亚洲电影一级片,性,国产三级视频,黄页视频网站,在线高清无码观看,亚州无线一区欧美国产日产,看日本黄色片,精品久久久久久久久久大佬,婷婷大香蕉伊人五月

隨著云原生技術(shù)和應(yīng)用程序組件的不斷發(fā)展，安全團(tuán)隊(duì)需要通過優(yōu)化安全技術(shù)和組織流程，以降低安全風(fēng)險(xiǎn)。我們調(diào)研了100+不同云原生安全成熟度的企業(yè)，發(fā)現(xiàn)了一些云原生安全的主要趨勢(shì)以及成功的安全實(shí)踐，輸出了《2022云原生安全白皮書》，詳細(xì)內(nèi)容可掃描圖片二維碼查看。

四大洞察顯示云原生安全發(fā)展趨勢(shì)

通過調(diào)研100+云原生應(yīng)用組織的安全建設(shè)情況，我們總結(jié)了這些組織安全建設(shè)的主要趨勢(shì)。

洞察1：云原生安全管理方式

集中的、自上而下的安全采購和管理模式

利用管理平臺(tái)整合安全工具統(tǒng)一管理策略
安全管理與DevOps流程集成

圖1不同云原生安全管理方式的比例

洞察2：不同安全成熟度組織的特點(diǎn)

更高安全成熟的組織能夠更有效地修補(bǔ)漏洞：超過75%的組織會(huì)在全生命周期過程中掃描代碼，對(duì)漏洞的響應(yīng)速度提高了28%。
隨著組織安全成熟度越高，開發(fā)人員越認(rèn)可安全的價(jià)值：安全成熟度高的組織的開發(fā)團(tuán)隊(duì)認(rèn)為安全團(tuán)隊(duì)是業(yè)務(wù)推動(dòng)者的概率比其他的組織要高出4.2倍。
安全成熟度與高效運(yùn)營正相關(guān)：安全成熟度較高的組織認(rèn)為他們的安全能力對(duì)應(yīng)用程序的可靠性、可見性和安全性有顯著的積極影響。
安全成熟度越高的組織遭受的安全事件更少：通過調(diào)研發(fā)現(xiàn)，2021年安全成熟度較高的組織遭受的安全事件減少了31%。
安全成熟度會(huì)影響產(chǎn)品的功能和準(zhǔn)時(shí)交付：安全成熟度較高的組織對(duì)按時(shí)交付安全代碼的信心增加了4.3倍。
安全成熟度高的組織業(yè)務(wù)收入明顯超過預(yù)期目標(biāo)：高成熟度階段的組織相比于低成熟度階段的組織增加業(yè)務(wù)收入的可能性高出55%。

洞察3：組織應(yīng)用云原生技術(shù)所面臨的主要安全風(fēng)險(xiǎn)

利用已知軟件漏洞進(jìn)行攻擊
利用0Day漏洞進(jìn)行攻擊
利用配置錯(cuò)誤的云服務(wù)、工作負(fù)載或特權(quán)賬戶進(jìn)行攻擊
由第三方進(jìn)行的未經(jīng)授權(quán)的訪問
惡意軟件包括勒索軟件和加密軟件，它們可以橫向移動(dòng)到云工作負(fù)載中
有針對(duì)性地滲透攻擊
由于API的不安全使用而導(dǎo)致數(shù)據(jù)丟失的攻擊
濫用特權(quán)賬戶或通過被盜的憑證進(jìn)行訪問
對(duì)象存儲(chǔ)中顯示的公開數(shù)據(jù)

洞察4：組織使用安全供應(yīng)商和安全工具的數(shù)量

在調(diào)研中發(fā)現(xiàn)各組織在將應(yīng)用擴(kuò)展到云環(huán)境時(shí)，還整合了他們的云原生安全供應(yīng)商。如圖2所示，2021年使用1到5個(gè)安全供應(yīng)商的組織數(shù)量增加了27%，使用6到10個(gè)安全供應(yīng)商的組織數(shù)量與2020年相比下降了19%。

圖2 組織合作安全供應(yīng)商數(shù)量的變化

組織減少了安全供應(yīng)商的數(shù)量，同時(shí)也對(duì)利用的安全工具做了簡化。近四分之三的組織使用10個(gè)或更少的安全工具，這表明組織希望通過更少的安全供應(yīng)商，獲得更廣泛的安全功能。因?yàn)橐蕾嚩鄠€(gè)供應(yīng)商的不同工具可能會(huì)出現(xiàn)安全盲點(diǎn)增加風(fēng)險(xiǎn)。

