دیوی‌دیوتاؤں کا کیا مطلب ہے ؟

DevSecOps, اختصار for Development, Security, and Operations, a ایسا فلسفہ ہے جو سافٹ ویئر ترقیاتی حیاتیاتی زندگیکل (SDLC) کے ہر مرحلے میں حفاظتی عمل کو نافذ کرتا ہے۔ روایتی ماڈلوں کے برعکس جہاں حفاظتی طور پر سلامتی ایک حتمی چیز یا انڈرنگ ہے، اس کے ذریعے ترقی یافتہ اداروں، آپریشنوں اور حفاظتی اداروں میں امن کو ایک مشترکہ ذمہ داری قرار دیتا ہے، یہ رسائی براہ راست نگرانی، نگرانی اور نگرانی کرتا ہے/CDCPPPPPC میں۔

بنیادی خیال "مُلّہ بائیں" یعنی جلد از جلد قبض کرنا ہے، جب وہ درست کرنے کے لیے تیار ہوں گے تو اس وقت، جب وہ درست اور آسان ہو جائیں گے۔

دُنیا کے مختلف علاقوں میں رہنے والے لوگ ” خدا کے کلام میں درج باتوں پر عمل کرتے ہیں ۔ “

تاہم ، دیورپس نے اکثراوقاتاوقات حفاظتی نظام کو پیچھے چھوڑ دیا جس کی وجہ سے دیر تک محفوظ رہتا ہے جس کی وجہ سے بہت زیادہ تاخیر یا خراب ہوتی جا رہی ہے ۔

آج کے بادل میں مائیکرو ریسرز کے ماحولیات، ٹیمیں دن میں کئی بار کوڈ پر زور دیتی ہیں. ان حفاظتی خودکارشن کے بغیر، ہر ریلیز اسے خطرے میں ڈالتی ہے. DescOps اسے ڈر اطلاقیہ کے ذریعے اطلاقیہ کے ذریعے حل کرنے کے لئے.

دیوی‌سُوپس کے کُتب‌دار اصول

DevSecOps انٹرویو میں کامیاب ہونے کے لیے طالبان کو ان بنیادی اصولوں کو باطنی طور پر شامل کرنا چاہیے:

  • Shift Left سیکورٹی: [1] شروع سے ہی انٹریٹیگری سیکورٹی — ٹیسٹ اور کوڈنگ کے ذریعے
  • [Automation: [حوالہ درکار] خودکار حفاظتی چیک (مثلاً SAST، Sechaning) پائپ لائن کے اندر داخلی بوتلوں سے بچنے کے لیے.
  • CLT Mordering:] اصل وقت کے حساب سے، اناطولیہ میں ہونے والی تبدیلی اور حادثہ کے جوابات۔
  • [ فٹ‌نوٹ :0 ] [ کسی بھی ٹیم کے رُکن کو اِس بات پر یقین نہیں تھا کہ وہ اِس سے واقف ہے ۔
  • Camplanance بطور کوڈ: [حوالہ درکار] Reports regoperves (مثلاً، GDPR، SyC 2) کو FEC پالیسی چیک اور Audit sports میں شامل کیا گیا ہے۔

یہ اصول تدریسی نہیں ہیں ؛ وہ شناختی ولنریات کے لیے اسٹاک کی تصاویر جیسے کہ شناختی ولن (Chroning actress) میں ظاہر کرتے ہیں، خفیہ انتظامیہ (construction) کو منظم کرنے اور کوبرنیٹس میں نیٹ ورک پالیسیاں نافذ کرنے کے لیے

جدید انجینئری کے انٹرویو میں دیوی‌سُس‌پس کی صورتحال

. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

یہ آپ کو معیارِزندگی ، خطرے میں کمی اور کارکردگی جیسی خوبیاں ظاہر کرتا ہے جو جو جو جو جونیئر سے سینئر انجینئروں میں امتیاز کرتی ہیں [ فٹ‌نوٹ : ۱ ] کے مطابق پُختہ ادارےز کے ساتھ ساتھ تحفظ کے واقعات اور تیزی سے بحال کرنے کا وقت بھی نظر آتا ہے ۔

