美國軍方面臨著越來越大的壓力，他們需要加快創(chuàng)新速度，以保持領(lǐng)先于不斷變化的威脅形勢(shì)，但又不會(huì)快到危及任務(wù)關(guān)鍵型IT系統(tǒng)的安全性。

開源軟件可以通過開辟合作、增長(zhǎng)和自由交流思想的途徑來幫助美國軍方實(shí)現(xiàn)其目標(biāo)。開源開發(fā)人員不斷測(cè)試哪些有效，哪些無效的界限。通常，它們“快速失敗”并迭代，即使它們以更快的速度工作。開源開發(fā)社區(qū)，盡管它遍布全球，但密切合作以促進(jìn)持續(xù)創(chuàng)新。

可以理解的是，這種快速、敏捷、自由流動(dòng)的環(huán)境會(huì)滋生安全問題，尤其是在國防領(lǐng)域。良好的安全衛(wèi)生通常與“緩慢”和“有條不紊”這兩個(gè)詞相關(guān)聯(lián)，這兩個(gè)詞通常都不是開源開發(fā)。

但是圍繞開源和風(fēng)險(xiǎn)存在固有的誤解，機(jī)構(gòu)不需要在速度和安全性之間做出選擇。讓我們探討一下軍方如何兩全其美——利用開源軟件的優(yōu)勢(shì)，同時(shí)獲得戰(zhàn)場(chǎng)所需的完整性和安全能力。

了解開源的細(xì)微差別

為了充分利用開源軟件和技術(shù)，最好首先了解開發(fā)環(huán)境的動(dòng)態(tài)及其對(duì)安全性的影響。

開源的最大優(yōu)勢(shì)是對(duì)已識(shí)別的安全挑戰(zhàn)的反應(yīng)速度更快——畢竟，任何人都可以在出現(xiàn)問題時(shí)提交修復(fù)或補(bǔ)丁。但是，將任何軟件視為防彈都是錯(cuò)誤的。

開源項(xiàng)目可能需要大量的時(shí)間和資源來維護(hù)。當(dāng)社區(qū)的注意力被吸引到新版本和功能的方向時(shí)，在任何給定時(shí)間維護(hù)代碼安全的成員數(shù)量可能會(huì)有所不同，從而影響響應(yīng)新漏洞的能力。因此，開放代碼安全的主要責(zé)任落在了嵌入它的人身上。

對(duì)于軍方來說，承擔(dān)維護(hù)關(guān)鍵任務(wù)、基于開源的系統(tǒng)和應(yīng)用程序的責(zé)任可能具有挑戰(zhàn)性，因?yàn)樗婕暗南到y(tǒng)的使用壽命很長(zhǎng)，而且需要付出巨大的努力。不幸的是，支持可能并不總是隨時(shí)可用。例如，工作人員通常認(rèn)為“有人在那里”可以幫助他們?cè)诔霈F(xiàn)安全問題時(shí)解決它們 - 而事實(shí)可能并非如此。開源社區(qū)成員不是 24/7 全天候待命，也不會(huì)向用戶提供服務(wù)級(jí)別協(xié)議。

有效、持續(xù)的開源軟件維護(hù)需要一種深入防御的方法，包括對(duì)最新補(bǔ)丁和更新的深入了解，而許多 IT 專業(yè)人員缺乏這些知識(shí)。幸運(yùn)的是，外部供應(yīng)商可以提供幫助。許多供應(yīng)商已經(jīng)站在開源項(xiàng)目的前線，積極創(chuàng)新和加強(qiáng)他們的產(chǎn)品，以配合安全的發(fā)展。至關(guān)重要的是，外部供應(yīng)商也可以提供支持，負(fù)責(zé)開源維護(hù)部分，從而使軍事IT能夠?qū)Ｗ⒂谥苯又С秩蝿?wù)的更高級(jí)別的活動(dòng)。

實(shí)現(xiàn)強(qiáng)大的開源安全態(tài)勢(shì)的必要性

為了維護(hù)開源系統(tǒng)和應(yīng)用程序的安全態(tài)勢(shì)，每個(gè)軍事 IT 經(jīng)理都應(yīng)該考慮兩個(gè)主要優(yōu)先事項(xiàng)。

首先必須做的是自動(dòng)化以減少人為錯(cuò)誤并使流程可重復(fù)。美國軍隊(duì)是一個(gè)既有傳統(tǒng)又有創(chuàng)新的機(jī)構(gòu)。多年來的戰(zhàn)斗對(duì)指揮官和作戰(zhàn)人員執(zhí)行任務(wù)目標(biāo)的方式進(jìn)行了改進(jìn)和調(diào)整。

