DevSecOps安全可观察性报告总结
前言与目标
云安全联盟（CSA）和SAFECode致力于改善软件安全状况，通过发布《DevSecOps的六个支柱》及其后续出版物，提供高端方法论和成功实施解决方案。本报告作为系列最后一篇，探讨如何通过持续测量DevSecOps的成功和失败，实现有效的安全管理和改进。
核心观点
使数据可观察
可观察性是指系统具备有效且可见的状态数据，通过日志、指标、分布式跟踪和用户体验测量实现。报告强调将安全数据和指标转化为可观察的数据的重要性，以便进行趋势分析和风险缓解。
脆弱性的可观测性
报告提出了三个关键指标来衡量脆弱性管理的效果：
- 平均识别时间（MTTI）：识别脆弱性所需的时间，越早识别越能降低补救成本和风险。
- 平均补救时间（MTTR）：识别后修复脆弱性所需的时间，反映团队对脆弱性的响应速度。
- 发展速度与脆弱性趋势：通过比较开发速度和修复脆弱性的能力，评估团队是否能够跟上脆弱性补救的步伐。
安全架构观察
报告提出了多个可观察因素来指导开发团队进行威胁建模和补救活动：
- 威胁量：跟踪威胁数量、类型和相应控制措施，了解是否采用纵深防御方法。
- 计量控制：跟踪针对威胁的控制措施，了解补救活动的规模和效率。
- 计量安全措施：跟踪已转换为安全措施的控制量，了解环境是否得到保护。
- 威胁模型燃尽：衡量对威胁的控制状况，评估威胁建模的有效性。
- 采用安全模型：分析安全设计模型的实施情况，评估安全架构成熟度。
- 威胁场景与网络风险映射：计量威胁与风险声明的对应关系，为风险提供说明。
事件响应的可观察性
报告提出了三个关键指标来衡量事件响应的效果：
- 平均检测时间（MTTD）：发现潜在安全事件所需的时间，越早检测越能降低风险。
- 平均遏制时间（MTTC）：跟踪控制安全漏洞/事件所需的时间，反映团队应对安全事件的速度。
- 平均恢复时间（MTTRN）：事件修复过程中恢复正常所需的平均时间，越快恢复越能减少对业务的影响。
团队间的成熟度比较
报告通过对比三个不同成熟度水平的团队（Alpha、Beta、Charlie），展示了DevSecOps实践对团队效能的影响：
- Alpha团队（低成熟度）：在DevSecOps实践方面处于早期阶段，修复漏洞反应迟缓，缺乏一致性。
- Beta团队（中等成熟度）：已经超越了DevSecOps的基础阶段，但处理漏洞的方式仍为适度的反应式，偶尔导致潜在威胁被忽视。
- Charlie团队（高成熟度）：展现出高级别的DevSecOps成熟度，各项指标体现出高水平的技术专业能力和将安全放在首位的理念。
跨团队的比较分析
报告通过对比三个团队的漏洞可观察性、安全架构可观察性和事件响应可观察性，突出了不同成熟度水平对安全实践的影响：
- 漏洞可观察性：Charlie团队拥有最少的可利用漏洞，MTTI和MTTR均表现最佳。
- 安全架构可观察性：Charlie团队的安全控制得到迅速实施，防御深度和控制复用得分最高。
- 事件响应可观察性：Charlie团队拥有出色的检测和响应能力，MTTD、MTTC和MTTRN均表现最佳。
通过报告提高
报告提出了四个原则来指导组织构建安全可观察性报告：
- 使数据可访问和可观察：提高风险意识，增加对安全的投资，了解威胁格局，加快事故响应活动。
- 突出改进机会：增强安全状况，持续改进，量身定制的解决方案，适应变化的威胁。
- 突出变化，推动持续改进：增强学习文化，动态适应安全需求，提高安全响应能力，主动风险管理。
- 鼓励沟通和协作：高级领导参与，意识和风险识别，安全文化的发展，团队关系的加强，主动安全措施。
报告路线图
报告提供了一个路线图，指导组织如何通过安全可观测性实现持续改进：
- 确定项目/活动的优先级并有效分配预算。
- 收集和记录相关数据，建立成功标准。
- 通过一个项目建立概念验证以赢得人心。
- 根据组织的数据点进行垂直领导和倡导者扩展。
- 横向扩展多个项目，包括安全和非导支持。
结论
报告强调了实施安全性的重要性，并指出通过安全可观测性可以有效评估安全性和DevSecOps的三个关键方面。CSADevSecOps工作组将继续研究提供安全可观测性见解，并扩展附录B中的用例范围。
