搜索

[12026] 2017-11-19_观点虽然Devops可以提升效率，但也增加了IT攻击面

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-11-19_观点虽然Devops可以提升效率，但也增加了IT攻击面 观 点   |   虽 然 D e v o p s   可 以 提 升 效 率 ， 但 也 增 加 了 I T 攻 击 面 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 1 - 1 9 写 在 前 面 的 话 写 在 前 面 的 话 D e v O p s 最 基 本 的 一 个 功 能 ， 或 者 说 优 势 ， 就 是 它 可 以 将 产 品 的 开 发 团 队 跟 运 营 团 队 合 并 成 一 个 具 有 凝 聚 力 最 基 本 的 一 个 功 能 ， 或 者 说 优 势 ， 就 是 它 可 以 将 产 品 的 开 发 团 队 跟 运 营 团 队 合 并 成 一 个 具 有 凝 聚 力 的 的 “ 个 体 个 体 ” ， 而 这 样 就 可 以 很 大 程 度 地 提 升 工 作 的 效 率 。 但 是 研 究 表 明 ， 虽 然 ， 而 这 样 就 可 以 很 大 程 度 地 提 升 工 作 的 效 率 。 但 是 研 究 表 明 ， 虽 然 D e v O p s 可 以 提 升 企 业 可 以 提 升 企 业 I T 的 工 作 效 的 工 作 效 率 ， 但 与 此 同 时 有 一 个 非 常 重 要 的 因 素 也 被 忽 略 掉 了 ， 那 就 是 率 ， 但 与 此 同 时 有 一 个 非 常 重 要 的 因 素 也 被 忽 略 掉 了 ， 那 就 是 “ 信 息 安 全 信 息 安 全 ” 。 因 此 我 们 不 禁 想 问 ： 。 因 此 我 们 不 禁 想 问 ： “ 安 全 安 全 ” 跟 跟 “ 效 效 率 率 ” 到 底 谁 更 重 要 ？ 到 底 谁 更 重 要 ？ 根 据 C y b e r A r k 发 布 的 2 0 1 8 年 高 级 威 胁 前 景 报 告 ， D e v O p s 至 少 会 增 加 一 个 I T 领 域 的 攻 击 面 ， 即 特 权 账 号 。 特 权 账 号 是 D e v O p s 的 一 个 必 不 可 少 的 重 要 组 件 ， 但 是 C y b e r A r k 的 数 据 表 明 ， 这 些 特 权 账 号 并 没 有 得 到 很 好 的 安 全 保 护 。 D e v O p s 的 安 全 问 题 不 容 小 觑 的 安 全 问 题 不 容 小 觑 C y b e r A r k 是 一 家 以 色 列 安 全 公 司 ， 该 公 司 成 立 于 1 9 9 9 年 ， 其 总 部 设 在 美 国 的 马 萨 诸 塞 州 。 在 2 0 1 7 年 9 月 到 1 0 月 ， 他 们 委 托 V a n s o n   B o u r n e （ 一 家 专 门 从 事 市 场 调 查 与 研 究 的 公 司 ） 对 超 过 1 0 0 0 名 安 全 决 策 人 员 进 行 了 采 访 调 查 。 调 查 结 果 显 示 ， 很 多 安 全 专 家 以 及 安 全 决 策 人 员 对 D e v O p s 中 的 特 权 账 号 以 及 I T 基 础 设 施 之 间 的 重 要 隐 私 数 据 其 实 并 不 算 真 正 的 了 解 。 比 如 说 ， 9 9 % 的 受 调 查 人 员 无 法 找 出 所 有 的 特 权 账 号 以 及 重 要 机 密 数 据 到 底 在 什 么 地 方 ， 而 这 种 所 谓 的 “ 知 识 差 距 ” 是 非 常 令 人 担 忧 的 。 其 中 ， 还 有 7 6 % 的 受 访 者 并 不 了 解 D e v O p s 所 使 用 的 持 续 整 合 以 及 持 续 部 署 工 具 ( C I / C D ) 。 其 中 ， 最 大 的 “ 知 识 差 距 ” 是 关 于 源 代 码 库 方 面 的 ， 例 如 G i t H u b 。 因 为 有 8 4 % 的 受 访 者 根 本 就 不 知 道 G i t H u b 有 特 权 账 号 。 除 此 之 外 ， 有 8 0 % 的 受 访 者 不 了 解 互 联 网 中 的 各 种 微 型 服 务 ， 还 有 7 8 % 的 受 访 者 并 不 了 解 云 环 境 方 面 的 细 节 。
