如何打赢一场 DevOps 阻击战
云在快速发展，开发人员在快速进步，而攻击者也一直在“推陈出新”。
- 如何跟上形势并确保云部署的安全？
- 云系统与本地系统的安全做法有何不同？
- 如何确保多个独立开发团队之间的一致性？
微软已经发现，使用安全基准可以帮助你快速保护云部署，并使你能够快速降低组织面临的风险。Azure 安全基准 (Azure Security Benchmark，简称ABS) 包含一系列安全建议，可用于帮助保护在 Azure 中使用的服务，它包括安全控制和服务基线两个方面。Azure 安全基准侧重于以云为中心的控制领域，这些控制措施与众所周知的安全基准一致，例如：Internet 安全中心 (CIS) 控制措施、美国国家标准与技术研究院 (NIST) ，以及支付卡行业数据安全标准 (PCI-DSS) 所描述的基准。
今天，我们重点来谈一谈安全控制之 DevOps 安全性。DevOps 安全性涵盖 DevOps 过程中与安全工程和操作相关的控制，包括部署关键安全检查 (如静态应用程序安全测试、在部署阶段之前漏洞管理) ，确保整个 DevOps 的安全性，还包括常见主题，如：威胁建模和软件供应链安全性等等。
执行威胁建模
识别潜在的威胁，确保威胁建模具有以下用途：在生产运行时阶段保护你的应用程序和服务，以及保护用于生成、测试和部署的项目、底层 CI/CD 管道和其他工具环境。
确保软件供应链安全
确保你的企业的软件开发生命周期（Software Development Lifecycle）或流程包含一组安全控制，来控制内部和第三方软件组件 ，包括与应用程序具有依赖关系的专利软件和开源软件。定义限制标准，以防止恶意组件被集成和部署到你的环境中。
确安全 DevOps 基础结构
确保 DevOps 基础结构和管道遵循跨环境（包括生成、测试和生产阶段）的安全性最佳实践。通常包括以下范围的安全控制：
- 用于存储源代码、生成的 packages 和图像、项目和业务数据的项目存储库
- 承载 CI/CD 管道的服务器、服务和工具
- CI/CD 管道配置
将静态或动态应用程序安全测试集成到 DevOps 管道中
确保静态或动态应用程序安全测试是 CI/CD 工作流程中门控控制的一部分。可以根据测试结果设置门控，防止易受攻击的 packages 提交到存储库、构建到 packages 中或部署到生产中。
在 DevOps 生命周期内强制实施工作负载的安全性
确保工作负载在开发、测试和部署阶段的整个生命周期中得到保护。使用 Azure 安全基准来评估控制，例如：网络安全、身份管理、特权访问等等，这些控制可以在默认情况下被设置为护栏，或在部署阶段之前进行向左移位。
在 DevOps 中启用日志记录和监视
确保你的日志记录和监控范围包括 DevOps（和任何其他开发过程）中使用的非生产环境和 CI/CD 工作流元素。针对这些环境的漏洞和威胁如果没有得到适当的监控，可能会给您的生产环境带来重大风险。还应监视来自 CI/CD 构建、测试和部署工作流的事件，以识别 CI/CD 工作流作业中的偏差。
点击查看更详细的操作指南
如何打赢一场 DevOps 阻击战相关推荐
- 忽悠马云10亿的骗子，还了阿里4500亿：做对事赢一场，跟对人赢一生！
文/金错刀频道 张一弛 那个骗走马云10个亿,被阿里同事指着鼻子让他滚蛋的人,后来怎么样了? 后来,他成为阿里巴巴集团首席技术官,而且被公认为,近10年来,中国最好的首席技术官. 他叫王坚,被称为&q ...
- 甲骨文中国公司如何如何打赢这场裁员翻身仗？
5月7日,全球软件巨头甲骨文公司(ORACLE)宣布在中国的裁员的消息,消息一出,让许多人都大吃一惊,要知道,这可是赫赫有名的甲骨文啊,当年多少人以进甲骨文工作为荣,而今它却宣布裁员,这背后一定是有着 ...
