[Musica]
Tutto ok
quindi chi sono io a lavorare in scienze del segnale
anche aiutare con i giorni di devops austin che lavoro
su lynda.com Sono un autore di roba finita
sulle cose fondamentali DevOps DevOps
laggiù e mi sto riprendendo da molto
di anni di operazioni di lavoro e sicurezza
lavoro e tutto quello che roba e io
volevo iniziare in anticipo con un voglio
per iniziare con un riassunto, quindi se
sei come dopo questi tre prossimi
diapositive se si decide in questo modo non lo è
questa non è la parola che pensavo di fare
voglio andare da te sono libero di andartene
speriamo quindi che tu rimanga, ma io
pensa al percorso che proveremo
parlare di qui è che la sicurezza è ancora
fare il viaggio da DevOps non lo è
non è finita, questo è ancora in fase di sviluppo
la sicurezza del processo coglie nuove opportunità
per automatizzare e aggiungere valore penso che il
tubazione di mandata di solito pensiamo di esso
un po ‘come lo pensiamo come
Jenkins o Travis o qualunque altra cosa ma come
dobbiamo pensare alla pipeline in a
più ampio respiro e penso che la cultura e
veramente bisogno di allineare per aiutarci a fare questo
lavoro e copertura per esigenze di sicurezza
capita principalmente in tre aree in cui tu
eredita roba dove costruisci roba e
hai il tuo runtime e ne ho alcuni
consiglio sul lato come come comportarsi
auditor e altre persone che sono
bloccanti all’interno della tua organizzazione come
stai andando avanti così mi piacerebbe
iniziare con un viaggio del CD CI e come
come stai pensando di andare con
consegna continua che volevo darti
una piccola storia come quella che ho passato
che come sono andato attraverso questo processo in modo
L’ho fatto a tre diversi
aziende e attualmente sono al segnale
Scienze e ora facciamo circa 15 spiegamenti
un giorno ci stiamo muovendo in fretta siamo sempre
una specie di consentire alla nostra squadra per tipo di
vai veloce
all’incirca abbiamo fatto circa 10.000 spiegamenti
negli ultimi due anni e mezzo tipo di
sviluppo e noi eravamo tipo
iniziare le cose e forse di più
di quello ma ci piacerebbe un po ‘ come perso
traccia dei primi tempi non siamo noi
non esattamente sicuro e presto II era
Impegnato al lavoro era come se fossimo
costruirò questo lo costruiremo
cosa che ci permette di dispiegare e
aiuta a spingerlo fuori e sarai tu
e lo dimostrerai in una coppia
settimane e io ero tipo
oh dolce come quello è fantastico e così
So che hai detto una preghiera e ho letto il
libro di consegna continuo di John Bull
e va bene lo farò
questo succede e lo faremo
prova a cercare di farlo accadere così io
davvero sia il jazz che Dave sono davvero
grande e apprezzo molto il loro lavoro
che hanno fatto su quel libro è totalmente
vale la pena controllare
e una delle cose che erano veramente
utile per me pensare in questo è
come la consegna continua è quanto poco
puoi schierare in un singolo punto a destra
è come se volessi schierarmi come un
cambio di una riga ed essere in grado di farlo
attraverso l’intero oleodotto nel mezzo
il minor tempo possibile e noi
iniziato a parlare di parole come vogliamo
di ottimizzare per tempo totale di ciclo totale
è il momento in cui qualcosa entra
quando tu quando lo spingi nel tuo ottenere
il tuo github o il tuo controllo di versione
sistema e in effetti viene implementato
produzione quindi il tempo di spingere al momento
i clienti lo stanno usando e così all’inizio
eravamo come cinque minuti o sette
minuti e ora penso di averlo capito
per piacere vediamo cosa probabilmente ti piace
due minuti circa in media a seconda
come se modificassi determinati bit come
a volte invoca altri test
e tu capisci che sarà un tre o quattro
minuto distribuire e poi abbiamo costruito a
tasto giusto abbiamo detto costruiamo questo
cosa così chiunque nell’organizzazione può
entra e una volta che ti impegni a codificarti
distribuirlo ed è come se andasse
e quindi siamo anche una compagnia di sicurezza
e considerando che il software come servizio
società di sicurezza e volevamo fare
sicuro che la consegna continua e tutto
quella roba includeva sicurezza come questa
non potrebbe essere solo qualcosa che abbiamo solo
ha fatto e non è stato in qualche modo adatto
nel complesso la nostra storia generale e prima
Anch’io ero in scienze del segnale
questa idea di software robusto CIRCA piace
2010 e c’è questo delizioso
presentazione di Josh Corman David Rice
e Jeff Williams e in esso hanno iniziato
parlando di cose che ciò ha dato
noi nuove idee su cosa sia veramente la sicurezza
potrebbe essere e quindi penso di averlo fatto
dalle diapositive che ho fatto come nel 2012
era come la sicurezza come sempre
ci sono molti problemi con la sicurezza
sei un po ‘ giudicato in assenza di
eventi come il successo non è davvero ben
conosciuto
è alto costo è spesso negativo in a
molte organizzazioni avevano molta paura
incertezza e dubbio e davvero lo è
come una parola tossica come vuoi andare
in un’organizzazione e come si ottiene
promozioni e non fare bene è come
come se fossi la persona di sicurezza che sono
come va bene sai andare laggiù giusto
e nessuno è mai successo a
amico sì giusto ma robusto era
come questa idea e alcune persone dentro
l’ industria della sicurezza che era stata
lì per molto tempo ha iniziato a pensare
come se avessimo iniziato a parlare
su questo è un problema di qualità e noi
voglio iniziare a verificare come siamo
fornendo le giuste qualità che noi
iniziare ad aggiungere benefici al
roba organizzativa che sta affermando
roba che è positiva e stiamo mettendo
come quantità conosciute su cose e
quindi c’è un po ‘di tempo
dovremmo avere il software dovrebbe sedersi
con la stessa nave con come la scatola di cereali
etichetta per dirti come sai cosa
quali cose sono incluse in questo e in tutto
le dipendenze che sono incorporate in esso
ma al momento stavamo davvero cercando di
lottare con l’idea di ciò che fa questo
sembra di fare le cose in modo diverso
modo rispetto al modo in cui abbiamo fatto prima e poi
circa quattro o cinque anni fa ho iniziato
il progetto di sfida che è quello che farò
parleremo più tardi ma è un modo
per noi per aiutare tipo di prendere la sicurezza e
DevOps e tipo di unire quelli insieme
in un modo in cui i gruppi possono collaborare e
Ho trovato nel tempo come lo è la sicurezza
diverso in una integrazione continua
mondo e sicurezza ha un dilemma e
questo dilemma è che in realtà non
sapere cosa sta facendo in realtà non lo so
quanto bene sta facendo e penso che in
sicurezza abbiamo sempre tipo di siamo inventati
questa idea come te abbiamo questo
biforcazione binaria di come pensiamo
riguardo alla sicurezza, così è stato sempre noi
violato o siamo unbreached siamo
sicuro o non garantito e come non l’abbiamo fatto
resistere davvero era solo uno zero
tipo relazione lì e non lo so
è come se non fosse buono in realtà
non è vero uno stato di realtà è
in realtà una sovrabbondanza ism di cosa
stiamo cercando di farlo e penso che
vorremmo prendere questi complessi
sistemi e provo solo a dire come ho fatto io
ha un sacco di firewall e mi piace
tutto è bloccato e così come sono
c’è quindi ora siamo a posto
ma penso che noi iniziamo tipo di
allontanandosi da quella domanda di
se siamo violati o se lo siamo
sicuro e iniziamo a pensare a come funziona
sicurezza aggiungere valore
Penso che ci sia rimasto un altro
approccio siamo rimasti con un diverso a
diverso un modo diverso di pensare
e penso che sarà più in
linea con il tipo di futuro come
la sicurezza sta crescendo, quindi lo farò rapidamente
riassumere riassumere come penso che noi
arrivato a questo stato così agile è venuto sul
scena e tutti erano davvero eccitati
e ha provato a rimuovere il tipo di
capacità di non sapere quello che stiamo facendo
e come stiamo arrivando ha appena detto
stiamo andando a che andremo a spedirlo
giusto e in gran parte ha funzionato in un grande
e un gran numero di modi, ma in realtà
appena creato una cultura che ci hanno dato
cicli rapidi di feedback e consegna rapida
ma non è mai veramente
oh mi dispiace, ho avuto queste diapositive
per favore , questa è la mia diapositiva divertente così
quello è circa e quelli sono circa come
comico cominceranno a prenderlo, ho capito
avvertito sì, voglio dire, lo so che lo è
pomeriggio va bene ma ma noi
non ha davvero preso una Jellal
operazioni come e si sono fermati
lì e penso che fosse quello
ogni volta che abbiamo iniziato a vedere il prossimo aumento
giusto e questo è quando DevOps è arrivato
scena c’è una continuazione di agile