C y b e r A r k 的 D e v O p s 安 全 副 总 裁 E l i z a b e t h L a w l e r 表 示 ： “ 如 果 是 在 企 业 环 境 中 部 署 D e v O p s 的 话 ， 不 仅 会 创 建 更 多 的 特 权 账 号 凭 证 以 及 机 密 信 息 ， 而 且 跨 商 业 生 态 系 统 （ 相 互 关 联 ） 的 共 享 信 息 也 会 增 多 。 即 使 一 个 企 业 或 组 织 拥 有 专 业 的 安 全 技 术 人 员 ， 他 们 也 很 少 会 对 D e v O p s 中 的 敏 感 信 息 进 行 管 理 和 保 护 ， 因 此 这 些 组 织 也 会 成 为 攻 击 者 的 主 要 目 标 。 对 于 外 部 攻 击 者 以 及 恶 意 的 内 部 人 员 ， 窃 取 特 权 账 号 凭 证 以 及 机 密 数 据 将 能 够 允 许 攻 击 者 完 全 入 侵 组 织 或 企 业 的 整 个 I T 基 础 设 施 。 因 此 ， 如 果 企 业 急 于 通 过 D e v O p s 来 提 升 I T 和 业 务 的 效 率 ， 则 会 增 加 企 业 I T 将 要 面 临 的 潜 在 攻 击 面 。 ” 但 是 这 并 不 意 味 着 D e v O p s 的 安 全 问 题 被 完 全 忽 略 了 。 3 7 % 的 D e v O p s 专 家 表 示 ， 被 入 侵 的 D e v O p s 工 具 或 环 境 将 成 为 组 织 中 最 严 重 的 安 全 漏 洞 之 一 。 其 中 最 主 要 的 一 个 问 题 就 是 D e v O p s 团 队 对 于 安 全 方 面 的 考 虑 太 过 于 欠 缺 了 ， 在 部 署 了 D e v O p s 的 组 织 中 ， 大 约 有 7 5 % 的 安 全 团 队 并 没 有 设 计 针 对 特 权 账 号 的 安 全 策 略 ， 相 当 于 在 所 有 部 署 了 D e v O p s 的 环 境 中 ， 有 三 分 之 二 的 场 景 无 法 实 现 D e v O p s 与 安 全 的 整 合 。 因 此 ， 有 安 全 意 识 的 D e v O p s 专 家 应 该 要 “ 自 己 动 手 丰 衣 足 食 ” 了 。 据 了 解 ， 目 前 已 经 有 2 2 % 的 D e v O p s 安 全 人 员 已 经 针
对 自 己 的 环 境 部 署 了 相 应 的 安 全 解 决 方 案 以 保 护 和 管 理 D e v O p s 项 目 的 机 密 数 据 。 L a w l e r 认 为 ： “ 构 建 自 己 的 安 全 解 决 方 案 从 某 种 程 度 上 来 说 是 可 行 的 ， 但 这 并 不 是 一 种 扩 展 性 很 强 的 方 式 。 从 J e n k i n s 到 P u p p e t 再 到 C h e f ， 不 同 工 具 之 间 的 安 全 标 准 也 不 相 同 ， 这 也 就 意 味 着 ， 当 你 在 使 用 一 款 工 具 的 时 候 ， 你 首 先 得 知 道 如 何 保 障 这 款 工 具 的 安 全 。 当 组 织 在 部 署 D e v O p s 的 时 候 ， 安 全 团 队 必 须 要 对 整 个 基 础 设 施 的 安 全 性 负 责 ， 他 们 可 以 设 计 一 个 系 统 化 的 方 法 ， 在 保 障 生 产 力 提 升 的 同 时 维 护 整 体 的 I T 安 全 性 。 ” 总 结 总 结 D e v O p s 往 往 代 表 着 效 率 和 速 度 ， 而 安 全 问 题 往 往 会 被 看 作 是 效 率 和 速 度 的 “ 拦 路 虎 ” 。 然 而 这 两 个 因 素 之 间 必 须 是 以 一 种 相 辅 相 成 的 形 式 存 在 的 ， 如 果 企 业 希 望 使 用 D e v O p s 来 提 升 企 业 的 工 作 效 率 ， 而 不 是 削 弱 企 业 的 整 体 I T 安 全 ， 那 么 C y b e r A r k 的 调 查 结 果 绝 对 是 相 关 人 员 需 要 认 真 考 虑 的 内 容 了 。 *   参 考 来 源 ： 参 考 来 源 ： s e c u r i t y w e e k ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理