Parana公司在计划阶段要求每个软件项目立项后需要在应用服务安全评估系统中进行注册，该系统会根据《数据分类分级要求》、《数据分级处理标准》、《TOP威胁风险库》等生成应用服务风险评估问卷，通过回答问卷系统会自动根据问卷结果生成应用服务等级（Red、Orange、Yellow、Green），不同的级别对应着不同的安全要求，如：

• Red/Orange：需要有授权的安全评估人员完成应用服务的威胁建模分析并提交相应的修复方案，且必须在上线前完成内部的渗透测试

• Yellow/Green：研发团队可以自行进行威胁建模分析，不强制上线前需要完成渗透测试，但是必须提交应用服务的应急响应计划和关键业务联系人以备出现安全事件后可以及时响应和跟进修复

对于威胁建模能力的构建，Parana公司建立了安全BP威胁评估培训与分层授权（Security Certifier Training）机制。简而言之，就是在每个业务研发团队中培养具备威胁建模分析能力的研发人员。通过绩效考核权重（提升安全能力在研发工作中的正向考核权重）、业务主管推荐（提升安全能力在业务考核中的负向考核权重）鼓励研发人员主动申请成为威胁建模分析专员，再举行定期的安全技术培训、考试及威胁建模实战演练选出合格的威胁建模分析专员进入专家池，且对专家池中的人员每年进行能力复核和刷新，后续主要依赖专家池中的人员对Red/Orange级别的应用进行威胁建模分析和评估。

二、开发阶段

• Permission Groups: 包含操作内部特定系统的权限组

• Codes: 源代码

• Packages: 包含多个代码文件的代码包

• VersionSets: 包含所需依赖关系的代码包集合，类似于docker镜像

• Environments: 包含微服务安装、配置、启动所需的所有信息的集合，类似于k8s的pods

• Hostclasses: 服务部署和运行的主机组，类似于k8s的nodes

公司通过内部Code Review平台强制要求研发的每个commit在push之前都需要人工进行Peer Review，防止潜在恶意代码进入主干代码。为了实现开发的默认安全，降低已知安全风险，Parana公司花了很大力气提升开发阶段的公共安全能力：

• 公共安全组件：加解密模块、统一认证鉴权模块、凭据管理模块

• 默认安全的开发框架：内置了隐私敏感数据脱敏、凭据管理、常见漏洞默认防御能力的适配各种开发语言的应用开发框架

• 分层分级的数据仓库服务：满足不同分类分级数据安全要求的统一存储服务，可供开发团队按需选择，最大限度地降低因研发团队自行设计开发而导致的安全风险

公司禁止直接使用或者引用外部代码仓或者依赖库，使用前必须先引入内部代码仓，具体体现在以下几点：

• 遵循”谁引入、谁负责“的原则，确定内部owner

• 引入前需要确保符合公司开源软件许可政策

• 引入时同步三方依赖的名称、版本等信息至软件物料清单系统（SBOM）进行持续的漏洞监控

• 持续监控指定版本的三方依赖的漏洞信息，并及时通知三方依赖的内部owner更新升级

Parana公司在代码每次编译阶段都需要经过IAST/SAST/DAST的安全测试，重要应用代码上线前还需要经过专门的渗透测试。

• 使用自研和商用的SAST（静态应用安全测试）和DAST（动态应用安全测试）对自研代码进行安全扫描和测试

• 使用安全组件分析（SCA）工具扫描代码中依赖的所有三方开源组件识别已知漏洞使用流水线自动触发二方及三方依赖库版本升级、自动化测试

• 此外，根据应用服务安全风险评估的等级在上线前完成专门的应用服务渗透测试

Parana公司的所有应用服务源代码最终都会被编译成VersionSets（即包含了所需依赖关系的代码包集合，类似于docker镜像）进行发布并交付，所有过程都是由编译引擎（Brazil）自动完成的（无人工介入），从而确保了VersionSets的完整性。研发团队自身或者其他团队需要使用这个应用只需要在自己的流水线上consume这个VersionSets即可[3]。以上这个过程，也可以使用持续交付平台（Pipelines）通过配置流水线自动化完成整个交付过程：代码push-》编译-》测试-》部署。

Parana公司使用自动化部署平台[4]（Apollo）将包含微服务安装、配置、启动所需的所有信息的集合的Environments自动化部署到应用服务运行的主机组Hostclasses上。

• 部署服务

• 无停机部署

• 健康追踪

• 版本化的artifacts和回滚

Parana公司通过默认安全的开发框架引导应用服务自身进行应用、性能等日志收集与异常监控，针对潜在的安全异常要求研发团队通过公共的数据收集与融合组件（Sushi）统一上报到安全运营中心处理，同时会持续对开发人员的角色及职责与被访问代码仓关联度行为进行分析以识别潜在的软件供应链和内部威胁者（Insider Threat）等风险。

综上，我们较详细地解读了Parana公司是如何构建自己的DevSecOps体系，相信对于希望构建此类体系的企业来说有一定的借鉴意义。