D8-05 8–10 分钟 重要程度：高
变更管理、配置管理与 DevSecOps/CI-CD
变更和配置管理保护软件完整性，DevSecOps 把安全自动化嵌入 CI/CD。考试重点是受控变更、基线、审计、职责分离和安全门禁。
一、必须记住
- 变更管理流程通常包括请求控制、变更控制和发布控制。
- 变更应经过记录、影响分析、授权、测试、回退计划和批准。
- 配置管理包括配置标识、配置控制、配置状态统计和配置审计。
- 配置控制确保软件版本按变更控制和配置管理过程被修改。
- 基线是已批准的配置状态，后续变更必须受控。
- 文件完整性监控工具可发现未授权变更，并可接入变更管理流程。
- DevOps 结合开发、质量保证和 IT 运营；DevSecOps 进一步把安全嵌入自动化流程。
- CI/CD 安全应包含代码仓库访问控制、secret scanning、依赖扫描、SAST、DAST、签名制品和部署审批。
二、核心概念
变更管理
变更管理的安全价值是防止未经授权、未经测试或不可追踪的修改进入生产。有效流程应包含影响分析、审批、测试、实施、回退和记录。
配置管理
配置管理维护系统、软件、库、版本和环境的受控清单。配置状态统计和审计能回答当前运行什么版本、谁批准了变更、是否偏离基线。
DevSecOps
DevSecOps 不是把安全团队放到流程末尾签字，而是在 pipeline 中自动执行安全检查，并让开发、QA、运营共同对风险负责。
三、CISSP 判断规则
- 问未经授权修改，优先变更管理、配置控制和完整性监控。
- 问已批准配置状态，选 Baseline。
- 问记录当前配置与变更状态，选配置状态统计。
- 问开发、QA、运营协作，选 DevOps；再把安全嵌入则选 DevSecOps。
- 问 CI/CD 中防止密钥泄露，选 secret scanning 和仓库访问控制。
四、常见陷阱
- 快速发布不等于跳过审批；自动化门禁也应可审计。
- 配置管理不是单纯资产清单，还包括控制、状态统计和审计。
- 把密钥放进公共代码仓库是高风险错误，删除提交记录本身也不一定能消除泄露。
五、英文关键字
Change management （变更管理） 定义：通过请求、审批、测试、实施和记录控制生产变更。 Request control Change control Release control Configuration management （配置管理） 定义：维持系统和软件处于受控、已知、可重复的状态。 Configuration identification Configuration control Configuration status accounting Configuration audit Baseline （基线） 定义：最低安全要求。 DevOps （开发运维协作） 定义：开发、质量保证和运营协作以快速可靠交付。 DevSecOps （开发安全运维） 定义：把安全自动化和责任嵌入 DevOps 流程。 CI/CD （持续集成 / 持续交付） 定义：自动构建、测试和部署软件的流程。 Secret scanning （密钥扫描） 定义：在代码或制品中寻找泄露的凭据、令牌或 API key。
小测验
1. 生产系统出现未经批准的二进制变更，最能从流程上预防的是？
CISSP 对未授权变更优先选择受控变更、配置管理、审计和完整性监控。
2. 配置管理中，记录当前配置项状态和变更状态的活动是？
配置状态统计用于维护配置项状态、版本和变更记录。
3. 在 CI/CD 中发现开发者把 API key 提交到仓库，最直接的控制是？
CI/CD 安全应自动扫描密钥并限制代码仓库访问；泄露后还要轮换密钥。
本节进度
完成后会保存在当前浏览器。线上版可保存；不同手机、平板之间暂不自动同步。
尚未完成