operazioni in Tom ylim e Shelley
libro dice che la stessa cosa è DevOps
l’applicazione della metodologia agile a
amministrazione del sistema e poi vediamo
nel 2009 c’è il famoso che facciamo dieci
distribuisce un giorno su Flickr
presentazione di velocità questo è un grande
conferenza sulle operazioni di sistema e
tutti là appena sorta di perso
sono come te che sai che schieri
una volta al trimestre sai se sei fortunato
forse una volta al mese se sei come un vero
cowboy o qualcosa del genere ma non lo stai facendo
tendono a giocare un giorno che è ridicolo
ed è stato a quella conferenza e a
coppia altre cose che accadono intorno
quel periodo di tempo ciò che DevOps davvero
Ho iniziato a decollare con Patrick Dubois
i primi giorni DevOps ha coniato il termine
e ha avuto l’ evento qui non troppo lontano
qui e ancora e nei primi giorni lo sai
siamo stati veramente bravi con Photoshop in
La comunità DevOps quindi eravamo come
abbiamo appena sorta di Volevamo come
illustra il nostro problema, giusto è il
sviluppo e operazioni a due
cose incompatibili perché tipo
aveva questo muro tra noi e così siamo
spendere davvero molte volte lacrimando
giù per il muro sono come se tu andassi a
DevOps gli eventi di oggi ce ne sono molti
colloqui culturali perché in molti
organizzazioni questo è ancora questo è
ancora esistente o ancora di tipo nel
processo di attraversare questo e noi
sempre incapsulato con questo con
questa presentazione e questa o questa
grafica ed era proprio come è
una specie di questa immagine incarna il genere
Di tutti i DevOps ho dovuto addestrare alcune vendite
ragazzi di recente e ho detto che sai come
questa è la grafica che ho appena mostrato
loro questo grafico nel precedente
grafica e io ero come DevOps e
loro sono come sì, ce l’ abbiamo
come se fosse proprio così
hanno l’aspetto emozionale ed è per questo
passiamo davvero molto tempo in
pezzi culturali di DevOps all’inizio
abbiamo anche trovato molte organizzazioni
hai visto un rapporto di dieci a uno di
gli sviluppatori di operazioni come gente così
è un ordine completo che sai che è
più o meno diverso per diverso
organizzazioni diverse squadre diverse
cose che stai facendo ma eccolo
un problema di ordine di grandezza che noi
solo non sono stati in grado di risolvere subito
Patrick Dubois dice che conosci la cultura
è l’ aspetto più importante di DevOps
e per avere successo nell’impresa
e penso che fosse come nel 2011 o nel 2012
c’è il Qatar IT Journal e lì
c’era perché c’erano i primi giorni
ed è come si può fare DevOps in
impresa e io ero in una delle squadre
quello è stato descritto in quello del mio mio
collaboratori Ernest molar e buon amico
ma il nostro team era appena arrivato al
Giusto tempo come se fossimo andati in cloud
nel 2010 con un tipo di charter e
abbiamo anche detto che faremo
questa cosa si chiamava DevOps ed era tipo
certo che noi non ci importa non andiamo
fallo e poi abbiamo iniziato a vedere come
come questo è stato in grado di influenzare un sacco di
cambiamenti nell’impresa ed è stato
davvero molto divertente ma davvero
mi ha spinto a pensare alla cultura come come
siamo noi come stiamo cambiando la nostra cultura
e penso che ci siano quattro chiavi che io
ti lascerebbe alla cultura e io no
un esperto di questo non sono uno psicologo
o nessuna di quelle cose, ma ho sempre
visto come se tu avessi iniziato tipo
la costruzione di una comprensione reciproca che si
creare viste condivise della lingua condivisa su
come funzionano le cose e poi metti gli strumenti
sul posto che aiuta a incoraggiare tutto questo
collaborazione e quelli pre
cose che ho ho un bambino di cinque anni
figlia e quando lei aveva circa tre anni
le sue stanze si posizionano così esattamente quando
guardi fuori dalle finestre puoi vedere il
la luna come scenario e così ogni
il tempo lo sai non sempre ma
ogni volta che c’è il giusto
periodo dell’anno e tutto ciò che siamo e il tempo
quella notte quando lei andrà a letto e
lo vedremmo e guardiamo la luna e
parliamo della luna e abbiamo iniziato
avendo come questi stessi valori e il
stessa comprensione e poi io
ha iniziato a capire come un paio di giorni
dopo ero come mi sono emozionato come me
sarebbe tornato a casa e lo avrei detto a mia moglie
era come oh stiamo per vedere la luna cuz
come se la luna fosse fuori stanotte e poi
poi ho iniziato a installare app come moon
monitoraggio delle app e app meteo simili e
come cercare di sapere come quali fasi il
Luna ed è come ora potrei dire il mio
figlia di tre anni e impressionarla
con la fase lunare ti conosci
so che è ridicolo, ma ma
come tutte quelle cose hanno iniziato a cambiare
proprio come è successo a una cosa nuova per me
come una nuova priorità è successo e io
pensavo che fosse per me penso che tipo
di illustra quelli quattro quattro chiave
aspetti ma tutto questo lo sai che siamo gentili
di qui come siamo arrivati dove era
sicurezza e tutto questo ha solo sicurezza
stato seduto da AND credo davvero
loro non hanno davvero
partecipato a questo e sono solo
Ora, in un certo senso, sto facendo la modifica
parte del problema è come la sicurezza
provengono sempre da una conformità guidata
aspetto è stato inevitabile nel nostro
l’industria ma quello era un modo
che abbiamo passato gli ultimi 10 15
anni c’è questo libro davvero fantastico
riguarda la sicurezza del browser ma il
primo capitolo nel libro che va e
questo parla di questa storia di
sicurezza dappertutto da come il
Anni ’60 a cui piace il giorno moderno un browser web
e dove ci sediamo e mi piacerebbe leggere
questa citazione per te di cui sta parlando
valutazione del rischio ma sicurezza
la valutazione del rischio introduce un pericolo
fallacia che è l’inadeguatezza strutturata
quasi buono quanto l’adeguatezza e quello
sforzi di sicurezza sottofinanziati più rischi
la gestione è altrettanto buona
lavoro di sicurezza finanziato e fa così
quello che infastidisce qualcuno qui fa quello
lasciati a disagio, sì, ce l’ha fatta
come me fatto proprio sconvolto io sono come quello
che diamine piace perché dovremmo
come credo che potremmo avere questo
potremmo avere solo cattiva cattiva fattura
cattiva qualità e basta dire perché abbiamo messo
abbastanza struttura intorno ad essa abbiamo messo abbastanza
le politiche legali in giro abbiamo comprato abbastanza
assicurazione intorno ad esso quindi ora stiamo bene
come quello che non ha senso per te
non lo farebbe nel mondo reale perché
lo facciamo con il software e perché lo è
ecco perché è questa idea e anche noi abbiamo visto
organizzazioni c’è questo c’è
un altro problema come se non fossero solo dieci
a uno è come cento a uno o
300-1 o trecento per
metà come se non importa cosa
i numeri reali sono ma simili
tutti quelli che ho chiesto come questi
questi sono di ordine di grandezza
problemi e sicurezza non hanno il
risorse e uno dei segreti nascosti
sulla sicurezza è come se non ci fosse
abbastanza persone nel settore da risolvere
questo problema piace se hai detto domani
vorremmo 3x i nostri team di sicurezza
come se non potessi farlo non c’è
abbastanza corpi per farlo nel settore
e hai visto che vedi le persone della sicurezza
hop lavori ogni diciotto mesi perché
è come se i reclutatori continuassero a chiamarli
e continuano a farlo è proprio come
come lo sviluppo ma forse anche come
più caldo ora come è bello è
pazzo
e anche sicurezza a causa di tutto questo
altre cose perché sono state
dipendente da conformità e tipo di stato
stato seduto nell’organizzazione che
modo perché c’è il grande Delta
tra voi sai quante persone ci sono
lavorare sulla sicurezza è culturale
outlier e molte organizzazioni e
loro non vogliono veramente la stessa cosa io
aveva un amico così ho sempre tipo di stato
il ragazzo della sicurezza della squadra e uno di
i miei amici e lui erano davvero come i miei
manager al momento era come bene
sicurezza che voi ragazzi preferiate semplicemente avere un
sistema che è spento e
staccato e stavo bene, suppongo
ma così mi fa male
sentimenti che pensi che io sia come mi piace
sappi che se lo facciamo come ho non ho
lavoro come lo sai che non sono io non sono un
idiota
a destra e poi Già si sa che non cerco
per farlo perché ho vissuto il dolore
dall’altra parte, ma quanti livelli di sicurezza
la gente ha mai detto come quelli stupidi
gli sviluppatori hanno ragione nessuno ha sentito
le persone di sicurezza dicono che come se un amico
l’avrei detto giusto, succede
e non è che non si senta bene e
ma penso che questo dimostri che è un
dividi anche tra i due ho trovato
