ITPub博客

容器彻底改变了开发过程，是DevOps行动的基石，但容器带来了复杂的安全风险，而这些风险并不总是那么明显。不降低这些风险的组织很容易受到攻击。本文概述了容器是如何促进敏捷开发的，容器带来了那些独特的安全风险，以及企业可以怎么做来保护容器的工作负载，超越DevOps来实现DevSecOps。为什么容器如此迅速地流行起来?容器在很多方面都是虚拟化的演进，用来加快开发过程，创建从开发到测试和实施的更敏捷

Log4Shell 可能是有史以来发现的最具破坏性的软件缺陷之一，它的出现证明不断对现有网络安全方法进行审查是正确的，也说明仅靠严格地从加强网络边界角度来考虑安全性并不能完全保证网络安全。在云计算仍在蓬勃发展的时代，Log4Shell也暴露了应用程序安全性和可视性之间存在的巨大差距。在Log4Shell紧急事件发生近6个月后，仍有大量公司受到影响就是明证。这可以归结为：漏洞管理不足和缺乏可见性

随着企业越来越依赖开源代码，在享受使用开源代码便利的同时，开源代码的安全问题也成为企业的”安全噩梦“。开源代码是一把双刃剑开源的核心是即用型软件，可以帮助团队缩短开发时间提高开发人员效率。但开放源码是在社区参与的基础上开发。如果社区对项目失去兴趣，或者关键人员被召集到另一个项目中工作，开发就会停滞。此外，由于开发人员认为定位和修复bug是社区的责任，所以bug可能会被忽略。当社区对漏洞或缺陷的修补

据Cyber Security Works (CSW)的一项威胁研究显示，自2022年1月发布《勒索软件焦点报告》以来，勒索软件利用漏洞增加了7.6%。在上个季度，勒索软件攻击几乎每天都能成为头条新闻，Lapsus$和Conti等组织的名字遍布整个页面。Okta、Globant和厨具制造商Meyer Corporation等主要组织都成为了受害者，而且还有更多。数据表明，不断增加的漏洞、新

在IT流行语的字母组合中，DevSecOps是一个很容易让人混淆的缩写。DevSecOps是一个特定工具吗?是否有DevSecOps流程或最佳实践?DevSecOps 应该成为内部 IT 部门的优先事项，还是更广泛的公司理念?如果一个公司已经利用了DevOps的流程和技术栈，那么它应该升级到DevSecOps吗?或者这只会让已经超负荷的流程变得更复杂吗?DevSecOps不仅仅是一个流行的词，它已

越来越多的威胁行为者将供应链攻击视为进入企业网络的切入点。

疫情将网络安全带到了一个关键的转折点。根据一项针对全球14个不同行业和16个国家/地区的1000多家大型企业的最新调查，2020年到2021年，受访企业遭受的重大网络安全事故数量增加了21%，网络安全预算增长了51%，从占公司总收入的比例从0.53%上升到0.80%。此外，首席信息安全官(CISO)的角色也有所扩大，许多人负责数据安全(49%)、客户和内部欺诈(44%)、供应链管理(34%)、企业

DevOps通过引入更具协作性的开发环境并弥合开发人员和运营人员之间的差距，彻底改变了软件的开发和部署方式。同时确保满足消费者或市场需求的灵活性。但是，最好在组织中实施适当的DevOps生命周期，以充分利用DevOps提供的优势。什么是DevOps生命周期?DevOps生命周期由DevOps流程中涉及的不同阶段组成，以指导用户从开发到部署和监控。它提供了一个标准化的结构，将 DevOps 实践

什么是SAST?SAST(Static Application Security Testing)是构建安全代码的基础。在谈到左移安全性时，SAST是一个解决方案，其中包含一些强大的工具可以集成到软件开发生命周期中。开发人员或许都熟悉静态应用程序安全测试 (SAST) 工具，并且每天都会使用集成到其 IDE 中的工具。但目前很少有人将SAST添加到他们的CI/CD管道中。什么是静态应用程序