کلیدی سکی‌انگ اور آلات کین‌دار چیزیں اعلیٰ روشنی پیدا کرنی چاہئیں

آلات کو جاننا ضروری ہے لیکن انٹرویو لینے والے یہ دیکھنا چاہتے ہیں کہ آپ ان کا اطلاق کیسے اصل کام کے حساب سے کرتے ہیں ۔

خودکار آلات

DevSecOps Automation پر انحصار کرتا ہے تاکہ حفاظتی پالیسیوں کو بغیر دستی مداخلت کے نافذ کیا جا سکے۔ ان آلات سے عارفانہ مدد کرتا ہے:

  • پائپ لائن اوورچسٹریشن: جینکنز، جی ٹی سی ڈی، جی ٹی سی سی آئی، سرکل سی آئی ہیں۔
  • Infrastructure بطور کوڈ (IaC) اسکننگ: چیکوف، تھریسکن، ٹیکساس (for Terraform, Cloud Formation)۔
  • settlement Management: انساب، پیپپیٹ، Chef with security settlements -

سیکورٹی ٹیسٹز

  • ] ایس ٹی (سطاطۃ Analysis): سونارکوبے، چیکمرکس، فوربس (انگریزی:
  • ] ڈی ٹی (ڈمیکی اناولیسیس): اوواسپ زاپ، بورپ سویتس (انگریزی:
  • ایسکا (Software Compact Analysis): سنیک، بلیک بک، تریوی۔
  • Conser Security: ڈکر اسکوٹ، آبی حفاظتی، تبت (انگریزی: Dicker Scout, Twistlock) ریاستہائے متحدہ امریکا کا ایک رہائشی علاقہ جو ٹیکساس میں واقع ہے۔
  • سیکرٹ انتظامیہ: [حوالہ درکار] ہاشمی کرپ وول، اے وی ایس سی سی سیکرٹری، کوبرنیٹس سیکرٹس (انگریزی:

ایک پائپ کی وضاحت کرنے کے قابل ہونا جہاں ہر کوڈ ایک ایس ٹی اسکین، ایس سی سی چیک اور ایک سانچہ تصویری مطالعہ میں ایک طاقتور جواب ہے۔

پیچیدہ اور گورننگ باڈی

Regopate controlation DevSecOps کے لیے ایک کلیدی ڈرائیور ہے. کینیڈاٹس کو آگاہ کرنا چاہیے:

  • پولیس بطور کوڈ:] اوپن پالیسی ایجنٹ (OPA)، Kiverno for Kubernetes کے لیے ہے۔
  • [Audit Graph:] سیمیئم آلات جیسے سپلنک، ایل ایل کی اسٹیک یا بادل کی نل کی نقل و حرکت کے لیے استعمال کیے جاتے ہیں۔
  • Frameworks: [1] CIS Bennch Formers, OWASP Top 10

عام طور پر دیوی‌س‌سُو انٹرویو لینے والے سوالات اور جواب دینے کا طریقہ

ذیل میں حقیقی دنیا کے سوالات ممکنہ طور پر موجود ہیں جیسے کہ DevSecOps انجینئر، Platform انجینئر یا سینئر سافٹ ویئر انجینئر برائے تحفظات۔

جواب-بے سوال

کیو: "آپ کے درخواست کے استعمال کے لیے ایک نیا ولنیشنل متعارف کرایا گیا ہے. مجھے اپنے جواب کے ذریعے چلنا".

نیک جواب : میں پتہ چلتا ہوں کہ ہمارے سافٹ ویئر ڈیزائن کے تجزیہ (SCA) آلے (Snyk) استعمال کرتے ہوئے کس لائبریری پر انحصار کرتا ہوں، پھر اگر یہ خطرہ بلند ہو تو میں حفاظتی ٹکٹ کھول دیتا ہوں اور اس وقت تک ایک سیٹ پر پابندی لگا دیتا ہوں، جس پر عمل کرنے اور اس کے مطابق کوئی منصوبہ بندی کی کوشش کرتا ہے۔

کیو: تمہاری ٹیم دن میں تین مرتبہ کوڈ کرنا چاہتی ہے لیکن حفاظتی تجزیات دو ہفتوں میں لیتی ہے.