questa bella palestra in a
un white paper da queste persone che stanno
fare firewall per app Web e mi piacerebbe
leggendo questo a voi questo è ogni aspetto di
la gestione dei firewall delle app Web è in corso
processo che è l’antitesi di a
improvvisa e dimentica una tecnologia che è
il vero punto di questa ricerca si trova a
massimizzare il valore massimizzare il valore dal tuo
web app firewall è necessario andare con
gli occhi di tutti si aprono allo sforzo
necessario per ottenere per ottenere e mantenere il
Ride correndo in modo produttivo così quando loro
continua a dirti che ti servono due o
tre dipendenti per fare proprio questo molto
tecnologia discutibile che è per nessuno
qualsiasi effetto e non ne abbiamo abbastanza
persone del settore comunque e ora
stai dicendo come ora la mia nuova attività
sta gestendo questo pezzo di junky
tecnologia giusta e io non cito il
nome perché non lo voglio sapere
prenderli in giro pubblicamente, ma alla sicurezza
sempre preso lo stesso approccio come
hanno messo un limite molto pesante
risorse è un grande approccio al collo di bottiglia
c’è un articolo che immagino l’ anno scorso in
Rivista di fortuna il tempo medio per
consegnare per i progetti aziendali no
solo come è peggiorato è aumentato
negli ultimi cinque anni che conosci
come una persona DevOps ti fa davvero
triste come sono, perché è così e poi
la prossima cosa che dice bene la crescita
di funzioni di sicurezza che è troppo
scarsamente coordinato e risultante a
proliferazione di nuovi compiti nelle aree
di conformità privacy e dati
la protezione è la ragione principale e il
colpevole principale per quello e così ok così ora
ora vediamo che la sicurezza è
causando un vero problema ok questo è un nuovo
uno è 30 volte più economico da sistemare
difetti di sicurezza e prod sono in dev
contro prod newsflash 2002, giusto e e
e così sono arrivato questo nel mio
posta in a in un volantino da una sicurezza
compagnia come l’anno scorso piace
è stato come hey abbiamo notizia come se fosse
è più una spesa che stai scherzando
ho ragione, ma la sicurezza è sentire il
stessa pressione come se fossero indietro come
beh, va bene così che potrebbe essere stato il
più divertente quindi sono un po ‘ preoccupato
il diritto per il tuo bene per il resto
le diapositive perché quello era il mio
il migliore va bene, comunque, di sicurezza
inefficace oh questo potrebbe essere carino
anche divertente mi piace quello
tutto bene signor fan dei robot ma penso
la sicurezza sa che deve cambiare
o morire e credo che sia vero nel
storia e penso che l’abbiamo visto attraverso
attraverso il modo in cui Stephen Bullivant è
scritto il libro del firewall che era
era davvero enorme e uscì con un
prenotare l’anno scorso o credo un anno e un
mezzo fa lui dice le aziende stanno spendendo
molto sulla sicurezza ma leggiamo a
massicci attacchi informatici e
chiaramente qualcosa è sbagliato il ROO the
il problema è duplice, stiamo proteggendo il
cose sbagliate e stiamo facendo male
produttività nel processo quindi è lui
vede che la sicurezza è come in entrambi
modi come causare un problema non lo siamo
aggiungendo valore e stiamo proteggendo il
cose sbagliate, certo che tu ti conosca
potrei stampare un milione di questi
scivola e mostra come hanno chiesto sicurezza
è costoso l’ultimo DevOps il
stato del rapporto DevOps dell’anno scorso
gli artisti trascorrono il 50% in meno di tempo o
problemi di sicurezza mediani piuttosto che bassi
performer organizzazioni ad alte prestazioni
raggiungere la qualità incorporando
squadre di sicurezza e sicurezza nel
processo di consegna e qui ci sono alcuni di
i risultati che sono venuti fuori da questo
ricco magnate che è un grande nella sicurezza
l’industria alla RSA Conference si è alzata e
detto e di fronte a una grande folla
e ha detto una grande percentuale del
aziende che sono in giro nel
show floor qui non sarà qui in cinque
anni e ha detto che lo sai fondamentalmente
tutto ciò che sappiamo del
il settore della sicurezza sta cambiando questo noi
vedi che la scritta è sul muro e
tutta quella roba sta accadendo mentre andiamo a
un paio di anni fa Zane Lackey ha dato questo
presentazione su come a Etsy loro
consegnare più veloce meglio meno costoso e io
l’ ho visto e ho pensato che fosse così
proprio come amico di Zane, ma io
anche era davvero molto eccitato da vedere
che questo approccio va bene così andiamo
parliamo della pipeline del CD SEI e di cosa si tratta
sembra assomiglia quindi penso che per
stanno andando a fare pipeline di persone diverse
guarda un po ‘diverso e
la maggior parte delle persone la scomporà in alcuni
raggruppamento di questo come costruzione del design
operare o eseguire un deployment di build di progettazione
Mi piace anche pensare che l’ereditarietà sia
come uno dei passi lì e io sono solo
andando a concentrarsi su questi tre punti
ereditare costruire e operare e lo farò
Spiega cosa intendo in questo qui e in
ci sono altre cose che puoi fare
in questi pezzi come dovresti tu
dovrebbe fare tutti i pezzi di design che ci sono
altre cose come per
e nel tuo design sai che lo sai fare
scrivere modelli di minacce per il flusso di dati e tutto
quella faccenda, ma io non sono davvero un
esperto in tal modo che non ho intenzione di spendere
tempo su quello e poi sul deploy
pezzo totalmente dovresti gestire il tuo
anche i segreti nascondono altre cose del genere
non andare a parlare di questo, perché
questo è veramente specifico per la tua lingua
la tua struttura e tutte le cose che
si sta utilizzando, ma mi piacerebbe parlare di
questi questi tre e questi sono i
tre considerazioni che vorrei proporre
e forse forse un paio di domande
puoi pensarci potrebbe essere d’aiuto
guidare guidare avanti come sei
stai passando qui
cosa ho inserito nella mia applicazione
questo mi lascia vulnerabile e penso
non solo sui pacchetti coppia
che sai installare con il tuo
installa con la tua app vera e propria
hai chiamato là il tuo
dipendenze nel app, ma pensare
come per quanto riguarda il livello di sistema operativo che dire
il fornitore che sto usando
distribuirlo sul talk su roba docker
questa mattina o questo dopo questo
il pomeriggio è stato fantastico perché come pensi tu
su tutte le cose che stai raggruppando
è come vuoi un pacchetto in 128
Meg o cinque Meg di dipendenze
giusto e puoi iniziare a romperlo
roba giù per la build do do my build
e costruire test di accettazione e
test di integrazione cattura problemi di sicurezza
prima del rilascio come quante persone sono
facendo test di sicurezza nella loro build
fasi coppia sì, va bene, ma tu
so che penso ci sia molto di più
ciò può essere fatto in quella fase e noi
spesso appena sorta di saltare da e dire
hey ci prendiamo che fino raccogliere che fino
più tardi e poi operativamente potrebbe essere
un attacco in questo momento e se mi piace
sta funzionando in realtà stanno ottenendo
qualsiasi punto d’appoggio di successo dell’azienda
Lavoro per noi tipo di gioco in questa risata
spazio un po ‘ o suoniamo questo
ultimo spazio ma ti chiediamo di sapere che lo chiediamo
la gente tutto il tempo come fai a sapere se
sei stato attaccato e come te solo
di solito vuoto guarda bene e non lo farà
fuori dai nostri clienti sarei cattivo ma
come se fosse un po ‘come questo è indicativo
del settore che è indicativo di
cosa sappiamo veramente cosa sta succedendo
con il nostro sistema Shane e Lisa hanno dato
questo discorso durante i giorni DevOps Austin
e lo ruppe in queste quattro fasi
e mi è piaciuto perché davvero chiesto
ognuna di queste fasi domande diverse
e così ho preso in prestito alcune delle mie idee
e così voglio solo assicurarmi che lei
ha avuto una buona copertura qui
sicurezza nella pipeline di consegna così
ereditare quello che sai che abbiamo già
ne ho parlato un po ‘oggi
okay apri SSL proprio all’improvviso è
come oh ho un sacco di problemi perché
perché sto usando questa cosa o
shellshock perché sto usando questo te
conosci la vecchia versione di bash o qualsiasi altra cosa
La corsa di Gareth Grove è stata fantastica
presentazione su cosa c’è dentro la
contenitore e che mostra il numero di quanti
i contenitori hanno vulnerabilità in loro
ci sono statistiche là fuori che dicono come
Il 30 % delle immagini docker è disponibile
hanno vulnerabilità in questo momento dr. mozzo
puoi effettivamente vedere le vulnerabilità
elencato con diversi tipi di
contenitori se stai usando qualcosa
come Ruby dovresti fare come a
audit di bundler per verificare come le gemme
tu vai là, c’è l’altro
