美國軍方面臨著越來越大的壓力，他們需要加快創(chuàng)新速度，以保持領(lǐng)先于不斷變化的威脅形勢，但又不會快到危及任務關(guān)鍵型IT系統(tǒng)的安全性。

開源軟件可以通過開辟合作、增長和自由交流思想的途徑來幫助美國軍方實現(xiàn)其目標。開源開發(fā)人員不斷測試哪些有效，哪些無效的界限。通常，它們“快速失敗”并迭代，即使它們以更快的速度工作。開源開發(fā)社區(qū)，盡管它遍布全球，但密切合作以促進持續(xù)創(chuàng)新。

可以理解的是，這種快速、敏捷、自由流動的環(huán)境會滋生安全問題，尤其是在國防領(lǐng)域。良好的安全衛(wèi)生通常與“緩慢”和“有條不紊”這兩個詞相關(guān)聯(lián)，這兩個詞通常都不是開源開發(fā)。

但是圍繞開源和風險存在固有的誤解，機構(gòu)不需要在速度和安全性之間做出選擇。讓我們探討一下軍方如何兩全其美——利用開源軟件的優(yōu)勢，同時獲得戰(zhàn)場所需的完整性和安全能力。

了解開源的細微差別

為了充分利用開源軟件和技術(shù)，最好首先了解開發(fā)環(huán)境的動態(tài)及其對安全性的影響。

開源的最大優(yōu)勢是對已識別的安全挑戰(zhàn)的反應速度更快——畢竟，任何人都可以在出現(xiàn)問題時提交修復或補丁。但是，將任何軟件視為防彈都是錯誤的。

開源項目可能需要大量的時間和資源來維護。當社區(qū)的注意力被吸引到新版本和功能的方向時，在任何給定時間維護代碼安全的成員數(shù)量可能會有所不同，從而影響響應新漏洞的能力。因此，開放代碼安全的主要責任落在了嵌入它的人身上。

對于軍方來說，承擔維護關(guān)鍵任務、基于開源的系統(tǒng)和應用程序的責任可能具有挑戰(zhàn)性，因為所涉及的系統(tǒng)的使用壽命很長，而且需要付出巨大的努力。不幸的是，支持可能并不總是隨時可用。例如，工作人員通常認為“有人在那里”可以幫助他們在出現(xiàn)安全問題時解決它們 - 而事實可能并非如此。開源社區(qū)成員不是 24/7 全天候待命，也不會向用戶提供服務級別協(xié)議。

有效、持續(xù)的開源軟件維護需要一種深入防御的方法，包括對最新補丁和更新的深入了解，而許多 IT 專業(yè)人員缺乏這些知識。幸運的是，外部供應商可以提供幫助。許多供應商已經(jīng)站在開源項目的前線，積極創(chuàng)新和加強他們的產(chǎn)品，以配合安全的發(fā)展。至關(guān)重要的是，外部供應商也可以提供支持，負責開源維護部分，從而使軍事IT能夠?qū)Ｗ⒂谥苯又С秩蝿盏母呒墑e的活動。

實現(xiàn)強大的開源安全態(tài)勢的必要性

為了維護開源系統(tǒng)和應用程序的安全態(tài)勢，每個軍事 IT 經(jīng)理都應該考慮兩個主要優(yōu)先事項。

首先必須做的是自動化以減少人為錯誤并使流程可重復。美國軍隊是一個既有傳統(tǒng)又有創(chuàng)新的機構(gòu)。多年來的戰(zhàn)斗對指揮官和作戰(zhàn)人員執(zhí)行任務目標的方式進行了改進和調(diào)整。

軍事IT系統(tǒng)也是如此，通常會隨著時間的推移而修改和更新。然而，與在戰(zhàn)場上收集的知識不同，可能沒有記錄為什么進行IT更改。即使是很小的變化也會深刻影響系統(tǒng)的完整性，造成大量的技術(shù)債務，使管理人員難以確定其系統(tǒng)的完整性。

清楚地了解系統(tǒng)內(nèi)發(fā)生或更改的所有內(nèi)容對于識別潛在漏洞至關(guān)重要。使用開源軟件可以使軍方保留系統(tǒng)配置的記錄，以便清楚地了解對這些系統(tǒng)所做的更改。此外，IT 可以自動化應用程序開發(fā)流程，以減少技術(shù)債務并最大限度地降低人為錯誤的風險，這是安全漏洞的主要原因。

第二個當務之急：使安全性成為應用程序開發(fā)的核心。對于許多組織來說，數(shù)字化轉(zhuǎn)型意味著將組件添加到已經(jīng)存在的基礎(chǔ)架構(gòu)上。這有時會發(fā)生在安全控制中，這在應用程序和系統(tǒng)開發(fā)方面通常是事后才想到的。事實上，直到最近，安全性還不是DevOps流程的核心部分，因為開發(fā)人員和運營經(jīng)理認為這是創(chuàng)新的消耗。

在一個軍事武器越來越容易受到黑客攻擊的世界里，這種做法是不可接受的。軍事 IT 必須將安全功能直接融入應用程序開發(fā)流程，并使其成為其基礎(chǔ)架構(gòu)的核心組件。

我們看到這種情況隨著DevSecOps的出現(xiàn)而發(fā)生?，F(xiàn)在，安全性必須被視為不僅僅是開發(fā)工作的一部分或附加組件 - 它是一種共同的責任，在開發(fā)的所有階段都根深蒂固。從白板階段到最終交付，團隊掃描和測試應用程序，在開發(fā)的每個階段解決漏洞，并在應用程序投入生產(chǎn)之前彌補安全漏洞。

與DevOps一樣，DevSecOps是關(guān)于生產(chǎn)速度的，自動化構(gòu)成了驅(qū)動流程的引擎。正如我們所建立的，通過使用開源技術(shù)可以促進自動化，提供敏捷性和安全性功能的成功組合。

采用成功的心態(tài)

重要的是要記住，實現(xiàn)開源項目的安全態(tài)勢不是一次性事件 - 這是一個永無止境的過程。對于軍事IT人員來說，這意味著及時了解不斷變化的內(nèi)部和外部安全威脅，持續(xù)掃描漏洞，并定期實施補丁和更新軟件。

此外，IT經(jīng)理應該記住，并非所有開源項目都是平等的。一些部署更小且更易于保護，而其他部署更大且更復雜，可能需要不同的知識和技能。例如，如果將開源用于操作系統(tǒng)或虛擬化管理程序，則由于它們覆蓋的表面積很大，因此安全風險可能會更高。

安全與創(chuàng)新是經(jīng)過驗證的組合

安全和創(chuàng)新并不是相互排斥的概念。例如，美國海軍的“編譯作戰(zhàn)”計劃就是一個很好的例子，說明國防機構(gòu)使用尖端軟件，努力使軍艦比以往任何時候都更快、更安全地漂浮。（見上面的鉛照片。

所有IT人員，包括軍事IT人員，都必須仔細檢查如何利用系統(tǒng)或應用程序及其漏洞所在 - 不僅僅是在項目開始時，而是在部署的生命周期內(nèi)。這種積極主動、安全第一的思維方式可以使軍事 IT 組織充分利用開源軟件和技術(shù)。

審核編輯：郭婷