DevOps安全意味着将安全策略直接整合到DevOps管道中，创建一种预先保护软件的部署文化。但这也需要在操作策略和安全思维上进行改变，将安全视为DevOps生命周期的部分。
以下是DevOps安全策略清单，供开发团队更快地交付安全可靠的应用程序:
1. 分析您的开发过程是否存在安全隐患。
实施 DevOps 安全策略的第一步是查找并修复现有开发流程中的漏洞。
例如，持续交付和开发是DevOps的关键。但是，如果每个更改都没有经过代码审查，则有可能导致应用程序存在安全隐患。
2. 在开发和安全团队之间创建共同目标。
开发人员和安全团队的传统角色可能看起来像是处于十字路口，开发人员编写代码，安全团队发现他们代码中的问题。然而，在DevOps的协作环境中，安全和开发需要携手合作，为用户交付安全的应用。
3. 在开发阶段集成安全工具。
自动化是保证DevOps安全的重要手段。将安全扫描工具静态代码检测、开源组件分析等工具集成到开发工作流中对整个过程至关重要。
自动化安全检测工具可以扫描代码、网络和基础设施，以识别安全漏洞并提供修复建议。通过使用工具，开发团队可以在将问题传递给安全团队进行最终检查之前自己修复一些安全问题。
4. 向管道添加可观测性。
DevOps 操作的分布式特性的最大挑战之一是可见性。如何有效地监控分布在多个不同位置的大量操作节点?
可观察性通过使用日志、指标和跟踪(即通过应用程序的输出来确定内部应用程序运行状况)来实现。通过可观测性工具可以更深入地了解系统的运行情况，并确定任全问题的确切细节。
5. 以较小的增量单位进行更改。
在小单元中测试代码并将其部署为较小但增量的更改，比处理大型且笨拙的单块代码要容易得多。渐进式部署更改意味着可以更快地解决漏洞。
6. 扫描并保护整个 DevOps 管道。
DevOps流程中的很大一部分安全隐患来自不安全的容器和操作节点。根据ThreatStack的一项研究，94%的组织表示容器存在着安全风险。但是，风险不仅限于容器。其他服务(如 API)、第三方工具(如 Docker)和导入的代码会给流程带来潜在的安全风险。因此有必要定期扫描所有操作节点以查找漏洞。
通过实施以上几点，有助于组织保持更坚实的安全基础。但DevOps安全性不是一次性的过程。组织需要不断地将安全协议集成到DevOps生命周期的每个部分中，并对员工进行安全培训。
来源：