اچھے جواب : میں دستی جائزہ لیتا ہوں. میں سی آئی/CD پائپ لائن میں حفاظتی جانچ پڑتال کرتا ہوں.

تکنیکی سوالات

کیو: "AST اور DAST میں کیا فرق ہے؟ آپ ہر استعمال کرتے ہیں؟

[1] [SAST Skts space code structionly — یہ system میں شروع میں غلطی، مگر اطلاق کے بغیر، بیرونی جانب سے چلنے والے اطلاق کو آزمایا جاتا ہے. DAST پر حملہ آوروں کو ٹیسٹ کرتا ہے.

کیو: "آپ کو کیسے یقین ہے کہ اپنے برتنوں میں کبھی بھی خفیہ راز ختم نہیں ہوتے ہیں؟

[1] "HashhiCorp Vault یا بادل کی خدمات (AWS S خفیہ مینیجر) کی طرح خفیہ انتظامیہ کا ایک آلہ۔ Dickerfiles یا ہیلم اقدار میں مخفی خفیہ رازز کو نہ دیکھیں. سی آئی/سی ڈی میں، ماحولیاتی نظام کے ذریعے تبدیل یا پھر پھر پر انحصار کرنے کے آلات کا استعمال کریں۔

مزید انٹرویو پریپ کے لیے [WOASP DevSecOps surmaryly حفاظتی بہتری پر بحث کرنے کا ایک طریقہ فراہم کرتا ہے۔

عملی تجربہ : ایک دیوی‌کوپس پورفولو تعمیر کرنا

تدریسی علم کافی نہیں ہے. انٹرویو لینے والے ہاتھ-on ثبوت تلاش کرتے ہیں. کینیڈاٹس قابل اعتماد بنا سکتے ہیں:

  • ایک ذاتی سی آئی/سی ڈی پائپ لائن (مثلاً، GitHub عمل + Azure/AWS) کو تشکیل دیں جس میں SAST، SCA اور Matter Secing شامل ہیں۔
  • ایک نوے.js ایپ کے ساتھ انٹرینگ OWASP ZAP کے بارے میں بلاگ پوسٹ کرنے یا بلاگ لکھنے کے لئے.
  • ساختی ساختوں کو بنانے کے نمونے جن کی تعمیر شدہ جانچ پڑتال کے ساتھ (مثلاً، ایک ٹیر فارم کیمرا جو سی آئی ایس بینکوں کے خلاف مزاحمت کرتا ہے)۔
  • بگ فضلی پروگراموں میں شمولیت یا گرفتار کرنے والے-فلگ (سی ٹی ایف) مقابلوں میں بادل کی حفاظت پر مرکوز رہے۔

آپ کے دوبارہ تعمیر کردہ منصوبوں کو بیان کریں اور آرکیٹیکٹ سے چلنے کے لئے تیار رہیں. حتیٰ کہ ایک سادہ سا مظاہرہ بھی پیش کش اور گہرائی کا مظاہرہ کرتا ہے۔

کُنَّا

ٹیکنالوجیز ایک عبوری رُجحان نہیں ہے — یہ محفوظ ، تیز سافٹ ویئر ادائیگی کا معیاری آپریٹنگ ماڈل ہے. جیسے جیسے انجینئری انٹرویوات کے ذریعے توازن قائم رکھنے اور حفاظتی عمل کو متوازن بنانے کے قابل ہو سکتے ہیں. اصولوں ، آلات اور طرز عمل کو یہاں بیان کرنے سے نہ صرف آپ کے انٹرویو بلکہ حقیقی دنیا کے خطرات کا مقابلہ کرنے والے نظام بھی تعمیر کریں گے۔

مزید سیکھنے کے لیے وسائل سے حاصل کیے جانے والے وسائل کا جائزہ اور اور . Solid تیاری، عملی تجربے سے آپ کو مشکل ترین ڈی ایس پی کے سوالات کو بھی سنبھالنے کے لئے اعتماد فراہم کرے گا۔