傳統(tǒng)行業(yè)DevSecOps的實(shí)踐

數(shù)據(jù)驅(qū)動(dòng)De

vOps和安全的碰撞：傳統(tǒng)行業(yè)De

vS

e

cOps的實(shí)踐全球De

vOps數(shù)據(jù)Base

:

237

De

vOps

prossource

:

Forre

s

te

r’s

Q1

Global

De

vOps

Be

nchmark

Online

Surve

y已經(jīng)實(shí)現(xiàn)了13%正在實(shí)現(xiàn)以及擴(kuò)容50%準(zhǔn)備12個(gè)月之內(nèi)實(shí)現(xiàn)27%感興趣但是12個(gè)月之內(nèi)不會(huì)實(shí)現(xiàn)9%不感興趣1%2018世界500強(qiáng)實(shí)現(xiàn)DevOps調(diào)查DevOps多復(fù)雜???VCS源碼管理工具10

%38

%17

%28

%CI持續(xù)集成工具52

%18

%12

%10

%90

%80

%70

%60

%50

%40

%30

%20

%10

%0

%全球二進(jìn)制使用情況包管理工具80

%在用Kube

rne

te

s20

%還沒用Kube

rne

te

s95

%非生產(chǎn)環(huán)境5

%生產(chǎn)環(huán)境用Kub

e

rnetes使用情況建立De

vOps團(tuán)隊(duì)最佳實(shí)踐組織結(jié)構(gòu)考慮：在哪放我的DevOps團(tuán)隊(duì)？組織結(jié)構(gòu)考慮：在哪放我的DevOps團(tuán)隊(duì)？Is

it?Me

ta

da

ta

holds

the

a

ns

we

r!Big

que

s

tions

to

a

s

k

-confus

e

d

pplQue

s

tion

ma

rkDa

ta

is

the

a

ns

we

r!!-

S

e

cure

?安全-?Fa

s

t?兼容性？測(cè)過？微服務(wù)依賴?自動(dòng)化?Compa

tible

?Te

s

te

d?LSciuenpspeo合rt規(guī)ed性??Lice

ns

e

d?Expe

cte

d?元數(shù)據(jù)?但我的二進(jìn)制？DevOps來了其實(shí)，只要有plan（及有遠(yuǎn)見的領(lǐng)導(dǎo)）幵不復(fù)雜Ansible落地DevOps第一步：選擇適合你的工具KubernetesSaltShe

ll落地DevOps第二部：收集DevOps元數(shù)據(jù)，評(píng)估研發(fā)效率需求提交者、分支交付件、依賴關(guān)系和環(huán)境信息測(cè)試關(guān)鍵信息部署關(guān)鍵信息12345落地DevOps第二部：收集DevOps元數(shù)據(jù)，評(píng)估研發(fā)效率落地DevOps第二部：收集DevOps元數(shù)據(jù)，評(píng)估研發(fā)效率落地DevOps第三步：落地內(nèi)部容器化Kube

rnetes生態(tài)Google

Kube

rnetes

Engine

(GKE)Azure

Containe

r

Service

(AKS)Canonical

Distributionof

Kube

rnetesSUSE

CaaS

PlatformEnterprise

Kube

rnetesMesosphere

DC/OSRed

Hat

OpenShiftRed

Hat

Tectonic落地DevOps第三步：落地內(nèi)部容器化Is

it?S

e

cure

?Fa

s

t?Compa

tible

?Te

s

te

d?S

upporte

d?Lice

ns

e

d?Expe

cte

d?Me

ta

da

ta

holds

the

a

ns

we

r!Big

que

s

tions

to

a

s

k

-confus

e

d

pplQue

s

tion

ma

rkDa

ta

is

the

a

ns

we

r!!Uh

Oh！可怕的時(shí)刻來了你的應(yīng)用你的應(yīng)用你的應(yīng)用你的代碼我們的代碼占有<0.1%14%的NPM包有漏洞30%的Docker

Hub鏡像有漏洞59%的已知Maven漏洞包還沒有修復(fù)MTTR

（平均修復(fù)時(shí)間）290天CVSS

10:265天我們80%的用戶已經(jīng)找到漏洞了Is

it?S

e

cure

?Fa

s

t?Compa

tible

?Te

s

te

d?S

upporte

d?Lice

ns

e

d?Expe

cte

d?Me

ta

da

ta

holds

the

a

ns

we

r!Big

que

s

tions

to

a

s

k

-confus

e

d

pplQue

s

tion

ma

rkDa

ta

is

the

a

ns

we

r!!那我怎么確保我上線的應(yīng)用沒有漏洞呢？Commit構(gòu)建鏡像／Helm

Chart安全掃描上傳包及元數(shù)據(jù)到Artifactory制品庫(kù)上線部署監(jiān)控測(cè)試（自動(dòng)化／手動(dòng)）讓漏洞掃描作為應(yīng)用上線的質(zhì)量關(guān)卡Commit構(gòu)建鏡像／Helm

Chart安全掃描上傳包及元數(shù)據(jù)到Artifactory制品庫(kù)上線部署監(jiān)控測(cè)試（自動(dòng)化／手動(dòng)）讓漏洞掃描作為應(yīng)用上線的質(zhì)量關(guān)卡讓漏洞掃描作為應(yīng)用上線的質(zhì)量關(guān)卡上傳構(gòu)建掃描構(gòu)建掃描構(gòu)建掃描告警構(gòu)建失敗構(gòu)建失敗Is

it?S

e

cure

?Fa

s

t?Compa

tible

?Te

s

te

d?S

upporte

d?Lice

ns

e

d?Expe

cte

d?Me

ta

da

ta

holds

the

a

ns

we

r!Big

que

s

tions

to

a

s

k

-confus

e

d

pplQue

s

tion

ma

rkDa

ta

is

the

a

ns

we

r!!我有漏洞，怎么知道它的影響范圍呢？深入依賴管理深入依賴管理+修復(fù)建議世界500強(qiáng)的DevOps落地故事煉

美國(guó)最大的數(shù)字化銀行之一煉

成立

2

0

年時(shí)間煉

數(shù)百萬(wàn)的賬戶煉

2

0

1

6

年凈利息收入

2

0

8

.

7

3

億美元Ca

pitalOneCa

pitalOneCa

pitalOne國(guó)內(nèi)銀行A煉全國(guó)2

0

0

0+研發(fā)煉所有研發(fā)團(tuán)隊(duì)都通過一個(gè)p

o

r

t

a

l上線煉統(tǒng)一代碼掃描，測(cè)試規(guī)范國(guó)內(nèi)銀行A金融單位A進(jìn)行第三方漏洞掃描外網(wǎng)依賴JFrog

？公司介紹●2

0

0

8成立，2

0

1

6年進(jìn)入中國(guó)市場(chǎng)●世界領(lǐng)先的De

v

Ops平臺(tái)–CI/CD軟件生命周期管理●開源版：1

2萬(wàn)個(gè)企業(yè)用戶●地點(diǎn)：硅谷，以色列，法國(guó)，中國(guó)北京市●4

0

0