兩大屬性實(shí)現(xiàn)成功的云原生安全建設(shè)

為了得出成功應(yīng)用云原生技術(shù)組織的安全建設(shè)特點(diǎn)，我們通過兩個(gè)安全屬性來比較不同組織的安全特點(diǎn)：

安全態(tài)勢(shì)：指組織如何評(píng)價(jià)其云原生安全工作的有效性。
安全摩擦：指組織認(rèn)為云原生安全支持或限制其業(yè)務(wù)的程度。

如圖3所示，為了衡量云原生安全態(tài)勢(shì)，我們通過6個(gè)調(diào)查問題，調(diào)研了各組織的安全人員，受訪者對(duì)這些問題的認(rèn)可度越高，表明該組織的安全工作越有效。如圖4所示，調(diào)查發(fā)現(xiàn)55%的組織安全能力較弱，比如在獲得多云可見性、跨應(yīng)用的統(tǒng)一安全管理或者簡化事件響應(yīng)流程等方面需要優(yōu)化。

圖3 影響安全態(tài)勢(shì)的因素

圖4 不同安全態(tài)勢(shì)組織的百分比

如何在整個(gè)云原生系統(tǒng)中建立強(qiáng)大的安全態(tài)勢(shì)？通過調(diào)研成功的云原生安全建設(shè)組織，整理了《101文檔：全生命周期云原生安全關(guān)鍵指標(biāo)》，詳細(xì)內(nèi)容掃描圖片二維碼查看。

如圖5所示，為了分析云原生安全方面的摩擦，我們通過對(duì)2個(gè)問題進(jìn)行調(diào)研，受訪者越強(qiáng)烈地同意這些觀點(diǎn)，表明該組織的安全摩擦越高。如圖6所示，通過調(diào)研發(fā)現(xiàn)只有48%的組織認(rèn)為他們的安全摩擦很低。

圖5導(dǎo)致組織安全摩擦的因素

圖6 具有高、中、低摩擦的組織的百分比

結(jié)合這兩個(gè)指標(biāo)，可以發(fā)現(xiàn)實(shí)現(xiàn)低安全摩擦對(duì)于提高組織安全態(tài)勢(shì)至關(guān)重要。組織通過優(yōu)化安全工具和流程進(jìn)行安全建設(shè)的同時(shí)，要盡可能減少對(duì)業(yè)務(wù)的影響。強(qiáng)大的安全能力，不但可以提高運(yùn)營效率，而且具有高安全態(tài)勢(shì)和低摩擦的組織可以提高生產(chǎn)力和員工滿意度。如圖7所示，調(diào)研發(fā)現(xiàn)超過80%的安全摩擦水平較低的組織報(bào)告員工滿意度顯著提高。

圖7 整體安全態(tài)勢(shì)對(duì)組織的積極影響

兩大要素助力組織實(shí)現(xiàn)強(qiáng)大安全態(tài)勢(shì)

通過調(diào)研發(fā)現(xiàn)，提高組織安全態(tài)勢(shì)減少安全摩擦主要有兩個(gè)核心因素：

DevSecOps集成——將云原生安全能力集成到從構(gòu)建到運(yùn)行時(shí)的整個(gè)開發(fā)生命周期中。
安全自動(dòng)化——云原生安全自動(dòng)化的程度可以有效提高組織的安全能力降低安全摩擦。

組織實(shí)施DevSecOps方法并實(shí)現(xiàn)安全自動(dòng)化是提高安全態(tài)勢(shì)的主要因素。將DevSecOps原則緊密集成到開發(fā)生命周期中的組織，擁有更強(qiáng)大的安全態(tài)勢(shì)和更低的安全摩擦。如圖8、9所示，我們總結(jié)了有助于提高DevSecOps集成度和自動(dòng)化程度的一些因素。

圖8 影響DevSecOps集成度量的因素

圖9 提高云原生安全自動(dòng)化的因素

七大原則實(shí)現(xiàn)DevSecOps自動(dòng)化安全建設(shè)