altri strumenti come Linneo che fanno il
stessa cosa se stai facendo il servizio
c’è una cosa chiamata snick che fa
controllo delle dipendenze per il servizio ma
in particolare un nodo c’è una panca docker
che controllerà decine di comuni
buone pratiche e cose che sei
facendo per distribuire ee e trattare
con contenitori in produzione anche a
un buon amico di Erland ha questo
libreria chiamata ritiro Jas controlla se
stai usando qualsiasi JavaScript che sia
non è più un bene per cui lo facciamo
nostro per i nostri siti dove stiamo consegnando
cose e non sai mai come
ogni volta che qualcosa ti tiene qualcosa
staticamente un sito statico statico e
allora conosci la versione di jQuery o
qualunque cosa tu stia usando non ne ha più
bene perché ne ha un po ‘
vulnerabilità che vuoi essere allertato
a questo , mettendo tutta quella roba dentro
la tua pipeline di costruzione è davvero grandiosa sì
e penso che sia abbastanza adatto per Kimber
se ho altre cose su questo ma
vuoi strumentare il tuo sistema di CI
con tutti i controlli per tutte le cose
che erediti e questo è altrettanto
come è possibile se si sta utilizzando
contenitori come twistlock e aqua o
sai guardare alcune delle cose tipo
e Blackduck se hai un po ‘di soldi ma
c’è un sacco di cose gratis come quelle
puoi inserire I in base al tuo
linguaggio e tutto ciò che ti interessa
tira quelli che li attirano
il lato di sicurezza della costruzione
funzione di qual
e penso che quando guardiamo tutti
lingue di codice questo è da un cappello bianco
rapporto di sicurezza come un paio di anni fa
se lo guardi attraverso non importa
in quale lingua ti trovi
hanno tutti vulnerabilità così trasversali
il top è come ASP ColdFusion net Java
PHP Perl e poi su questo a sinistra
lato mano c’è lo scripting cross-site
e tutti come OWASP top 10 tutti i
verso il basso e stanno solo mostrando come
tutte le lingue hanno problemi ovunque
e quindi non possiamo dire semplicemente come sono
usando andare come sto bene ora o io
posso solo dire oh o usare Non lo so
sì, non lo so è come si sceglie
una qualsiasi delle lingue qui non lo fai
voglio farlo così andavamo al lavoro
quindi credo che prenderò su quello ma
anche un altro problema con sicurezza e
il modo in cui ti piace lo strumento
all’interno di una pipeline di build è la sicurezza
gli strumenti sono veramente rumorosi, li gestisci
e se prendi in mano solo come un
scanner pronto all’uso e lo colleghi
al tuo sistema che vuoi fare
alcuni test su di esso vorrebbero provare a ragno
e poi lo saprai elencare
un sacco di roba e poi verrai
torna come tre ore dopo e lo farà
o si blocca o ti piacerà mostrarti
qualcosa può essere utile o verrà mostrato
tu un sacco di cose che non sono davvero
vero e se hai mai avuto come nessuno
dovevo occuparmi di scanner di sicurezza, quindi
Ho visto una coppia ridacchiare, quindi se hai avuto
trattare con quelli che conosci lo sono
parlando di giusto e poi alla fine
sei tipo rimasto con questo gigante
PDF o qualsiasi altra cosa da trattare, ma così io
sentivo che avevamo davvero bisogno di un nuovo
modo di collaborare in modo simile
operazioni degli sviluppatori e sicurezza e
per vedere cosa potremmo fare per farlo
capita e speravo di farcela davvero
lingua che tipo di mettere un po ‘di
quella collaborazione in pratica e così
è per questo che ho iniziato a lavorare su a
progetto chiamato guanto di sfida
chiamarlo open source con licenza MIT
viene fornito con un sacco di fasi pre-inscatolamento
questo ti aiuterà a comporre e in ciò che noi
chiama l’attacco archivia alcune istruzioni per andare
avanti e come essere cattivo con il tuo codice
che è la nostra piccola tagline che ci piace
per usarlo non installa alcuno strumento ma
si siede davvero bene dentro il tuo
La pipeline CI CD è costruita sopra
cetriolo non è davvero destinato ad essere un
sostituzione peer per come un tipo BDD
cosa ma funziona allo stesso modo
quindi è buono
buona gestione dello stato di uscita e tutto
che puoi controllare su Gamla org
ma l’idea generale nel nostro stesso
la grafica liscia qui è quella che vorresti
esegui il tuo codice attraverso il guanto di sfida lì
Eccolo
hai visto che proprio non ne ha bisogno farlo
di nuovo okay sì, sarai come dentro
sarebbe il tuo e il tuo modulo di feedback
come una grafica fantastica come spero
che sarà okay è come
questa è la battuta piena che è tutto ciò che ho ottenuto
comunque mi limiterò ad attaccare alle diapositive
ora quindi se guardiamo nella directory noi
guarda i file di attacco e arriva
tutti quei file di attacco e tu sei solo
iniziamo facendo come a
installazione semplice palestra abbiamo anche docker
contenitori che penso tu abbia un
un’altra diapositiva ma se leggi
questo è un po ‘come un inglese
approccio linguistico qui così dato sono io sono
alla ricerca di script cross-site e io sono
lo farò contro un URL sul mio sito e
puoi renderlo più specifico così come su
la mia pagina di login che ho intenzione di cercare questo
e poi gli dai uno scenario
con qualche descrizione lì e poi tu
dì dato che ho gli strumenti che io
necessario installato quando lancio un
attacco contro questo URL
Mi aspetto che l’output dovrebbe avere
zero problemi rilevati se non falliti
non ha superato il test e invia un avviso
stato fuori stavo solo parlando con a
amico a UnitedHealthcare e lui
mi diceva che è come abbiamo
salvato milioni di dollari usando la ghirlanda
per la più grande industria sanitaria
proiettare là fuori in questo momento nel
Gli Stati Uniti e io eravamo come oh uomo I
avrei dovuto capire che dovevo prendere decine di
quelli che conosci ma sai che è davvero
sai dire che sono stati in grado di farlo
inizia a prendere tutti questi pezzi del loro
applicazioni su tutto il loro stack I
pensa che ci sia questo progetto
trecentoventotto applicazioni
stava dicendo che ha iniziato a mettere dentro come
controlli predefiniti di default in modo da cercare
scripting cross-site alla ricerca di sequel
Iniezione si può tipo di impostare alcuni
parametri e like stava iniziando ad essere in grado
per preparare tutte queste cose insieme e
ora hanno fatto testare tutti a
barra bassa una soglia di sicurezza della barra bassa
lì ho fatto un workshop con un paio di saygus
circa un anno e mezzo fa con Matt
Johansson ed è
è a questo bit link, quindi se lo sei
interessato a questo ha otto laboratori per
come usare il guanto di sfida
ha usato il guanto di sfida per fare le cose
come i controlli di rete, se vuoi
fare cose del genere o, se si desidera
verificare la presenza di problemi di applicazione come
scripting cross-site o sequel the
iniezione sequel o altre absse non lo faccio
sappi che sento che non so cosa io
non sapevo cosa volessi dire che ci sono
mi dispiace per quello
e poi gestendo i report in modo da poterlo fare
puoi segnalare in due formati diversi
si può pompare fuori a JSON o qualsiasi altra cosa come
per collegarlo con le variabili di ambiente
e, soprattutto, ti mostra come farlo
in un sistema CI e una configurazione CI, quindi non c’è
il link bitly ma puoi controllarlo
di nuovo è tutto usando questo progetto
all’interno del nostro repository invece di github
appena chiamato guantoni gotici
– demo e sono davvero dispiaciuto per il
ortografia come quando abbiamo rilasciato la palestra
originariamente come la palestra con un EE era
preso così sai che hai un accordo con
il guanto più piccolo a vita bassa con esso
solo un tee lì e quindi è abbastanza facile
per iniziare abbiamo anche un antipasto
kit che installa una macchina virtuale e
ti porta a bootstrap lì e davvero
stiamo solo cercando di aiutare a riflettere
come creare loop di feedback proprio noi
voglio creare un sacco di feedback loop
dalle operazioni di sviluppo e sicurezza
e questa è la speranza che farebbe il guantone
fare all’interno di quelle squadre perché ora
sei in grado di prendere la conoscenza
vincolato e tempo di risorse
le persone legate nella sicurezza l’una
a 110 vinto e sono in grado di implementare
il loro tipo di base di conoscenza nel
fine del sistema e tutti gli altri possono
riferiscilo e non devi essere un
esperto di sicurezza per vedere come oh come quello
il test ha iniziato a fallire ogni volta che ho controllato
in questo nuovo codice come quello che sai
potresti non sapere cosa sia effettivamente il test
ma ora puoi arrivare alla radice di
come va bene ora ho cross-site
scripting per qualche ragione non lo era
non ero sicuro del perché anche la demo di Gauntlet fosse
anche agganciato all’interno di Travis così corre
