企业级DevSecOps开源治理方案.pdf

企业级DevSecOps开源治理方案演进 技术创新，变革未来 DevSecOps 闭环 Sec Dev Ops Create Plan Configure Detect Continuous Continuous Improvement Configuration Monitoring Monitoring Continuous And And Continuous Integration Analytics Analytics Monitoring Continuous Continuous Deployment Learning Verify Preprod Predict Respond Continuous Delivery 开源不等于安全 开源 != 安全 商业 != 安全 我们的代码 <0.1% 在整个软件中 ◼ 开源组件几乎没有安全测试 ◼ 商业软件依赖开源(被动依赖) ◼ 提供方没有安全意识 ◼ Linux: redhat, Suse ◼ 安全问题需要投入更多的研发成本 ◼ Openstack 25.7% ◼ 组件使用者不关心第三方组件代码 ◼ Kubenates 51.9% ◼ 一个漏洞，影响范围广 ◼ Hadoop 3.8% ◼ 开源社区分享精神，维护者轻易把项 18.5% 目管理权交给其它人员 ◼ 黑客的目标一般是开源组件 ◼ 78％的漏洞存在于间接依赖关系中 ◼ Self ◼ Linux ◼