傳統(tǒng)行業(yè)DevSecOps的實踐

數據驅動De

vOps和安全的碰撞：傳統(tǒng)行業(yè)De

vS

e

cOps的實踐全球De

vOps數據Base

:

237

De

vOps

prossource

:

Forre

s

te

r’s

Q1

Global

De

vOps

Be

nchmark

Online

Surve

y已經實現(xiàn)了13%正在實現(xiàn)以及擴容50%準備12個月之內實現(xiàn)27%感興趣但是12個月之內不會實現(xiàn)9%不感興趣1%2018世界500強實現(xiàn)DevOps調查DevOps多復雜???VCS源碼管理工具10

%38

%17

%28

%CI持續(xù)集成工具52

%18

%12

%10

%90

%80

%70

%60

%50

%40

%30

%20

%10

%0

%全球二進制使用情況包管理工具80

%在用Kube

rne

te

s20

%還沒用Kube

rne

te

s95

%非生產環(huán)境5

%生產環(huán)境用Kub

e

rnetes使用情況建立De

vOps團隊最佳實踐組織結構考慮：在哪放我的DevOps團隊？組織結構考慮：在哪放我的DevOps團隊？Is

it?Me

ta

da

ta

holds

the

a

ns

we

r!Big

que

s

tions

to

a

s

k

-confus

e

d

pplQue

s

tion

ma

rkDa

ta

is

the

a

ns

we

r!!-

S

e

cure

?安全-?Fa

s

t?兼容性？測過？微服務依賴?自動化?Compa

tible

?Te

s

te

d?LSciuenpspeo合rt規(guī)ed性??Lice

ns

e

d?Expe

cte

d?元數據?但我的二進制？DevOps來了其實，只要有plan（及有遠見的領導）幵不復雜Ansible落地DevOps第一步：選擇適合你的工具KubernetesSaltShe

ll落地DevOps第二部：收集DevOps元數據，評估研發(fā)效率需求提交者、分支交付件、依賴關系和環(huán)境信息測試關鍵信息部署關鍵信息12345落地DevOps第二部：收集DevOps元數據，評估研發(fā)效率落地DevOps第二部：收集DevOps元數據，評估研發(fā)效率落地DevOps第三步：落地內部容器化Kube

rnetes生態(tài)Google

Kube

rnetes

Engine

(GKE)Azure

Containe

r

Service

(AKS)Canonical

Distributionof

Kube

rnetesSUSE

CaaS

PlatformEnterprise

Kube

rnetesMesosphere

DC/OSRed

Hat

OpenShiftRed

Hat

Tectonic落地DevOps第三步：落地內部容器化Is

it?S

e

cure

?Fa

s

t?Compa

tible

?Te

s

te

d?S

upporte

d?Lice

ns

e

d?Expe

cte

d?Me

ta

da

ta

holds

the

a

ns

we

r!Big

que

s

tions

to

a

s

k

-confus

e

d

pplQue

s

tion

ma

rkDa

ta

is

the

a

ns

we

r!!Uh

Oh！可怕的時刻來了你的應用你的應用你的應用你的代碼我們的代碼占有<0.1%14%的NPM包有漏洞30%的Docker

Hub鏡像有漏洞59%的已知Maven漏洞包還沒有修復MTTR

（平均修復時間）290天CVSS

10:265天我們80%的用戶已經找到漏洞了Is

it?S

e

cure

?Fa

s

t?Compa

tible

?Te

s

te

d?S

upporte

d?Lice

ns

e

d?Expe

cte

d?Me

ta

da

ta

holds

the

a

ns

we

r!Big

que

s

tions

to

a

s

k

-confus

e

d

pplQue

s

tion

ma

rkDa

ta

is

the

a

ns

we

r!!那我怎么確保我上線的應用沒有漏洞呢？Commit構建鏡像／Helm

Chart安全掃描上傳包及元數據到Artifactory制品庫上線部署監(jiān)控測試（自動化／手動）讓漏洞掃描作為應用上線的質量關卡Commit構建鏡像／Helm

Chart安全掃描上傳包及元數據到Artifactory制品庫上線部署監(jiān)控測試（自動化／手動）讓漏洞掃描作為應用上線的質量關卡讓漏洞掃描作為應用上線的質量關卡上傳構建掃描構建掃描構建掃描告警構建失敗構建失敗Is

it?S

e

cure

?Fa

s

t?Compa

tible

?Te

s

te

d?S

upporte

d?Lice

ns

e

d?Expe

cte

d?Me

ta

da

ta

holds

the

a

ns

we

r!Big

que

s

tions

to

a

s

k

-confus

e

d

pplQue

s

tion

ma

rkDa

ta

is

the

a

ns

we

r!!我有漏洞，怎么知道它的影響范圍呢？深入依賴管理深入依賴管理+修復建議世界500強的DevOps落地故事煉

美國最大的數字化銀行之一煉

成立

2

0

年時間煉

數百萬的賬戶煉

2

0

1

6

年凈利息收入

2

0

8

.

7

3

億美元Ca

pitalOneCa

pitalOneCa

pitalOne國內銀行A煉全國2

0

0

0+研發(fā)煉所有研發(fā)團隊都通過一個p

o

r

t

a

l上線煉統(tǒng)一代碼掃描，測試規(guī)范國內銀行A金融單位A進行第三方漏洞掃描外網依賴JFrog

？公司介紹●2

0

0

8成立，2

0

1

6年進入中國市場●世界領先的De

v

Ops平臺–CI/CD軟件生命周期管理●開源版：1

2萬個企業(yè)用戶●地點：硅谷，以色列，法國，中國北京市●4

0

0