寫在前面的話

DevOps最基本的一個功能，或者說優勢，就是它可以將產品的開發團隊跟運營團隊合并成一個具有凝聚力的“個體”，而這樣就可以很大程度地提升工作的效率。但是研究表明，雖然DevOps可以提升企業IT的工作效率，但與此同時有一個非常重要的因素也被忽略掉了，那就是“信息安全”。因此我們不禁想問：“安全”跟“效率”到底誰更重要？

根據CyberArk發布的2018年高級威脅前景報告，DevOps至少會增加一個IT領域的攻擊面，即特權賬號。特權賬號是DevOps的一個必不可少的重要組件，但是CyberArk的數據表明，這些特權賬號并沒有得到很好的安全保護。

DevOps的安全問題不容小覷

CyberArk是一家以色列安全公司，該公司成立于1999年，其總部設在美國的馬薩諸塞州。在2017年9月到10月，他們委托Vanson Bourne（一家專門從事市場調查與研究的公司）對超過1000名安全決策人員進行了采訪調查。調查結果顯示，很多安全專家以及安全決策人員對DevOps中的特權賬號以及IT基礎設施之間的重要隱私數據其實并不算真正的了解。比如說，99%的受調查人員無法找出所有的特權賬號以及重要機密數據到底在什么地方，而這種所謂的“知識差距”是非常令人擔憂的。其中，還有76%的受訪者并不了解DevOps所使用的持續整合以及持續部署工具(CI/CD)。

其中，大的“知識差距”是關于源代碼庫方面的，例如GitHub。因為有84%的受訪者根本就不知道GitHub有特權賬號。除此之外，有80%的受訪者不了解互聯網中的各種微型服務，還有78%的受訪者并不了解云環境方面的細節。

CyberArk的DevOps安全副總裁ElizabethLawler表示：“如果是在企業環境中部署DevOps的話，不僅會創建更多的特權賬號憑證以及機密信息，而且跨商業生態系統（相互關聯）的共享信息也會增多。即使一個企業或組織擁有專業的安全技術人員，他們也很少會對DevOps中的敏感信息進行管理和保護，因此這些組織也會成為攻擊者的主要目標。對于外部攻擊者以及惡意的內部人員，竊取特權賬號憑證以及機密數據將能夠允許攻擊者完全入侵組織或企業的整個IT基礎設施。因此，如果企業急于通過DevOps來提升IT和業務的效率，則會增加企業IT將要面臨的潛在攻擊面。”

但是這并不意味著DevOps的安全問題被完全忽略了。37%的DevOps專家表示，被入侵的DevOps工具或環境將成為組織中最嚴重的安全漏洞之一。其中最主要的一個問題就是DevOps團隊對于安全方面的考慮太過于欠缺了，在部署了DevOps的組織中，大約有75%的安全團隊并沒有設計針對特權賬號的安全策略，相當于在所有部署了DevOps的環境中，有三分之二的場景無法實現DevOps與安全的整合。

因此，有安全意識的DevOps專家應該要“自己動手豐衣足食”了。據了解，目前已經有22%的DevOps安全人員已經針對自己的環境部署了相應的安全解決方案以保護和管理DevOps項目的機密數據。Lawler認為：“構建自己的安全解決方案從某種程度上來說是可行的，但這并不是一種擴展性很強的方式。從Jenkins到Puppet再到Chef，不同工具之間的安全標準也不相同，這也就意味著，當你在使用一款工具的時候，你首先得知道如何保障這款工具的安全。當組織在部署DevOps的時候，安全團隊必須要對整個基礎設施的安全性負責，他們可以設計一個系統化的方法，在保障生產力提升的同時維護整體的IT安全性?！?/p>

總結

DevOps往往代表著效率和速度，而安全問題往往會被看作是效率和速度的“攔路虎”。然而這兩個因素之間必須是以一種相輔相成的形式存在的，如果企業希望使用DevOps來提升企業的工作效率，而不是削弱企業的整體IT安全，那么CyberArk的調查結果絕對是相關人員需要認真考慮的內容了。

分享文章：DevOps的安全問題不容小覷
分享地址：http://www.2m8n56k.cn/news19/105069.html

成都網站建設公司_創新互聯，為您提供企業建站、商城網站、小程序開發、微信公眾號、云服務器、營銷型網站建設

廣告

聲明：本網站發布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯系客服。電話：028-86922220；郵箱：[email protected]。內容未經允許不得轉載，或轉載時需注明來源： 創新互聯