Build CI se ti interessa
verificarlo e questo è quello
quelli sembrano un sacco di squadre stanno usando
Contenitori di gallatina perché sei come
Non voglio che Ruby sia così anche per il nostro
roba all’interno di singole scienze
usiamo chiamarlo in un contenitore docker e
si gira solo esegue tutti gli attacchi
e poi
e scopre i risultati per noi e per te
puoi verificarlo alla finestra mobile Gauntlet
altre cose che potresti voler controllare
in questo spazio zette attack proxy è un
progetto davvero interessante che ti permette di fare se
le tue visualizzazioni come un web proxy ma lo lasciano
fai replay di cose e sei capace
fare entrambi i test fuzz e solo altri
tipo di attacchi con esso pure se
stai facendo analisi del codice statico
qualcosa come breakman è davvero fantastico
strumento penso che sia stato menzionato un po ‘
un po ‘prima e questo è ma quello è
in particolare per Ruby, dai un’occhiata
va bene penso che siamo nell’ultimo ultimo
un po ‘ come stanno tutti noi
stando bene
va bene così configurazione run time voi
sapere in precedenza di cui stiamo parlando
la configurazione è una delle più grandi
problemi che abbiamo e e tu sai
problemi che risolviamo non ti ho mostrato
delle altre diapositive da quel cappello bianco
rapporto ma è come problemi che abbiamo
oggi e poi poi torna un anno
più tardi percentuale di problemi che ha ottenuto
corretto ed è come si, sai
è come o che ne dici di quanto spesso un insetto
resta aperto in una società che sei tu
Conoscenza di livello medio o inferiore è come 200
giorni 500 giorni qualcosa di pazzo e il tuo
pensi bene come sia anche
possibile ok così per la configurazione
Mi piace lo chef nelle specifiche che puoi fare ma tu
sapere per usare lo chef come quello è utile
se usi qualcos’altro, sai
controllali, verificalo per quelli
so solo cose che so bene
ma puoi fare audit e fare CIS
punti di riferimento su macchine altre cose che
si potrebbe guardare per i fornitori di cloud
mai fare stack stack alienvault lo faranno
guarda la configurazione del tuo cloud e guarda
come se qualcosa cambiasse tra e
essere in grado di fare rapporti su ciò che so
ci sono altre compagnie nello spazio ma
Ho alcuni amici in alcuni di quelli
luoghi e penso che quelli sono abbastanza carini
buone opzioni per iniziare almeno a prendere un
guarda lì ok così per il tempo di esecuzione va bene
e questo è il mio meglio
gif e il tutto va bene così va bene te
sapere che il tempo di esecuzione è probabilmente il più
luogo importante per iniziare e penso
questo è il posto più importante per
strumento perché sei effettivamente in grado
per vedere cosa sta realmente accadendo
la tua domanda e può informare alcuni
delle altre cose a valle così tu
voglio pensare a sono sotto attacco
e dove sono sotto attacco puoi ottenere
un sacco di beneficio usando come qualcosa
come la modsecurity e il pompaggio che è finito
a un deposito di log ha fatto una pila di alci e
segnalazione di che altre cose che si
voglio guardare in questo spazio o come
raschiare la prossima risata o come il web
piattaforme di protezione che è una specie di a
marketing boccone lì, ma dovresti
guarda anche in altri altre aziende che ho
sapere che
La compagnia di Ruben si sistemerebbe anche qui
su questa lista in modo assolutamente desiderato
dai loro un assegno e il
il team di marketing avrebbe visto questo
dovevo dire che loro sono i nostri
meglio, ma davvero come vuoi essere
facendo raspa che vuoi fare
qualcosa in questo spazio per vedere come cosa
è in realtà sotto attacco cosa sta succedendo
qui va bene così tu vuoi iniziare
capire come rilevare ciò che conta
quindi se questa è la strumentazione del codice
nella stessa app stessa o qualunque altra cosa
stai cercando cose come account
takeover tenta quale parte del sito
ottiene più attacchi di altri
probabile di vettori di attività di attacco
difetti logici ho avuto questo davvero
interessante conversazione con un amico
e stavano dicendo quello che hanno visto e
il loro runtime ha effettivamente informato come
stavano andando a dare la priorità al loro arretrato
perché stavano facendo tutti questi bug
taglie e loro erano lì lo sai
dicendo okay
$ 20.000 in palio se si hackerare il nostro
hackerare il nostro sito tutto ciò che è venuto in alto
o critico come quello è stato risolto come
immediatamente tutto è venuto in media o
basso solo tipo di andato in arretrato
e hanno pagato come cento dollari
o qualsiasi altra cosa per la taglia ma
solo mai veramente in ordine di priorità nel loro
il loro ambiente e poi attraverso
aggiungendo la strumentazione runtime erano
in grado di dire oh come se fossimo i nostri dati di accesso
pagina diventa come questi tipi di attacchi
e come facciamo abbiamo qualcosa con quello
tag che è nel nostro arretrato oh sì, andiamo
dare la priorità a quelli come quelli sono vettori
che le persone stanno attivamente andando contro
il nostro sito e quindi vogliamo conoscerci
voglio sapere che avrei dovuto essere
dovrebbe avere oh, va bene se stai facendo un
bounty bug che è proprio qui è un paio
dei siti di bug bug che sono
bene questi sono anche commerciali ma tu
posso dire che puoi gestirne uno tuo
certo, ma questi sono qualcosa di gentile
di renderlo facile e facile da colpire lì
la cosa che ho trovato è a è un problema è
un sacco di volte le persone saranno gentile da parte tua
Diciamo che voglio fare uno sviluppatore di condutture
andando a spingere il codice e poi dicono
cose come
sai che devi separarti
doveri e sai esattamente come andare
considerato dannoso, diremo
separazione delle funzioni è considerata
dannoso non siamo noi non siamo persone voi
sapere il lancio di missili nucleari giusto
non hai bisogno di due persone per girare una chiave
al tuo ti piace il tuo personale pagato
sono gli ingegneri che dovrebbero essere
permesso di essere fidati con loro
ambiente e puoi difenderlo con
anche nel PCI penso che sia come PCI 36 o
posso ricordare il numero esatto ma lì
è un piccolo vino che dice di aver bisogno
avere separazione dei doveri e se invece
leggi la guida che dice semplicemente il
lo stesso account utilizzato per lo sviluppo
non può essere usato per usare per spingere
produzione non dice che lo stesso
la persona non può farlo o qualsiasi altra cosa come a
molte imprese e grandi organizzazioni
ho interpretato in questo modo che ho un
amico che era un revisore dei conti e lei è come
oh sì, lo abbiamo fatto per piacere
decenni dove dove la gente vorresti
conosci solo la stessa persona che ha sviluppato
lo sai anche che lo sta spingendo piccolo
squadre e tu puoi prendere la stessa legge e
elaborare un processo di controllo dell’approvazione e
come farlo funzionare per quattro grandi squadre e
lei stava lavorando in una grande azienda facendo
la stessa cosa e il modo in cui è così
lo fanno per cui investi solo
migliorando la tua pipeline assicurandoti
che i controlli sono così
sviluppo e test e produzione
gli account non corrispondono e questo non esiste
da un po ‘di promozione in corso c’è un
c’è un kit di strumenti chiamato
Il toolkit di difesa dell’audit di DevOps è stato gentile
di un sacco di sicurezza e conformità
le persone che hanno detto okay vogliamo dare
persone che stanno facendo DevOps e
sicurezza un modo per andare avanti senza
essere bloccato da tutti gli avvocati e
ragionieri e roba e così loro
produrre questo PDF di 20 pagine e tipo di
passa attraverso gli aiuti possono essere diversi
specifiche di conformità e si rompe
perché sistema per sistema controllato da
controlla e ti aiuta a mappare per dire sì
ecco come superiamo questo e così
solo un piccolo argomento se la tua
auditor e tipo di questo documento e
dovresti essere dovrebbe essere quadrato per andare se
non sei mi piacerebbe sentire che l’amore per
okay, quindi ci sono tre cose che io
imparato, vieni nel viaggio e penso
siamo un po ‘in ritardo sul tempo tre
Le lezioni che ho imparato una sicurezza non sono un
evento binario quindi vogliamo abbracciarlo
feedback loop e continuamente tipo di
continuamente innovare lì abbiamo anche
voglio pensare alla difesa guidata dagli attacchi
invece di conformità guidato guidato
difesa
nessuno aggiungerà valore
semplicemente selezionando la casella di controllo di
il rispetto, ma se siete in grado di
effettivamente sapere dove sono le persone
una panoramica su dove stai subendo
attacchi o essere in grado di difendersi
che nello sviluppo o nella corsa
il tempo come quello è davvero utile anche
c’è un sacco di movimento
dentro se sei in sicurezza o il tuo
