，都应该自动执行测试，并且开发人员可以随时获得结果以进行更正。通过在编写代码时向开发团队提供安全扫描结果，可以优化资源并在软件开发生命周期 ( SDLC ) 中节省时间和金钱。
为什么 SaC 很重要？
要成功地从 DevOps 过渡到DevSecOps的安全集成方法，就意味着拥抱 SaC。安全需求应在项目开始时与通常的功能和非功能需求一起定义，并使用编码和自动化方式实现，以确保向前推进的一致性和可重复性。这种自动化提高了组件的可重用性——一旦工具、配置、功能、测试范围和指标以及成功标准已经建立，它们几乎可以毫不费力地用于后续部署。安全开销的减少导致发布速度的提高，以及安全团队可以腾出时间专注于零日现有或未来产品的漏洞和增强功能，而不是被它们对 SDLC 的贡献所占据。
此外，通过确保所有员工将相同的标准应用于所有开发活动，使用一致的策略和流程会导致一致的安全态势。这意味着最终产品的整体安全性得到提高，安全事故和服务中断减少，客户满意度更高。
安全即代码的组件
用于应用程序开发的安全即代码的组件是访问控制和策略管理、漏洞扫描和安全测试。这些中的每一个都使您的开发团队能够在软件开发生命周期的早期发现并解决安全问题，而不是延迟到项目完成并因安全问题而停滞不前。通过采用 SaC 理念，您可以在开发和安全团队之间营造一种协作精神。通过让安全成为每个人的责任，从一开始就更加重视它。
访问控制和政策管理：规范治理决策制定和对政策的遵守。您的开发团队可以通过将授权卸载到外部库来专注于关键功能。得益于对中央存储库的安全访问，整个组织可以在不危及基本安全性和合规性要求的情况下更快地行动，他们可以在中央存储库中直接与开发人员协作以监控和验证授权。
漏洞扫描：确认您的应用程序和部署的每个组件在生命周期的每个阶段都受到保护，免受已知漏洞的侵害。可以通过扫描源代码找到易受攻击的库，并且可以检查应用程序是否存在 OWASP 漏洞，例如 XSS 和 SQL 注入。可以检查容器是否符合最佳实践标准，以及特定包中的漏洞。SaC 的目标是对测试、暂存和生产环境进行连续自动全面扫描。尽早扫描并经常扫描以确保安全控制到位，并尽早发现问题。
安全测试：检查代码以确定可能危及应用程序机密性、完整性或可用性的问题。良好的安全性不仅仅涉及防止威胁的实现。SaC 还必须成功检测配置错误、数据泄露、暴露的秘密以及代表恶意行为者攻击媒介的漏洞。安全标准确保应用程序是安全的并且没有安全问题，并且通过安全测试确定对这些标准的遵守。
SaC 的优势
安全即代码并不能取代保护生产系统、监控系统和响应事件的需要。它为应用程序安全提供了更大的深度，并提升了操作基线。
下面列出了一些其他好处：
- 可以快速、全面地采用对安全要求的更改。
- 改进了安全、开发和运营团队之间的协作。
- 安全左移意味着可以更早地识别和修复漏洞。
- 早期的安全修复和自动化降低了成本。
- 更短的发布周期提高了开发速度。
- 安全可见性增加，安全开发实践被优先考虑。
- 通过更快地发布补丁和更新提高了客户满意度。
实施SaC
安全即代码 (SaC) 首先是一种文化变革和方法论，重要的是要认识到，虽然工具是实现该方法的重要组成部分，但要成功采用 SaC 方法，还需要更多东西。
首先，必须建立安全策略，然后您必须开始编写实现这些策略的代码和由此产生的基线。开发、运营和安全团队必须共同努力，在 SaC 实施之前确定应用程序安全的当前状态。一旦每个人都了解您的位置，您就可以确定如何到达您想去的地方。建议提供培训和资源来提高您的开发和安全团队的技能，以便迁移到 SaC。
一旦您的组织准备好采用安全即代码方法，就可以评估在整个软件开发生命周期中实现安全集成的工具集。SaC 的强大工具将包括扫描、执行策略、检测错误配置和暴露的秘密以及漏洞的功能，并实时提供清晰且可操作的结果。
