译自 DevSecOps Tools That Offer Security， Efficiency， and Quality 。
有三种不同类型的应用程序安全工具，目的是在应用程序层面检测、修复和防止安全漏洞：静态应用程序安全测试(SAST)、动态应用程序安全测试(DAST)工具，以及交互式应用程序安全测试(IAST)。
DevSecOps遵循DevOps为现代敏捷软件开发确立的模式。如今，开发和IT运维团队共同合作，软件开发生命周期(SDLC)流程保持一致。任务自动化和管理工具促使团队之间的壁垒打破。反过来，将软件开发置于敏捷方法中缩短了开发周期，并通过每个代码周期后的测试提升了效率。结合更高效的流程、缩短的开发周期和持续的测试，使应用程序能够更快速地推向市场。
利用DevSecOps方法增加了一个关键特征，超越了DevOps文化。DevSecOps解决方案认识到，持续交付软件环境存在漏洞，需要像测试一样，在SDLC每个阶段集成安全措施，而不是在开发最后阶段才考虑安全性。
几个例子说明了为什么要在整个开发周期中集成安全性。在开发流水线中，应用程序接口(API)和开源组件可能在编码阶段引入薄弱环节。代码中的更改也可能导致在开发早期就出现安全漏洞。
为了应对这些和其他威胁，开发、安全和IT运维团队使用DevSecOps解决方案，在软件开发生命周期(SDLC)开始和整个过程中集成安全最佳实践。如果没有DevSecOps方法，测试和安全性要到开发阶段结束后才进行。开发结束后解决安全漏洞需要软件补丁。但是，随着应用程序老化，客户寻求通过扩展代码或其他服务进行改进，这些补丁可能成为满足客户需求的障碍。
为了在开发流程早期解决漏洞，DevSecOps解决方案利用应用程序安全(AppSec)工具节省时间和资源。三种不同类型的AppSec工具目的是在应用程序层面检测、修复和防止安全漏洞。静态应用程序安全测试(SAST)工具可以评估应用代码并扫描漏洞，而动态应用程序安全测试(DAST)工具可以对运行中的应用进行实时分析。交互式应用程序安全测试(IAST)工具结合了静态和动态分析的优点，并收集有关应用程序执行流程和数据流的复杂信息。IAST工具还可以模拟复杂的攻击模式，并测试运行中的应用程序对模拟攻击的响应。
由于开发和运维的目标始终是开发最佳应用程序和缩短上市时间。DevSecOps工具通过加强风险缓解和持续注重质量来响应这些目标。
为了保持使更快开发成为可能的效率，DevSecOps工具必须平稳、无缝地集成到现有流程和流水线，同时支持开发者体验。 将安全无缝集成到开发周期中也为持续的安全提供了最大机会。 反过来，对安全性、质量和合规性的关注可以提高客户对应用程序及其支持的信心。
然而，DevSecOps安全工具的益处远不止工作流集成和改进工作流。 自动化的DevSecOps安全工具还提供了更好的方法来实现和维持日益严格的安全和政府法规标准合规性。 在更大的目标下，DevSecOps安全工具提供自我监控功能，用于检测可能的错误和改进代码验证。
与这些工具集合使用，复杂的自动化AppSec测试工具可以与机器学习和人工智能工具相结合，快速识别可能的安全漏洞，提供额外的测试并提出代码更改建议。
DevSecOps工具不是提供单一的漏洞管理方法，而是在开发第一阶段和整个开发周期中集成安全最佳实践。 经理和团队可以通过评估安全需求，然后将这些需求与易于集成开发工作流的工具相匹配，来选择最佳的DevSecOps安全工具。
通过仔细考虑DevSecOps工具清单以及每种工具如何适应DevSecOps软件开发流程各个阶段的目的，实现需求与工作流程的匹配。 例如，设计和威胁建模工具与设计阶段相匹配，而仓库控制和代码审查与开发阶段相匹配。 在敏捷框架中使用标准化工具可以运用统一的方法，这可以提高交付效率。
开发、安全和运维的融合强调每个阶段代码的质量。 在DevSecOps中，“向左转移”测试将测试和质量控制提前到软件开发的早期阶段。 DevSecOps公司可以使用几种不同的方法来实现“左移”测试。 测试驱动开发要求开发人员在编写实际代码之前编写测试。 验证代码的有效性涉及编写最少的代码以通过测试，并重构或改进代码的设计。 实现测试驱动开发的成功取决于团队定义应用程序要求的能力。
开发团队还可以应用行为驱动开发工具来测试和改进代码质量。 行为驱动开发(BDD)工具使开发人员、测试工程师和产品负责人回归到DevSecOps方法论的基础。
BDD框架使用简单的文本语言建立一个通用的设计语言，满足技术人员和非技术人员的需求。 使用通用设计语言使由开发人员、安全分析师、团队经理和客户组成的团队能够确定应用程序或软件项目的期望行为，记录应用程序并为软件开发制定以行为为导向的目标。
特定行为的测试可以在项目开始、应用开发期间和软件开发完成时验证产品的运行情况。 因此，DevSecOps公司可以进一步缩短开发周期，加快应用推向市场。
DevSecOps即服务和其他DevSecOps服务可以提供缩短应用程序开发周期的另一种方式。 DevSecOps即服务(DSOaaS)通过云计算提供的基于订阅的技术，将实现的成本和努力转移。订阅者可以访问与工具、政策和流程的选择、管理和维护相关的一切，而无需提前IT支出。应用程序开发者和用户可以通过门户或API访问工具。
订阅还涵盖了DevSecOps服务，由中心化的专业团队提供。DSOaaS团队提供了传统部署和安全团队可能缺乏的专业知识和资源。此外，DSOaaS提供的标准化AppSec工具满足合规性要求。
与DevOps方法类似，DevSecOps团队依靠客户对使用体验的反馈来改进产品质量。 了解客户需求使团队能够关注最佳实践并实现业务目标。 作为DevSecOps模型中的关键利益相关者，客户可以就业务需求以及软件应用程序如何提供创新解决方案来满足这些需求发表意见。 开发团队可以利用这些反馈实时解决问题，并提供更好的应用程序。
通过在开发周期最初阶段和各个阶段集成侧重安全和质量的最佳实践，DevSecOps团队培养客户信任。 漏洞的持续缓解奠定了保留客户、维护良好商誉和增加销售的基础。