软件学报

作者：戴启铭，毛润丰，黄璜，荣国平，沈海峰，邵栋

单位：戴启铭，计算机软件新技术国家重点实验室(南京大学), 江苏 南京 210023;南京大学 软件学院, 江苏 南京 21009311,毛润丰，计算机软件新技术国家重点实验室(南京大学), 江苏 南京 210023;南京大学 软件学院, 江苏 南京 21009302,黄璜，计算机软件新技术国家重点实验室(南京大学), 江苏 南京 210023;南京大学 软件学院, 江苏 南京 21009303,荣国平，计算机软件新技术国家重点实验室(南京大学), 江苏 南京 210023;南京大学 软件学院, 江苏 南京 21009304,沈海峰，Discipline of Information Technology, Peter Faber Business School, Australian Catholic University, Sydney NSW 206005,邵栋，计算机软件新技术国家重点实验室(南京大学), 江苏 南京 210023;南京大学 软件学院, 江苏 南京 21009306

关键词：DevOps安全;DevSecOps;持续安全;DevSecOps实践

基金：国家自然科学基金（62072227，61802173）；国家重点研发计划（2019YFE0105500）；江苏省政府间双边创新项目（BZ2020017）；南京大学计算机软件新技术国家重点实验室创新项目（ZZKT2019B01）

国内外各大软件企业正广泛实施DevOps相关实践，以提高产品交付和部署频率.与此同时，面对日益严峻的网络安全环境，软件系统中的安全问题日益凸显.耗时的安全实践因为快速交付，在软件开发活动中难以得到有效贯彻.也正因如此，在开发和运维流程中有效集成安全控制手段，实现整个软件生命周期的持续安全，已成为各大企业向DevOps转型过程中亟需思考的问题.DevSecOps作为在DevOps下持续解决安全问题的有效方案，因此而受到学术界和工业界的广泛关注，并逐渐成为软件工程领域的研究重点.近年来，随着DevSecOps的研究和实践发展，人们对DevSecOps有了更全面的认识，也引入了更多安全实践.为此，从DevSecOps的背景、特征、实践、裨益和挑战这5个方面进行了归纳和总结，首次向国内软件工程社区全面介绍DevSecOps的核心内容，重点阐述了DevSecOps最新的理论研究和工业界实践现状，进而为从业者实际落地DevSecOps提供参考，也为研究者探索DevSecOps提供便利，并呼吁更多的研究者参与到DevSecOps的研究中来.

来源：2021年第10期

《软件学报》期刊编辑部

查看软件学报杂志2021年第10期