- 《悟道》读后感---赢在职场
当收到51CTO寄来的刘博新书<悟道:一位IT高管20年的职场心经>时,内心里充满了阅读的期待.在工作之余带着思考和快乐读完了这本书,每篇千字的短文非常简洁同时又不失睿智和幽默,让人读起来 ...
- 如何加入到 wuhan2020 开源项目，打赢这场没有硝烟的战争？
比尔盖茨2015年在 Ebola 爆发之后做的 TED 演讲 前言 这是比尔盖茨2015年在 Ebola 爆发之后做的 TED 演讲.他认为在未来几十年里,如果有什么东西可以杀掉上千万人,那更可能是个 ...
- java教程分享-我赢职场2018年 曹雪松老师java零基础最佳入门视频教程
要论编程语言哪家强,还属我们的java,尽管现在人工智能很火,从而带动了python语言的火热,但论跨平台能力还是首选java,其中javase,javaee,javame强大的功能即可以满足桌面应用 ...
- 忽悠马云10亿，还阿里4500亿：做对事赢一场，跟对人赢一生！（文章为转载，网上各种假原创，未搜到原作者）
那个忽悠马云10个亿,被阿里同事指着鼻子让他滚蛋的人,后来怎么样了? 后来,他成为阿里巴巴集团首席技术官,而且被公认为,近10年来,中国最好的首席技术官. 他叫王坚,被称为"阿里云之父&qu ...
- 生态伙伴 | 飞书携手Moka开启无接触线上招聘，打赢职场招聘开年战疫
眼下,本应该是"金三银四"和春季校园招聘的旺季,但受疫情影响,全国各地的企业复工一再推迟,高校纷纷延期开学,企业开年这场职场招聘战尤其难打. 根据公开数据显示,高校毕业生人数逐年增 ...
- php我赢职场季枫_我赢职场PHP全栈开发工程师就业班(H5/PC/移动/课件)
本套课程出自我赢职场的php全栈开发工程师官就业班(H5/PC/移动/课件)官网售价5700元完整版,这门课程帮助学员能够从前台页面的制作到后台功能的实现,搭建完整的网站并部署上线. 课程从web前端 ...
- 程序上机考试题解析：有m支球队参加比赛，比赛采用循环赛制，赢一场比赛得3分，平一场得1分，输一场得0分，比赛结束后，求其中一只球得分情况有多少中可能。
有m支球队参加比赛,比赛采用循环赛制,赢一场比赛得3分,平一场得1分,输一场得0分,比赛结束后,求其中一只球得分情况有多少中可能. 当n=1时,1种可能, 当n=4时,9种可能. 题目解析: 设某只球 ...
最新文章
- C enum(枚举)
- PL/SQL Developer 报错ORA-01861
- 我的python之路（四）：列表
- python numpy库安装winerror5_（转载）Numpy安装中遇到的问题和解决方法
- python的6种基本数据类型--字典
- c语言self用法,C/C++知识点之Self Numbers C语言 UVA640
- Asterisk realtime 之SIP用户动态写入mysql 数据库
- 学习Java能够从事哪些工作？
- Ubuntu 18.04-20.04开机自动root用户登录（测试可用）
- Python生成(x,y,z)三维坐标序列
- Linux服务器配置——安装CentOS以及源配置
- /etc/config/wireless解析
- 2022联想创新科技大会--智能为变革赋能
- 卡地亚搜索引擎_搜索引擎营销经典案例，分享经典网络营销5大成功案例
- 港股通不得不了解的汇率问题
- 微信公众号python开发_用python如何开发微信公共帐号？
- 《计算广告》学习笔记（二）
- 支付宝 SDK6001 错误码 或 支付繁忙
- Java斐波那契数列
- xp无法搜索计算机,xp系统的笔记本电脑为什么搜不到手机热点的信号