un amico in sicurezza potrebbe suggerire a loro
come ogni volta che bloccano qualcuno
sta per andare intorno a loro e in
L’ufficio di Riot Games ha questo grande
segno che dice come se tu fossi un bloccante
se la sicurezza funziona come bloccante
sarai diretto verso destra è
perché le persone stanno per ottenere il lavoro
fatto che devono essere fatti
se la sicurezza dice che possono o no
vuoi essere parte di aggiungere valore a
la catena e sai mettere tanto
automazione in atto, ma non non fare
quelle altre cose quindi va bene così
ecco la sintesi che abbiamo attraversato
prima speravo che andasse bene come me
ha detto se vuoi le diapositive che puoi colpire
quell’e -mail dovrei rispondere automaticamente a te
ed io credo che sia così tutte le domande
Tutto ok
quindi chi sono io a lavorare in scienze del segnale
anche aiutare con i giorni di devops austin che lavoro
su lynda.com Sono un autore di roba finita
sulle cose fondamentali DevOps DevOps
laggiù e mi sto riprendendo da molto
di anni di operazioni di lavoro e sicurezza
lavoro e tutto quello che roba e io
volevo iniziare in anticipo con un voglio
per iniziare con un riassunto, quindi se
sei come dopo questi tre prossimi
diapositive se si decide in questo modo non lo è
questa non è la parola che pensavo di fare
voglio andare da te sono libero di andartene
speriamo quindi che tu rimanga, ma io
pensa al percorso che proveremo
parlare di qui è che la sicurezza è ancora
fare il viaggio da DevOps non lo è
non è finita, questo è ancora in fase di sviluppo
la sicurezza del processo coglie nuove opportunità
per automatizzare e aggiungere valore penso che il
tubazione di mandata di solito pensiamo di esso
un po ‘come lo pensiamo come
Jenkins o Travis o qualunque altra cosa ma come
dobbiamo pensare alla pipeline in a
più ampio respiro e penso che la cultura e
veramente bisogno di allineare per aiutarci a fare questo
lavoro e copertura per esigenze di sicurezza
capita principalmente in tre aree in cui tu
eredita roba dove costruisci roba e
hai il tuo runtime e ne ho alcuni
consiglio sul lato come come comportarsi
auditor e altre persone che sono
bloccanti all’interno della tua organizzazione come
stai andando avanti così mi piacerebbe
iniziare con un viaggio del CD CI e come
come stai pensando di andare con
consegna continua che volevo darti
una piccola storia come quella che ho passato
che come sono andato attraverso questo processo in modo
L’ho fatto a tre diversi
aziende e attualmente sono al segnale
Scienze e ora facciamo circa 15 spiegamenti
un giorno ci stiamo muovendo in fretta siamo sempre
una specie di consentire alla nostra squadra per tipo di
vai veloce
all’incirca abbiamo fatto circa 10.000 spiegamenti
negli ultimi due anni e mezzo tipo di
sviluppo e noi eravamo tipo
iniziare le cose e forse di più
di quello ma ci piacerebbe un po ‘ come perso
traccia dei primi tempi non siamo noi
non esattamente sicuro e presto II era
Impegnato al lavoro era come se fossimo
costruirò questo lo costruiremo
cosa che ci permette di dispiegare e
aiuta a spingerlo fuori e sarai tu
e lo dimostrerai in una coppia
settimane e io ero tipo
oh dolce come quello è fantastico e così
So che hai detto una preghiera e ho letto il
libro di consegna continuo di John Bull
e va bene lo farò
questo succede e lo faremo
prova a cercare di farlo accadere così io
davvero sia il jazz che Dave sono davvero
grande e apprezzo molto il loro lavoro
che hanno fatto su quel libro è totalmente
vale la pena controllare
e una delle cose che erano veramente
utile per me pensare in questo è
come la consegna continua è quanto poco
puoi schierare in un singolo punto a destra
è come se volessi schierarmi come un
cambio di una riga ed essere in grado di farlo
attraverso l’intero oleodotto nel mezzo
il minor tempo possibile e noi
iniziato a parlare di parole come vogliamo
di ottimizzare per tempo totale di ciclo totale
è il momento in cui qualcosa entra
quando tu quando lo spingi nel tuo ottenere
il tuo github o il tuo controllo di versione
sistema e in effetti viene implementato
produzione quindi il tempo di spingere al momento
i clienti lo stanno usando e così all’inizio
eravamo come cinque minuti o sette
minuti e ora penso di averlo capito
per piacere vediamo cosa probabilmente ti piace
due minuti circa in media a seconda
come se modificassi determinati bit come
a volte invoca altri test
e tu capisci che sarà un tre o quattro
minuto distribuire e poi abbiamo costruito a
tasto giusto abbiamo detto costruiamo questo
cosa così chiunque nell’organizzazione può
entra e una volta che ti impegni a codificarti
distribuirlo ed è come se andasse
e quindi siamo anche una compagnia di sicurezza
e considerando che il software come servizio
società di sicurezza e volevamo fare
sicuro che la consegna continua e tutto
quella roba includeva sicurezza come questa
non potrebbe essere solo qualcosa che abbiamo solo
ha fatto e non è stato in qualche modo adatto
nel complesso la nostra storia generale e prima
Anch’io ero in scienze del segnale
questa idea di software robusto CIRCA piace
2010 e c’è questo delizioso
presentazione di Josh Corman David Rice
e Jeff Williams e in esso hanno iniziato
parlando di cose che ciò ha dato
noi nuove idee su cosa sia veramente la sicurezza
potrebbe essere e quindi penso di averlo fatto
dalle diapositive che ho fatto come nel 2012
era come la sicurezza come sempre
ci sono molti problemi con la sicurezza
sei un po ‘ giudicato in assenza di
eventi come il successo non è davvero ben
conosciuto
è alto costo è spesso negativo in a
molte organizzazioni avevano molta paura
incertezza e dubbio e davvero lo è
come una parola tossica come vuoi andare
in un’organizzazione e come si ottiene
promozioni e non fare bene è come
come se fossi la persona di sicurezza che sono
come va bene sai andare laggiù giusto
e nessuno è mai successo a
amico sì giusto ma robusto era
come questa idea e alcune persone dentro
l’ industria della sicurezza che era stata
lì per molto tempo ha iniziato a pensare
come se avessimo iniziato a parlare
su questo è un problema di qualità e noi
voglio iniziare a verificare come siamo
fornendo le giuste qualità che noi
iniziare ad aggiungere benefici al
roba organizzativa che sta affermando
roba che è positiva e stiamo mettendo
come quantità conosciute su cose e
quindi c’è un po ‘di tempo
dovremmo avere il software dovrebbe sedersi
con la stessa nave con come la scatola di cereali
etichetta per dirti come sai cosa
quali cose sono incluse in questo e in tutto
le dipendenze che sono incorporate in esso
ma al momento stavamo davvero cercando di
lottare con l’idea di ciò che fa questo
sembra di fare le cose in modo diverso
modo rispetto al modo in cui abbiamo fatto prima e poi
circa quattro o cinque anni fa ho iniziato
il progetto di sfida che è quello che farò
parleremo più tardi ma è un modo
per noi per aiutare tipo di prendere la sicurezza e
DevOps e tipo di unire quelli insieme
in un modo in cui i gruppi possono collaborare e
Ho trovato nel tempo come lo è la sicurezza
diverso in una integrazione continua
mondo e sicurezza ha un dilemma e
questo dilemma è che in realtà non
sapere cosa sta facendo in realtà non lo so
quanto bene sta facendo e penso che in
sicurezza abbiamo sempre tipo di siamo inventati
questa idea come te abbiamo questo
biforcazione binaria di come pensiamo
riguardo alla sicurezza, così è stato sempre noi
violato o siamo unbreached siamo
sicuro o non garantito e come non l’abbiamo fatto
resistere davvero era solo uno zero
tipo relazione lì e non lo so
è come se non fosse buono in realtà
non è vero uno stato di realtà è
in realtà una sovrabbondanza ism di cosa
stiamo cercando di farlo e penso che
vorremmo prendere questi complessi
sistemi e provo solo a dire come ho fatto io
ha un sacco di firewall e mi piace
tutto è bloccato e così come sono
c’è quindi ora siamo a posto
ma penso che noi iniziamo tipo di
allontanandosi da quella domanda di
se siamo violati o se lo siamo
sicuro e iniziamo a pensare a come funziona
sicurezza aggiungere valore
Penso che ci sia rimasto un altro
approccio siamo rimasti con un diverso a
diverso un modo diverso di pensare
e penso che sarà più in
linea con il tipo di futuro come
la sicurezza sta crescendo, quindi lo farò rapidamente
riassumere riassumere come penso che noi
arrivato a questo stato così agile è venuto sul
scena e tutti erano davvero eccitati
e ha provato a rimuovere il tipo di
capacità di non sapere quello che stiamo facendo
e come stiamo arrivando ha appena detto
