（文章來(lái)源：機(jī)房360）

在DevOps中快速行動(dòng)可能會(huì)造成安全漏洞，直到災(zāi)難來(lái)襲之前，這些漏洞才可能被忽略。

急于轉(zhuǎn)型的組織可以從短暫的停頓中獲益，以避免可能造成意外的、未被注意到的曝光的錯(cuò)誤配置。目前的趨勢(shì)是企業(yè)與DevOps一起發(fā)展，以加快部署速度。這種倉(cāng)促可能導(dǎo)致安全漏洞，否則可能會(huì)在途中被抓到。StackRox和Packet的專家分析了一些錯(cuò)誤配置的信號(hào)，以及組織如何解決這些問(wèn)題。

Kubernetes安全平臺(tái)提供商StackRox的營(yíng)銷副總裁Michelle McLean說(shuō)，許多DevOps團(tuán)隊(duì)的思想和使命是快速推出代碼，以使他們的組織更加敏捷。她說(shuō)，“這并不意味著開(kāi)發(fā)人員不關(guān)心安全性或故意疏忽大意。然而，這并不總是他們首先想到的事情?！?/p>

McLean是StackRox最新的《容器和Kubernetes安全性狀況報(bào)告》的作者。她說(shuō)，安全性已經(jīng)在基礎(chǔ)設(shè)施中以多種方式變得更加固有，這為開(kāi)發(fā)周期帶來(lái)了新的方法。McLean說(shuō)，“以前在構(gòu)建代碼之后就開(kāi)始運(yùn)營(yíng)，而現(xiàn)在需要弄清楚如何確保它的安全?！?/p>

她說(shuō)，在DevOps時(shí)代，這種順序被顛覆了，周期的不同部分有時(shí)會(huì)重疊并造成盲點(diǎn)。McLean說(shuō)：“所有這些現(xiàn)在都混合在一起，并在相似的時(shí)間框架內(nèi)發(fā)生?！碑?dāng)任務(wù)是快速行動(dòng)時(shí)，快速發(fā)布代碼，可能會(huì)遺漏一些內(nèi)容?！?/p>

云計(jì)算提供商Packet公司聯(lián)合創(chuàng)始人Jacob Smith說(shuō)，配置錯(cuò)誤的問(wèn)題與DevOps的旅程緊密相關(guān)。他說(shuō)，這源于如何通過(guò)DevOps自動(dòng)化與IT管理來(lái)部署容器。Smith說(shuō)：“這是一個(gè)不同的工作流程，最大的弱點(diǎn)之一是網(wǎng)絡(luò)策略。問(wèn)題很容易遺漏，因?yàn)殡S著基礎(chǔ)設(shè)施變得越來(lái)越多樣化并遷移到云中，配置的規(guī)模也越來(lái)越大?！?/p>

Smith說(shuō)，來(lái)自RedHat、Rancher或VMware的支持工具集可以監(jiān)視和改善可見(jiàn)性，因此開(kāi)發(fā)人員可以知道哪些容器可以連接到什么容器。他說(shuō)，容器的相對(duì)新穎和快速發(fā)展已成為企業(yè)的當(dāng)務(wù)之急，這對(duì)開(kāi)發(fā)人員來(lái)說(shuō)是一個(gè)挑戰(zhàn)。Smith說(shuō)：“發(fā)生的事情太多了，而且變化很快。那是造成混亂的原因;很多剛接觸它的人都會(huì)感覺(jué)到緊張。DevOps領(lǐng)域的這一部分在過(guò)去兩年中迅速成熟，似乎在一夜之間出現(xiàn)了新的需求?！?/p>

Smith說(shuō)：“每個(gè)人都必須制定服務(wù)網(wǎng)格策略，盡管18個(gè)月前還不存在。安全是潛在后果的明顯領(lǐng)域，但是由于配置錯(cuò)誤而導(dǎo)致的業(yè)務(wù)效率低下也可能代價(jià)高昂。例如，可能有一個(gè)容器可能無(wú)法控制服務(wù)器的情況下，資源分配失控。那是不應(yīng)該做的一件事。”

McLean強(qiáng)調(diào)的關(guān)鍵錯(cuò)誤配置問(wèn)題之一是，并非默認(rèn)情況下總是打開(kāi)所有安全控件。她說(shuō)，“有了容器和Kubernetes，仍然可以學(xué)習(xí)到許多具有復(fù)雜基礎(chǔ)設(shè)施的運(yùn)動(dòng)部件。假設(shè)開(kāi)發(fā)人員將在某個(gè)時(shí)候啟用安全控制?！蔽ㄒ惶峁┆?dú)家研究結(jié)果，動(dòng)手研討會(huì)，案例研究，20個(gè)小時(shí)以上的聯(lián)網(wǎng)以及最大的以數(shù)據(jù)中心為中心的展覽廳的行業(yè)盛會(huì)。

McLean建議尋找某些難以找到的元素，例如資源是否為只讀或是否可以寫(xiě)入。檢查是否啟用了基于角色的訪問(wèn)控制。她說(shuō)：“這類似于擁有可寫(xiě)的容器。如果有人獲得了在Kubernetes級(jí)別進(jìn)行更改的許可，將面臨風(fēng)險(xiǎn)。如果可以進(jìn)入Kube，就可以進(jìn)入所有資產(chǎn)?！?/p>

McLean說(shuō)，隨著越來(lái)越多的企業(yè)將他們開(kāi)發(fā)的新應(yīng)用程序容器化，這種類型的曝光的可能性很可能會(huì)增加。她說(shuō)：“很可能這些是企業(yè)一些最重要的業(yè)務(wù)必備應(yīng)用程序。這些應(yīng)用程序可能還會(huì)保留客戶數(shù)據(jù)。這容易犯錯(cuò)誤。組織應(yīng)該幫助開(kāi)發(fā)人員做正確的事。”
（責(zé)任編輯：fqj）