DevSecOps是組織云原生安全建設(shè)的重要部分，它是由開發(fā)、運(yùn)營和安全人員組成的聯(lián)合團(tuán)隊(duì)，使組織在一個(gè)確定的范圍內(nèi)快速地向市場(chǎng)交付安全的應(yīng)用。復(fù)雜的、動(dòng)態(tài)的云原生項(xiàng)目需要這種方式的協(xié)作，但大多數(shù)組織仍然很難有效地實(shí)施DevSecOps模式。問題是，DevSecOps不僅僅是一種技術(shù)轉(zhuǎn)變，也是一種文化變革。組織實(shí)施DevSecOps主要存在以下安全挑戰(zhàn)：

難以評(píng)估安全風(fēng)險(xiǎn)：在復(fù)雜的云原生環(huán)境中每天會(huì)發(fā)生大量的安全告警，如果不能很好地評(píng)估風(fēng)險(xiǎn)進(jìn)行優(yōu)先級(jí)排序，并實(shí)現(xiàn)風(fēng)險(xiǎn)閉環(huán)管理，大多數(shù)安全風(fēng)險(xiǎn)告警就會(huì)被簡單地忽略了。

缺乏開發(fā)過程的風(fēng)險(xiǎn)解決能力：大多數(shù)安全工具主要針對(duì)運(yùn)行時(shí)，這時(shí)風(fēng)險(xiǎn)已經(jīng)暴露出來。如果能在開發(fā)過程中解決發(fā)現(xiàn)的安全風(fēng)險(xiǎn)，會(huì)更容易而且影響更小。

自動(dòng)化程度低減緩開發(fā)速度：假設(shè)DevOps團(tuán)隊(duì)在檢測(cè)到問題時(shí)有修復(fù)問題的能力，但如果依賴人工檢查和手動(dòng)修復(fù)問題，這不僅效率極低，而且減緩了開發(fā)速度。

高效、成功的DevSecOps模式中開發(fā)人員能夠在開發(fā)過程中獨(dú)立通過可靠、簡單的方式修復(fù)漏洞解決安全風(fēng)險(xiǎn)，通過改進(jìn)團(tuán)隊(duì)內(nèi)部的協(xié)作，從而使整個(gè)組織實(shí)現(xiàn)技術(shù)和文化的全面變革，帶來業(yè)務(wù)和安全的雙重提升。想要成功地實(shí)施DevSecOps，組織需要在文化上和技術(shù)上重新思考如何安全地構(gòu)建、部署和運(yùn)行應(yīng)用程序，主要遵循以下七個(gè)原則。

原則一：利用IaC實(shí)現(xiàn)可重復(fù)性和文檔化

隨著云原生環(huán)境的規(guī)模和復(fù)雜性的增長，組織非常需要一些工具來實(shí)現(xiàn)快速、統(tǒng)一的部署。同時(shí)，需要從開發(fā)到運(yùn)行整個(gè)生命周期中保護(hù)基礎(chǔ)設(shè)施安全。一方面，基礎(chǔ)設(shè)施即代碼(IaC)允許在被測(cè)試、應(yīng)用和審計(jì)的基礎(chǔ)上對(duì)環(huán)境進(jìn)行更改，從而提高敏捷性和安全性。另一方面，它還提供了可重復(fù)性和文檔化的重要好處。隨著部署環(huán)境的增多，每個(gè)環(huán)境都有自己獨(dú)特的特性和標(biāo)準(zhǔn)。IaC通過對(duì)基礎(chǔ)設(shè)施進(jìn)行持續(xù)地版本控制和審查，從而更容易理解基礎(chǔ)設(shè)施如何以及為什么會(huì)發(fā)生變化。

通過IaC不僅可以幫助DevOps團(tuán)隊(duì)快速、大規(guī)模地實(shí)現(xiàn)業(yè)務(wù)目標(biāo)，還可以將安全更早地集成到整個(gè)生命周期中。通過這兩個(gè)因素使組織更容易實(shí)現(xiàn)不可變的基礎(chǔ)設(shè)施，在這種狀態(tài)下，基礎(chǔ)設(shè)施在部署后永遠(yuǎn)不會(huì)被修改。不可變的基礎(chǔ)設(shè)施實(shí)踐進(jìn)一步提高了云原生環(huán)境的安全性和合規(guī)性。

原則二：通過IaC盡早開始安全管理

調(diào)查顯示，67%的數(shù)據(jù)泄露問題是由于云配置錯(cuò)誤導(dǎo)致的。這可能是因?yàn)闆]有及早地修復(fù)問題或因?yàn)榘踩珗F(tuán)隊(duì)和開發(fā)團(tuán)隊(duì)溝通不及時(shí)。解決這兩個(gè)問題就需要將安全盡早地集成到DevOps流程中。