stiamo andando a che andremo a spedirlo
giusto e in gran parte ha funzionato in un grande
e un gran numero di modi, ma in realtà
appena creato una cultura che ci hanno dato
cicli rapidi di feedback e consegna rapida
ma non è mai veramente
oh mi dispiace, ho avuto queste diapositive
per favore , questa è la mia diapositiva divertente così
quello è circa e quelli sono circa come
comico cominceranno a prenderlo, ho capito
avvertito sì, voglio dire, lo so che lo è
pomeriggio va bene ma ma noi
non ha davvero preso una Jellal
operazioni come e si sono fermati
lì e penso che fosse quello
ogni volta che abbiamo iniziato a vedere il prossimo aumento
giusto e questo è quando DevOps è arrivato
scena c’è una continuazione di agile
operazioni in Tom ylim e Shelley
libro dice che la stessa cosa è DevOps
l’applicazione della metodologia agile a
amministrazione del sistema e poi vediamo
nel 2009 c’è il famoso che facciamo dieci
distribuisce un giorno su Flickr
presentazione di velocità questo è un grande
conferenza sulle operazioni di sistema e
tutti là appena sorta di perso
sono come te che sai che schieri
una volta al trimestre sai se sei fortunato
forse una volta al mese se sei come un vero
cowboy o qualcosa del genere ma non lo stai facendo
tendono a giocare un giorno che è ridicolo
ed è stato a quella conferenza e a
coppia altre cose che accadono intorno
quel periodo di tempo ciò che DevOps davvero
Ho iniziato a decollare con Patrick Dubois
i primi giorni DevOps ha coniato il termine
e ha avuto l’ evento qui non troppo lontano
qui e ancora e nei primi giorni lo sai
siamo stati veramente bravi con Photoshop in
La comunità DevOps quindi eravamo come
abbiamo appena sorta di Volevamo come
illustra il nostro problema, giusto è il
sviluppo e operazioni a due
cose incompatibili perché tipo
aveva questo muro tra noi e così siamo
spendere davvero molte volte lacrimando
giù per il muro sono come se tu andassi a
DevOps gli eventi di oggi ce ne sono molti
colloqui culturali perché in molti
organizzazioni questo è ancora questo è
ancora esistente o ancora di tipo nel
processo di attraversare questo e noi
sempre incapsulato con questo con
questa presentazione e questa o questa
grafica ed era proprio come è
una specie di questa immagine incarna il genere
Di tutti i DevOps ho dovuto addestrare alcune vendite
ragazzi di recente e ho detto che sai come
questa è la grafica che ho appena mostrato
loro questo grafico nel precedente
grafica e io ero come DevOps e
loro sono come sì, ce l’ abbiamo
come se fosse proprio così
hanno l’aspetto emozionale ed è per questo
passiamo davvero molto tempo in
pezzi culturali di DevOps all’inizio
abbiamo anche trovato molte organizzazioni
hai visto un rapporto di dieci a uno di
gli sviluppatori di operazioni come gente così
è un ordine completo che sai che è
più o meno diverso per diverso
organizzazioni diverse squadre diverse
cose che stai facendo ma eccolo
un problema di ordine di grandezza che noi
solo non sono stati in grado di risolvere subito
Patrick Dubois dice che conosci la cultura
è l’ aspetto più importante di DevOps
e per avere successo nell’impresa
e penso che fosse come nel 2011 o nel 2012
c’è il Qatar IT Journal e lì
c’era perché c’erano i primi giorni
ed è come si può fare DevOps in
impresa e io ero in una delle squadre
quello è stato descritto in quello del mio mio
collaboratori Ernest molar e buon amico
ma il nostro team era appena arrivato al
Giusto tempo come se fossimo andati in cloud
nel 2010 con un tipo di charter e
abbiamo anche detto che faremo
questa cosa si chiamava DevOps ed era tipo
certo che noi non ci importa non andiamo
fallo e poi abbiamo iniziato a vedere come
come questo è stato in grado di influenzare un sacco di
cambiamenti nell’impresa ed è stato
davvero molto divertente ma davvero
mi ha spinto a pensare alla cultura come come
siamo noi come stiamo cambiando la nostra cultura
e penso che ci siano quattro chiavi che io
ti lascerebbe alla cultura e io no
un esperto di questo non sono uno psicologo
o nessuna di quelle cose, ma ho sempre
visto come se tu avessi iniziato tipo
la costruzione di una comprensione reciproca che si
creare viste condivise della lingua condivisa su
come funzionano le cose e poi metti gli strumenti
sul posto che aiuta a incoraggiare tutto questo
collaborazione e quelli pre
cose che ho ho un bambino di cinque anni
figlia e quando lei aveva circa tre anni
le sue stanze si posizionano così esattamente quando
guardi fuori dalle finestre puoi vedere il
la luna come scenario e così ogni
il tempo lo sai non sempre ma
ogni volta che c’è il giusto
periodo dell’anno e tutto ciò che siamo e il tempo
quella notte quando lei andrà a letto e
lo vedremmo e guardiamo la luna e
parliamo della luna e abbiamo iniziato
avendo come questi stessi valori e il
stessa comprensione e poi io
ha iniziato a capire come un paio di giorni
dopo ero come mi sono emozionato come me
sarebbe tornato a casa e lo avrei detto a mia moglie
era come oh stiamo per vedere la luna cuz
come se la luna fosse fuori stanotte e poi
poi ho iniziato a installare app come moon
monitoraggio delle app e app meteo simili e
come cercare di sapere come quali fasi il
Luna ed è come ora potrei dire il mio
figlia di tre anni e impressionarla
con la fase lunare ti conosci
so che è ridicolo, ma ma
come tutte quelle cose hanno iniziato a cambiare
proprio come è successo a una cosa nuova per me
come una nuova priorità è successo e io
pensavo che fosse per me penso che tipo
di illustra quelli quattro quattro chiave
aspetti ma tutto questo lo sai che siamo gentili
di qui come siamo arrivati dove era
sicurezza e tutto questo ha solo sicurezza
stato seduto da AND credo davvero
loro non hanno davvero
partecipato a questo e sono solo
Ora, in un certo senso, sto facendo la modifica
parte del problema è come la sicurezza
provengono sempre da una conformità guidata
aspetto è stato inevitabile nel nostro
l’industria ma quello era un modo
che abbiamo passato gli ultimi 10 15
anni c’è questo libro davvero fantastico
riguarda la sicurezza del browser ma il
primo capitolo nel libro che va e
questo parla di questa storia di
sicurezza dappertutto da come il
Anni ’60 a cui piace il giorno moderno un browser web
e dove ci sediamo e mi piacerebbe leggere
questa citazione per te di cui sta parlando
valutazione del rischio ma sicurezza
la valutazione del rischio introduce un pericolo
fallacia che è l’inadeguatezza strutturata
quasi buono quanto l’adeguatezza e quello
sforzi di sicurezza sottofinanziati più rischi
la gestione è altrettanto buona
lavoro di sicurezza finanziato e fa così
quello che infastidisce qualcuno qui fa quello
lasciati a disagio, sì, ce l’ha fatta
come me fatto proprio sconvolto io sono come quello
che diamine piace perché dovremmo
come credo che potremmo avere questo
potremmo avere solo cattiva cattiva fattura
cattiva qualità e basta dire perché abbiamo messo
abbastanza struttura intorno ad essa abbiamo messo abbastanza
le politiche legali in giro abbiamo comprato abbastanza
assicurazione intorno ad esso quindi ora stiamo bene
come quello che non ha senso per te
non lo farebbe nel mondo reale perché
lo facciamo con il software e perché lo è
ecco perché è questa idea e anche noi abbiamo visto
organizzazioni c’è questo c’è
un altro problema come se non fossero solo dieci
a uno è come cento a uno o
300-1 o trecento per
metà come se non importa cosa
i numeri reali sono ma simili
tutti quelli che ho chiesto come questi
questi sono di ordine di grandezza
problemi e sicurezza non hanno il
risorse e uno dei segreti nascosti
sulla sicurezza è come se non ci fosse
abbastanza persone nel settore da risolvere
questo problema piace se hai detto domani
vorremmo 3x i nostri team di sicurezza
come se non potessi farlo non c’è
abbastanza corpi per farlo nel settore
e hai visto che vedi le persone della sicurezza
hop lavori ogni diciotto mesi perché
è come se i reclutatori continuassero a chiamarli
e continuano a farlo è proprio come
come lo sviluppo ma forse anche come
più caldo ora come è bello è
pazzo
e anche sicurezza a causa di tutto questo
altre cose perché sono state
dipendente da conformità e tipo di stato
stato seduto nell’organizzazione che
modo perché c’è il grande Delta
tra voi sai quante persone ci sono
lavorare sulla sicurezza è culturale
outlier e molte organizzazioni e
loro non vogliono veramente la stessa cosa io
aveva un amico così ho sempre tipo di stato
il ragazzo della sicurezza della squadra e uno di
