把Sec塞进DevOps不只是技术与工具变更那么简单，更重要的是思维方式和内部流程的转变，推进DevSecOps的关键原则是：别给人添麻烦。《Gartner 2017研究报告：DevSecOps应当做好的十件事》和《Gartner 2019研究报告：DevSecOps应当做好的十二件事》两篇研究报告中都对成功实施DevSecOps进行了研究。两篇报告一致认为实施DevSecOps的关键挑战和第一要
原创
2020-02-27 14:09:53
2372阅读
为何需要建立DevSecOps？1.1应用软件安全风险的影响面对当前万物智能互联、数字经济高速发展的大环境下，应用软件安全对于推动我国数字经济发展、维护社会稳定及国家安全都将起着至关重要的地位和作用。据Gartner报告显示：超过80%的网络攻击都发生在应用层，所披露的漏洞70%以上与应用安全有关，特别是SQL注入、XSS、CSRF、目录遍历等漏洞，所以应用安全将是安全保障的重中之重。1.2安全需
原创
2020-02-27 14:05:55
1078阅读
前言 在之前的文章谈到的安全测试所在的三个阶段，并大概分析了三个阶段对应技术的优劣势，但是IAST那块因为内容太多并没有铺开来说，今天将着重来谈谈这个在安全测试里举足轻重的一员。一、简介 IAST，全称是“Interactive application security testing”，翻译过来叫交互式应用安全测试，是一个能自动识
原创
2021-09-03 11:53:08
510阅读
> 上篇文章，有同学私信想了解有哪些DevSecOps工具，这里整理出来，供大家参考（PS: 非专业安全人士，仅从DevOps
原创
2023-10-24 15:04:52
0阅读
软件中的漏洞和弱点很常见：84%的软件漏洞都是利用应用层的漏洞。软件相关问题的普遍性是使用应用安全测试（AST）工具的主要动机。通过使用AST工具，企业
原创
2023-11-11 08:01:25
0阅读
IAST助力企业不断优化和调整安全策略，适应日益复杂的安全挑战
原创
2024-07-04 15:47:37
116阅读
上篇文章，有同学私信想了解有哪些DevSecOps工具，这里整理出来，供大家参考（PS: 非专业安全人士，仅从DevOps建设角度，给出自己见解） 软件中的漏洞和弱点很常见：84%的软件漏洞都是利用应...
原创
2023-11-13 12:27:49
0阅读
DevSecOps 的理念是将安全防护流程有机地融入传统的 DevOps 流程中，为研发安全提供强有力保证，安全工具支撑研发阶段安全要求落地。
原创
2022-04-24 15:05:16
501阅读
点赞
在过去十年里我们见证了越来越多的企业开始或已经采用云技术，这也意味着云安全的重要性也越来越高。当谈及安全威胁，McKinsey的一篇文章表明，云上大多数漏洞都是由于配置错误导致而非外部攻击造成底层云基础设施损坏。因此，从开发初期就拥有正确安全配置比构建一个安全独立的系统更靠谱、更有效。而实现这的最好方式就是安全即代码（SecurityasCode）。什么是安全即代码（SaC）安全即代码（SaC）就
原创
精选
2022-08-30 10:56:10
365阅读
发现用于应用程序安全的顶级 DevSecOps 工具，其功能包括代码安全、实时监控和漏洞修复等。
原创
2024-08-26 14:56:04
0阅读
DevOps 作为软件交付生命周期管理领域的方法论，已经被越来越多的IT企业所接受。它所带来的业务价值也是毋庸置疑的，“1天N次部署”、从代码到上线只需数十分钟甚至几分钟。DevOps 已经逐渐成为更多企业软件开发及运维成熟度的新标杆。而随着 DevOps 的落地，软件交付速度不断提升，安全问题也越来越凸显，而在传统软件开发过程中，安全往往是处于最后的一步，企业软件系统在上线前，才会通知安全人员对
原创
精选
2018-04-02 12:47:06
10000+阅读
点赞
讲师介绍：赵锐，平时负责信息安全工作，主要针对业务风险、信息安全、账户安全、开发安全。介绍由四部分构成：第一，讲一下我们的困境；第二，业务安全与DevSecOps；第三，最佳实践的要素；第四，实施最佳实践项目。1.困境业务逻辑的安全极大地影响资金，比如说去年杭州某一个大场吸引用户注册的时候，因为逻辑漏洞损失了很大，那这个损失谁来担？老板要求快速上线，基本功能都保证了，能测试，减少安全测试，功能快速
原创
2021-03-13 08:52:20
3463阅读
DevOps 作为软件交付生命周期管理领域的方法论，已经被越来越多的IT企业所接受。它所带来的业务价值也是毋庸置疑的，“1天N次部署”、从代码到上线只需数十分钟甚至几分钟。DevOps 已经逐渐成为更多企业软件开发及运维成熟度的新标杆。而随着 DevOps 的落地，软件交付速度不断提升，安全问题也越来越凸显，而在传统软件开发过程中，安全往往是处于最后的一步，企业软件系统在上线前，才会通知安全人员对
原创
2021-03-12 09:49:32
170阅读
本文根据GOPS2017·上海站演讲《业务安全-DevSecOps的催化剂》整理发布作者简介赵锐上海首席安全官联盟成员、银联认证讲师，GOPS金牌讲师，曾在国有金融机构担任安全主管、移动产品经理、信息安全专家等职务。互联网金融业务风险管理、信息安全管理、账户安全管理、开发安全管理10余年资深金融科技工作经验，10余年金融科技风险管理工作经验，深入了解国内外金融行业信息安全标准与要求。工作期间多次代
原创
2021-03-15 14:36:11
416阅读
渗透测试是一种有效的测试方法，是安全人员模拟黑客进入系统的测试方法，他
转载
2022-12-05 06:06:54
99阅读
了解什么是安全即代码以及 SaC 如何帮助实现 DevSecOps 并向左移，以确保在 SDLC 的每个阶段都解决安全问题。译自How to use security as code to achieve DevSecOps | TechTarget，作者 Paul Kirvan。传统的应用程序开发方法已经迅速过时——尤其是在应用程序安全方面。软件漏洞和编码错误的日益增长的威胁意味着开发人员不能再
翻译
2024-10-10 18:06:46
135阅读
引言：安全左移的革命性突破"每次安全审计都像一场突击考试"——传统安全实践中，83%的漏洞是在上线后被发现，修复成本是设计阶段的30倍。DeepSeek通过AI驱动的安全智能系统，实现了漏洞预防率85%+，安全事件响应时间缩短90%的突破性进展。一、DeepSeek安全大脑技术架构1. 全生命周期安全防护链graph LR
A[代码提交] --> B(静态应用安全测试)
C[
在DevSecOps的应用过程中，静态分析工具在开发阶段承担着非常重要的代码质量和安全的看护任务。本文根据开发过程的不同位置的开发环境、代码特征以及检测工具能力的差异，提出了需要因地制宜地部署检查工具，形成递进的三层代码安全防御体系，从而提高应用软件整体安全性，同时又能有效的贯彻安全左移的策略，降低安全问题的维护成本。
原创
2023-09-21 23:06:05
132阅读
IAST：交互式应用程序安全测试(Interactive Application Security Testing)。近年来，IAST作为一种新的应用安全测试技术，受到广泛的关注，慢慢出现了一些iast开源项目，可以让更多的个人或者企业参与体验。本文就目前网络中找到的几款iast工具进行部署测试，记录一些使用过程。1、openrasp-iastopenrasp-iast 是一款灰盒扫描工具，目前开
原创
2023-05-22 11:53:55
59阅读