通過威脅建模可以主動(dòng)識(shí)別威脅，并建立針對(duì)這些威脅的安全控制。威脅模型可以通過分析IaC來構(gòu)建，以確定需要定義哪些資源、如何配置它們以及它們之間的關(guān)系。通過IaC提供的上下文，可以更好地了解生產(chǎn)環(huán)境中的漏洞路徑，以及它的風(fēng)險(xiǎn)等級(jí)。通過使用IaC，在部署流程之前就開始風(fēng)險(xiǎn)檢測(cè)，盡早開始風(fēng)險(xiǎn)管理。

威脅建模有助于盡早識(shí)別風(fēng)險(xiǎn)，而策略即代碼(PaC)提供了一種為這些威脅建立安全控制的方法。PaC可以集成到基礎(chǔ)架構(gòu)開發(fā)過程中，從而在整個(gè)生命周期中檢測(cè)和減輕安全和操作問題。將PaC集成到構(gòu)建管道中可以檢測(cè)違規(guī)操作和風(fēng)險(xiǎn)，從而防止將問題引入運(yùn)行時(shí)環(huán)境中。在運(yùn)行時(shí)，PaC可以檢測(cè)違規(guī)操作并強(qiáng)制執(zhí)行策略，從而實(shí)現(xiàn)安全。將PaC工具集成到開發(fā)過程中，實(shí)現(xiàn)自動(dòng)執(zhí)行管道中的安全策略，幫助團(tuán)隊(duì)在部署之前發(fā)現(xiàn)并修復(fù)違規(guī)行為。

原則三：部署前掃描IaC發(fā)現(xiàn)策略違規(guī)行為

除了IaC的操作優(yōu)勢(shì)之外，它還能夠在開發(fā)的早期發(fā)現(xiàn)錯(cuò)誤配置和策略違規(guī)，并向開發(fā)人員提供實(shí)時(shí)反饋。在開發(fā)人員向存儲(chǔ)庫中提交代碼時(shí)不斷掃描IaC，可以及早發(fā)現(xiàn)并修復(fù)違規(guī)行為，而且不會(huì)阻礙開發(fā)過程。在開發(fā)過程中嵌入安全性，并在基礎(chǔ)設(shè)施的整個(gè)生命周期中強(qiáng)制執(zhí)行安全性。這種模式被稱為不可變安全，它可以通過以下三個(gè)方式來實(shí)現(xiàn)：

在提供云基礎(chǔ)設(shè)施之前降低風(fēng)險(xiǎn)來保護(hù)IaC。
檢測(cè)可能引入風(fēng)險(xiǎn)的新資源和配置更改，確保運(yùn)行時(shí)的云基礎(chǔ)設(shè)施安全。
將IaC建立的基線同步應(yīng)用于運(yùn)行時(shí)，從而消除風(fēng)險(xiǎn)漂移。

原則四：部署前掃描應(yīng)用程序/容器代碼以發(fā)現(xiàn)漏洞

容器應(yīng)用增加了鏡像、應(yīng)用程序和基礎(chǔ)設(shè)施的攻擊面，為安全漏洞提供了更多可利用的機(jī)會(huì)。掃描將在基礎(chǔ)設(shè)施內(nèi)部運(yùn)行的代碼非常重要。SAST、DAST和IAST都用于應(yīng)用程序安全測(cè)試，并且它們各有優(yōu)缺點(diǎn)。SAST（靜態(tài)應(yīng)用程序安全測(cè)試）可以在應(yīng)用程序開發(fā)時(shí)發(fā)現(xiàn)漏洞，但可能有很高的假陽性。DAST（動(dòng)態(tài)應(yīng)用程序安全測(cè)試）可以檢測(cè)正在運(yùn)行的應(yīng)用程序中的漏洞，但不能識(shí)別它們?cè)诖a中的確切位置。IAST（交互式應(yīng)用程序安全測(cè)試）提供了DAST和SAST都提供的許多好處，但缺點(diǎn)是它需要特定的語言支持。

