[论文解读] Collaborative Application Security Testing for DevSecOps: An Empirical Analysis of Challenges, Best Practices and Tool Support

Roshan Namal Rajapakse, Mansooreh Zahedi+1 more|arXiv (Cornell University)|Nov 13, 2022

Software Engineering Techniques and Practices被引用 4

一句话总结

本研究通过48场精选网络研讨会的主题分析，探讨了DevSecOps中的协作应用安全测试（CoAST），识别出工具、角色清晰度和团队协作方面的主要挑战。研究提出了可操作的最佳实践，如左移安全（Shift-left security）和ChatOps，并指出了关键的工具缺陷，包括静态应用安全测试（AST）工具缺乏内置协作功能，呼吁未来研究和工具开发中加强集成、共享仪表板以及社会技术指标。

ABSTRACT

DevSecOps is a software development paradigm that places a high emphasis on the culture of collaboration between developers (Dev), security (Sec) and operations (Ops) teams to deliver secure software continuously and rapidly. Adopting this paradigm effectively, therefore, requires an understanding of the challenges, best practices and available solutions for collaboration among these functional teams. However, collaborative aspects related to these teams have received very little empirical attention in the DevSecOps literature. Hence, we present a study focusing on a key security activity, Application Security Testing (AST), in which practitioners face difficulties performing collaborative work in a DevSecOps environment. Our study made novel use of 48 systematically selected webinars, technical talks and panel discussions as a data source to qualitatively analyse software practitioner discussions on the most recent trends and emerging solutions in this highly evolving field. We find that the lack of features that facilitate collaboration built into the AST tools themselves is a key tool-related challenge in DevSecOps. In addition, the lack of clarity related to role definitions, shared goals, and ownership also hinders Collaborative AST (CoAST). We also captured a range of best practices for collaboration (e.g., Shift-left security), emerging communication methods (e.g., ChatOps), and new team structures (e.g., hybrid teams) for CoAST. Finally, our study identified several requirements for new tool features and specific gap areas for future research to provide better support for CoAST in DevSecOps.

研究动机与目标

• 探究DevSecOps环境中应用安全测试（AST）协作挑战，重点关注实践者经验。
• 识别并分类与团队角色、工具限制和CoAST工作流中沟通相关的关键挑战。
• 提取并分类支持DevSecOps中有效协作的新兴最佳实践和工具能力。
• 识别下一代AST工具在协作安全测试方面所需的具体功能需求和研究空白。
• 为工具开发者和组织提供基于证据的建议，通过改进工具和团队实践来提升CoAST。

提出的方法

• 从初始的3,389个YouTube视频中系统性筛选出48场与DevSecOps和CoAST相关的网络研讨会。
• 对网络研讨会文稿进行主题分析，以识别反复出现的挑战、最佳实践和工具趋势。
• 排除以营销内容为主的网络研讨会，以确保客观性并聚焦于技术与协作洞察。
• 将发现结果归类为若干主题：挑战（九项关键问题）、最佳实践（五个主题下的十一种实践）和工具能力（六个主题下的十种类型）。
• 通过分析演讲者建议及协作平台与AST工具中新兴趋势，识别工具需求。
• 采用定性数据综合方法，推导出针对CoAST工具开发和未来研究的可操作建议。

实验结果

研究问题

• RQ1 实践者在DevSecOps环境中执行协作应用安全测试（CoAST）时面临的主要挑战是什么？
• RQ2 行业实践者推荐哪些最佳实践以改善CoAST工作流中的协作？
• RQ3 哪些工具功能和能力被强调为支持DevSecOps中有效CoAST的关键？
• RQ4 当前AST工具在内置协作支持方面存在哪些缺陷？对工具开发有何影响？
• RQ5 在CoAST中正在采用或推荐的新兴协作模式和技术（例如ChatOps、AI）有哪些？它们带来了哪些研究机遇？

主要发现

• AST工具缺乏内置协作功能是有效CoAST的主要技术障碍，导致频繁切换工具和工作流碎片化。
• 角色定义不明确、共同目标缺失以及安全责任归属不清，显著阻碍了开发人员、安全团队和运维团队之间的协作。
• 广泛推荐的最佳实践包括左移安全（Shift-left security）和右移安全（Shift-right security）、混合团队结构，以及设立安全与DevOps倡导者。
• 新兴的沟通方式如ChatOps和基于角色的访问控制，被认为能有效提升实时协作并减少协作摩擦。
• 迫切需要集中化、上下文感知的仪表板，以聚合并优先处理跨团队的漏洞数据，从而提升决策效率。
• 现有AST工具通常缺乏强大的集成能力（如API），厂商被敦促提升与协作和通信平台的互操作性。