随着勒索软件攻击的不断增加和网络犯罪分子变得越来越老练，仅靠被动防御的思想已经无法完全抵御网络威胁参与者的进攻。采取更加积极主动的方式来降低网络攻击对网络世界的影响越来越重要。通过全面掌握组织系统的安全程度、了解各项来源及指标、安全检测和威胁警告，有助于企业面对网络风险时可以快速检测、隔离和响应。威胁情报是培养攻击性思维方式的关键组成部分。这就是为什么主动进行网络安全审计可以成为阻止网络攻击影响组

通过审查和评估其活动目录实施的漏洞或错误配置来应对主要威胁，了解如何检测和防止其环境中不寻常的横向移动尝试，实现应用程序白名单和禁用宏，以显著限制初始访问攻击。同时加强漏洞治理，减少网络攻击面。

谷歌和一些公司正在为软件添加安全配置，以便云应用程序和服务有明确定义的安全设置，同时，这也是DevSecOps的关键组成部分。目前，希望提高敏捷性和支持混合工作模式的公司越来越多地采用云基础架构，这也使得更多的开发团队采用“安全性即代码”的方式，将安全性构建到软件和产品中。在过去一年，谷歌将“安全即代码”作为其云产品的基本组成部分，并在1月份将“软件定义的基础设施”确定为推动云安全的八大趋势之一。

一项新的研究显示，2021年开源软件在常用代码库中的份额增长到78%，然而公司继续使用过时且不再维护的组件，这使得他们的软件可能容易受到攻击。根据报告显示，绝大多数软件代码库包含至少一个漏洞 (81%)，使用过期四年以上的开源组件 (85%)，并包含过去两年内没有开发的组件 (88 %)。尽管有些数据显示比前一年有所改善，但84%的代码库至少存在一个漏洞，而91%的代码库甚至在两年前就停止了开

代码审查是保持高水平代码质量的有效方式。代码审查不仅可以作为查找问题代码的门槛，而且可以激励编码人员提高技能、学习和审查自己的工作。

90%以上的网络安全问题是由软件自身的安全漏洞被利用导致的。加强漏洞治理来提高软件自身“免疫力”可以有效防治针对漏洞利用的网络攻击。

当今世界处于不断变化之中，网络世界与现实世界的联系越来越密切，随着网络犯罪不断增加以及技术的不断发展，安全团队可能很难直接关注保持组织安全的关键点。随着“Log4shell”(又名Log4J)漏洞的出现，完善的漏洞管理方案已经跃居维持理想网络安全状态所需技能列表的首位。网络攻击事件在增加，对经济的影响也在增加。据网络安全投资公司(Cybersecurity Ventures)称，到2025年，

在安全编码成为其文化的一部分之前，软件公司和开发团队还有很长的路要走，但有迹象表明，程序员和他们的公司都在更加重视安全。

智能城市安全漏洞可能会产生非常严重的后果，如果处理不当，不但会造成经济损失，而且严重情况下会危及生命。“智慧城市”一词在很多方面都有使用。根据StrategITcom的说法，智慧城市的定义是“使用通用安全基础设施、数据中心和设备级数据存储库进行关键和非关键数据通信的应用程序集合”。智慧城市不仅仅是一个新颖的想法。为城市居民提供服务并提高生活质量是一项社会当务之急，因为到2050年，预计全球70%的

Wabbi与IDG的一项新研究发现，实践持续安全的公司将漏洞减少了50%。该研究侧重于开发与安全的集成以及持续实践安全的好处。参与人员包括IT和安全部门的负责人、软件/应用程序开发经理和主管。数据探讨了整个软件开发生命周期 (SDLC) 中集成安全性的优先事项和趋势。主要发现有：IT/安全负责人认识到集成安全的价值随着攻击的种类和数量每天都在增加，建立针对所有潜在风险的防御成为难题。更重要的是

随着数字化转型的加速，针对软件供应链的攻击事件一直呈快速增长态势。恶意软件无孔不入，不但影响软件开发企业，而且造成大规模供应链攻击。近日，网络安全公司发现一个名为“RED-LILI”的威胁参与者发布了近800个恶意模块，与一场针对NPM包库的大规模供应链攻击活动有关。“通常，攻击者使用一个匿名的一次性NPM账户来发动攻击。”“这一次，攻击者似乎完全自动化了NPM账户创建的过程，并打开了专用账户，每