原則五：為違規(guī)行為創(chuàng)建自動(dòng)拉取請(qǐng)求

開發(fā)人員并不是安全專家，需要提供工具幫助他們?cè)诓蛔璧K業(yè)務(wù)流程的情況下解決風(fēng)險(xiǎn)。當(dāng)發(fā)現(xiàn)錯(cuò)誤配置時(shí)，應(yīng)該通知開發(fā)人員這個(gè)問題，并提供通過拉取請(qǐng)求或合并請(qǐng)求來修復(fù)這個(gè)問題的代碼。例如代碼修復(fù)(RaC)等技術(shù)可以自動(dòng)完成修復(fù)，并將它們直接提交給違規(guī)代碼所在的存儲(chǔ)庫。開發(fā)人員審查建議，并將更改合并到正常工作流的代碼中。這樣做，問題就得到解決，使得建立IaC作為安全基線，并部署基礎(chǔ)設(shè)施，這些流程都不會(huì)出現(xiàn)問題。

通過代碼修復(fù)（RaC）不僅可以解決問題，它也能極大地改善安全狀況。在發(fā)現(xiàn)錯(cuò)誤配置的時(shí)候，可以自動(dòng)修復(fù)云基礎(chǔ)設(shè)施，在不影響開發(fā)速度的情況下快速有效地解決問題。

原則六：在部署期間執(zhí)行安全策略

在處理復(fù)雜的動(dòng)態(tài)系統(tǒng)時(shí)，關(guān)鍵問題是很難在開發(fā)的早期預(yù)測(cè)在部署過程中可能會(huì)遇到的風(fēng)險(xiǎn)。許多組織在開發(fā)后期進(jìn)行安全審查，但如果出現(xiàn)問題，通常手動(dòng)流程很難修復(fù)這些問題。使得部署過程產(chǎn)生安全摩擦。

因此，組織需要在部署前識(shí)別漏洞和違規(guī)操作，通過自動(dòng)修復(fù)技術(shù)（RaC）簡單快速修復(fù)問題，確保部署階段的安全性。部署過程通常使用artifacts和IaC部署到運(yùn)行時(shí)環(huán)境中，可以建立PaC控件來驗(yàn)證artifacts和IaC在部署過程本身是否兼容。

原則七：在運(yùn)行時(shí)執(zhí)行安全策略

云基礎(chǔ)設(shè)施的配置更改會(huì)在運(yùn)行時(shí)發(fā)生，原因有很多，而且頻率非常高。事實(shí)上，超過90%的組織都會(huì)有這種情況發(fā)生。為了提高安全性，需要在運(yùn)行時(shí)階段執(zhí)行與開發(fā)和部署階段相同的安全策略。理想情況下，這種強(qiáng)制執(zhí)行將防止不符合策略的配置更改。

持續(xù)監(jiān)控運(yùn)行時(shí)環(huán)境中的配置漂移，并自動(dòng)將運(yùn)行時(shí)更改重新回傳給IaC，使團(tuán)隊(duì)能夠保持統(tǒng)一性，這有助于避免部署過程中的摩擦，因?yàn)殚_發(fā)人員不需要擔(dān)心覆蓋重要的運(yùn)行時(shí)配置。同時(shí)在運(yùn)行時(shí)檢測(cè)到不符合要求的更改，也可以立即從IaC重新部署，以消除有風(fēng)險(xiǎn)的更改。

本文是青藤調(diào)研100多家云原生應(yīng)用企業(yè)的安全建設(shè)情況，總結(jié)的云原生安全發(fā)展趨勢(shì)以及成功的云原生安全建設(shè)的實(shí)踐經(jīng)驗(yàn)。青藤作為國內(nèi)最早一批研究云原生安全的廠商，推出自主研發(fā)的青藤蜂巢·云原生安全平臺(tái)，并成功在國央企、金融、運(yùn)營商、互聯(lián)網(wǎng)等行業(yè)企業(yè)落地實(shí)踐，安全能力獲得客戶的高度認(rèn)可。

鑒于不同階段對(duì)容器安全防護(hù)的要求不同，且國家對(duì)容器安全的重視程度不斷增強(qiáng)。如果您想試用容器安全產(chǎn)品，可以點(diǎn)擊“閱讀原文”進(jìn)行免費(fèi)申請(qǐng)。

100+企業(yè)調(diào)研 | 洞察云原生安全趨勢(shì)，詳解DevSecOps建設(shè)

100+企業(yè)調(diào)研 | 洞察云原生安全趨勢(shì)，詳解DevSecOps建設(shè)