軍事IT系統(tǒng)也是如此，通常會(huì)隨著時(shí)間的推移而修改和更新。然而，與在戰(zhàn)場(chǎng)上收集的知識(shí)不同，可能沒有記錄為什么進(jìn)行IT更改。即使是很小的變化也會(huì)深刻影響系統(tǒng)的完整性，造成大量的技術(shù)債務(wù)，使管理人員難以確定其系統(tǒng)的完整性。

清楚地了解系統(tǒng)內(nèi)發(fā)生或更改的所有內(nèi)容對(duì)于識(shí)別潛在漏洞至關(guān)重要。使用開源軟件可以使軍方保留系統(tǒng)配置的記錄，以便清楚地了解對(duì)這些系統(tǒng)所做的更改。此外，IT 可以自動(dòng)化應(yīng)用程序開發(fā)流程，以減少技術(shù)債務(wù)并最大限度地降低人為錯(cuò)誤的風(fēng)險(xiǎn)，這是安全漏洞的主要原因。

第二個(gè)當(dāng)務(wù)之急：使安全性成為應(yīng)用程序開發(fā)的核心。對(duì)于許多組織來說，數(shù)字化轉(zhuǎn)型意味著將組件添加到已經(jīng)存在的基礎(chǔ)架構(gòu)上。這有時(shí)會(huì)發(fā)生在安全控制中，這在應(yīng)用程序和系統(tǒng)開發(fā)方面通常是事后才想到的。事實(shí)上，直到最近，安全性還不是DevOps流程的核心部分，因?yàn)殚_發(fā)人員和運(yùn)營(yíng)經(jīng)理認(rèn)為這是創(chuàng)新的消耗。

在一個(gè)軍事武器越來越容易受到黑客攻擊的世界里，這種做法是不可接受的。軍事 IT 必須將安全功能直接融入應(yīng)用程序開發(fā)流程，并使其成為其基礎(chǔ)架構(gòu)的核心組件。

我們看到這種情況隨著DevSecOps的出現(xiàn)而發(fā)生?，F(xiàn)在，安全性必須被視為不僅僅是開發(fā)工作的一部分或附加組件 - 它是一種共同的責(zé)任，在開發(fā)的所有階段都根深蒂固。從白板階段到最終交付，團(tuán)隊(duì)掃描和測(cè)試應(yīng)用程序，在開發(fā)的每個(gè)階段解決漏洞，并在應(yīng)用程序投入生產(chǎn)之前彌補(bǔ)安全漏洞。

與DevOps一樣，DevSecOps是關(guān)于生產(chǎn)速度的，自動(dòng)化構(gòu)成了驅(qū)動(dòng)流程的引擎。正如我們所建立的，通過使用開源技術(shù)可以促進(jìn)自動(dòng)化，提供敏捷性和安全性功能的成功組合。

采用成功的心態(tài)

重要的是要記住，實(shí)現(xiàn)開源項(xiàng)目的安全態(tài)勢(shì)不是一次性事件 - 這是一個(gè)永無止境的過程。對(duì)于軍事IT人員來說，這意味著及時(shí)了解不斷變化的內(nèi)部和外部安全威脅，持續(xù)掃描漏洞，并定期實(shí)施補(bǔ)丁和更新軟件。

此外，IT經(jīng)理應(yīng)該記住，并非所有開源項(xiàng)目都是平等的。一些部署更小且更易于保護(hù)，而其他部署更大且更復(fù)雜，可能需要不同的知識(shí)和技能。例如，如果將開源用于操作系統(tǒng)或虛擬化管理程序，則由于它們覆蓋的表面積很大，因此安全風(fēng)險(xiǎn)可能會(huì)更高。

安全與創(chuàng)新是經(jīng)過驗(yàn)證的組合

安全和創(chuàng)新并不是相互排斥的概念。例如，美國海軍的“編譯作戰(zhàn)”計(jì)劃就是一個(gè)很好的例子，說明國防機(jī)構(gòu)使用尖端軟件，努力使軍艦比以往任何時(shí)候都更快、更安全地漂浮。（見上面的鉛照片。

所有IT人員，包括軍事IT人員，都必須仔細(xì)檢查如何利用系統(tǒng)或應(yīng)用程序及其漏洞所在 - 不僅僅是在項(xiàng)目開始時(shí)，而是在部署的生命周期內(nèi)。這種積極主動(dòng)、安全第一的思維方式可以使軍事 IT 組織充分利用開源軟件和技術(shù)。

審核編輯：郭婷