DevSecOps在腾讯云的落地实践.pptx

;;;庞大的体系与快速迭代 50+产品分类，200+一级产品，2、3000二级产品 最多日均近10个新产品上线，日常N个版本发布 复杂的产品形态与研发场景 自研、合作研发、OEM等 SaaS、PaaS、IaaS 专有云、私有云、公有云、混合云;多样化的技术栈与架构 C、JAVA、GO、PHP、Python、NodeJS… Web应用、APP、客户端、小程序… 各种中间件、一些新型架构等 多重组织与人员结构 总部、子公司、投资全资子公司、外部企业 正式员工、驻场外包、子公司员工、研发外包 跨公司、跨BG、跨部门、跨业务线、跨中心;多维度的安全挑战;;当前核心关注点 产品不出安全问题 产品不出严重危害的安全问题 产品不出简单易发现安全问题 保障核心数据安全 有效发现入侵事件，保障内网安全 减少入侵入口;;;;;;;;;;;;主机安全风险收敛;高危端口开放监测;漏洞情报+资产测绘;信息泄露监测;应急响应;运营统计;安全演习;;三个问题;什么是DevSecOps;为什么要实践DevSecOps;;从SDL到DevSecOps;从SDL到DevSecOps;DevSecOps三个关键点;DevSecOps九大实践要素与文化融合七个阶段;从DevSecOps视角看腾讯云过去安全工作;腾讯云DevSecOps的落地;DevSecOps工具链建设;工具链的建设;工具链的建设;工具链的建设;工具链的建设;基于CI/CD流程的安全嵌入;代码扫描;第三方依赖安全;主机安全检测;API安全;更多展望与尝试 更多前置的安全动作 更完善的安全开发库，以及自动化检查 安全设计与需求自动化检查，结合安全规范;