i miei amici e lui erano davvero come i miei
manager al momento era come bene
sicurezza che voi ragazzi preferiate semplicemente avere un
sistema che è spento e
staccato e stavo bene, suppongo
ma così mi fa male
sentimenti che pensi che io sia come mi piace
sappi che se lo facciamo come ho non ho
lavoro come lo sai che non sono io non sono un
idiota
a destra e poi Già si sa che non cerco
per farlo perché ho vissuto il dolore
dall’altra parte, ma quanti livelli di sicurezza
la gente ha mai detto come quelli stupidi
gli sviluppatori hanno ragione nessuno ha sentito
le persone di sicurezza dicono che come se un amico
l’avrei detto giusto, succede
e non è che non si senta bene e
ma penso che questo dimostri che è un
dividi anche tra i due ho trovato
questa bella palestra in a
un white paper da queste persone che stanno
fare firewall per app Web e mi piacerebbe
leggendo questo a voi questo è ogni aspetto di
la gestione dei firewall delle app Web è in corso
processo che è l’antitesi di a
improvvisa e dimentica una tecnologia che è
il vero punto di questa ricerca si trova a
massimizzare il valore massimizzare il valore dal tuo
web app firewall è necessario andare con
gli occhi di tutti si aprono allo sforzo
necessario per ottenere per ottenere e mantenere il
Ride correndo in modo produttivo così quando loro
continua a dirti che ti servono due o
tre dipendenti per fare proprio questo molto
tecnologia discutibile che è per nessuno
qualsiasi effetto e non ne abbiamo abbastanza
persone del settore comunque e ora
stai dicendo come ora la mia nuova attività
sta gestendo questo pezzo di junky
tecnologia giusta e io non cito il
nome perché non lo voglio sapere
prenderli in giro pubblicamente, ma alla sicurezza
sempre preso lo stesso approccio come
hanno messo un limite molto pesante
risorse è un grande approccio al collo di bottiglia
c’è un articolo che immagino l’ anno scorso in
Rivista di fortuna il tempo medio per
consegnare per i progetti aziendali no
solo come è peggiorato è aumentato
negli ultimi cinque anni che conosci
come una persona DevOps ti fa davvero
triste come sono, perché è così e poi
la prossima cosa che dice bene la crescita
di funzioni di sicurezza che è troppo
scarsamente coordinato e risultante a
proliferazione di nuovi compiti nelle aree
di conformità privacy e dati
la protezione è la ragione principale e il
colpevole principale per quello e così ok così ora
ora vediamo che la sicurezza è
causando un vero problema ok questo è un nuovo
uno è 30 volte più economico da sistemare
difetti di sicurezza e prod sono in dev
contro prod newsflash 2002, giusto e e
e così sono arrivato questo nel mio
posta in a in un volantino da una sicurezza
compagnia come l’anno scorso piace
è stato come hey abbiamo notizia come se fosse
è più una spesa che stai scherzando
ho ragione, ma la sicurezza è sentire il
stessa pressione come se fossero indietro come
beh, va bene così che potrebbe essere stato il
più divertente quindi sono un po ‘ preoccupato
il diritto per il tuo bene per il resto
le diapositive perché quello era il mio
il migliore va bene, comunque, di sicurezza
inefficace oh questo potrebbe essere carino
anche divertente mi piace quello
tutto bene signor fan dei robot ma penso
la sicurezza sa che deve cambiare
o morire e credo che sia vero nel
storia e penso che l’abbiamo visto attraverso
attraverso il modo in cui Stephen Bullivant è
scritto il libro del firewall che era
era davvero enorme e uscì con un
prenotare l’anno scorso o credo un anno e un
mezzo fa lui dice le aziende stanno spendendo
molto sulla sicurezza ma leggiamo a
massicci attacchi informatici e
chiaramente qualcosa è sbagliato il ROO the
il problema è duplice, stiamo proteggendo il
cose sbagliate e stiamo facendo male
produttività nel processo quindi è lui
vede che la sicurezza è come in entrambi
modi come causare un problema non lo siamo
aggiungendo valore e stiamo proteggendo il
cose sbagliate, certo che tu ti conosca
potrei stampare un milione di questi
scivola e mostra come hanno chiesto sicurezza
è costoso l’ultimo DevOps il
stato del rapporto DevOps dell’anno scorso
gli artisti trascorrono il 50% in meno di tempo o
problemi di sicurezza mediani piuttosto che bassi
performer organizzazioni ad alte prestazioni
raggiungere la qualità incorporando
squadre di sicurezza e sicurezza nel
processo di consegna e qui ci sono alcuni di
i risultati che sono venuti fuori da questo
ricco magnate che è un grande nella sicurezza
l’industria alla RSA Conference si è alzata e
detto e di fronte a una grande folla
e ha detto una grande percentuale del
aziende che sono in giro nel
show floor qui non sarà qui in cinque
anni e ha detto che lo sai fondamentalmente
tutto ciò che sappiamo del
il settore della sicurezza sta cambiando questo noi
vedi che la scritta è sul muro e
tutta quella roba sta accadendo mentre andiamo a
un paio di anni fa Zane Lackey ha dato questo
presentazione su come a Etsy loro
consegnare più veloce meglio meno costoso e io
l’ ho visto e ho pensato che fosse così
proprio come amico di Zane, ma io
anche era davvero molto eccitato da vedere
che questo approccio va bene così andiamo
parliamo della pipeline del CD SEI e di cosa si tratta
sembra assomiglia quindi penso che per
stanno andando a fare pipeline di persone diverse
guarda un po ‘diverso e
la maggior parte delle persone la scomporà in alcuni
raggruppamento di questo come costruzione del design
operare o eseguire un deployment di build di progettazione
Mi piace anche pensare che l’ereditarietà sia
come uno dei passi lì e io sono solo
andando a concentrarsi su questi tre punti
ereditare costruire e operare e lo farò
Spiega cosa intendo in questo qui e in
ci sono altre cose che puoi fare
in questi pezzi come dovresti tu
dovrebbe fare tutti i pezzi di design che ci sono
altre cose come per
e nel tuo design sai che lo sai fare
scrivere modelli di minacce per il flusso di dati e tutto
quella faccenda, ma io non sono davvero un
esperto in tal modo che non ho intenzione di spendere
tempo su quello e poi sul deploy
pezzo totalmente dovresti gestire il tuo
anche i segreti nascondono altre cose del genere
non andare a parlare di questo, perché
questo è veramente specifico per la tua lingua
la tua struttura e tutte le cose che
si sta utilizzando, ma mi piacerebbe parlare di
questi questi tre e questi sono i
tre considerazioni che vorrei proporre
e forse forse un paio di domande
puoi pensarci potrebbe essere d’aiuto
guidare guidare avanti come sei
stai passando qui
cosa ho inserito nella mia applicazione
questo mi lascia vulnerabile e penso
non solo sui pacchetti coppia
che sai installare con il tuo
installa con la tua app vera e propria
hai chiamato là il tuo
dipendenze nel app, ma pensare
come per quanto riguarda il livello di sistema operativo che dire
il fornitore che sto usando
distribuirlo sul talk su roba docker
questa mattina o questo dopo questo
il pomeriggio è stato fantastico perché come pensi tu
su tutte le cose che stai raggruppando
è come vuoi un pacchetto in 128
Meg o cinque Meg di dipendenze
giusto e puoi iniziare a romperlo
roba giù per la build do do my build
e costruire test di accettazione e
test di integrazione cattura problemi di sicurezza
prima del rilascio come quante persone sono
facendo test di sicurezza nella loro build
fasi coppia sì, va bene, ma tu
so che penso ci sia molto di più
ciò può essere fatto in quella fase e noi
spesso appena sorta di saltare da e dire
hey ci prendiamo che fino raccogliere che fino
più tardi e poi operativamente potrebbe essere
un attacco in questo momento e se mi piace
sta funzionando in realtà stanno ottenendo
qualsiasi punto d’appoggio di successo dell’azienda
Lavoro per noi tipo di gioco in questa risata
spazio un po ‘ o suoniamo questo
ultimo spazio ma ti chiediamo di sapere che lo chiediamo
la gente tutto il tempo come fai a sapere se
sei stato attaccato e come te solo
di solito vuoto guarda bene e non lo farà
fuori dai nostri clienti sarei cattivo ma
come se fosse un po ‘come questo è indicativo
del settore che è indicativo di
cosa sappiamo veramente cosa sta succedendo
con il nostro sistema Shane e Lisa hanno dato
questo discorso durante i giorni DevOps Austin
e lo ruppe in queste quattro fasi
e mi è piaciuto perché davvero chiesto
ognuna di queste fasi domande diverse
e così ho preso in prestito alcune delle mie idee
e così voglio solo assicurarmi che lei
ha avuto una buona copertura qui
sicurezza nella pipeline di consegna così
ereditare quello che sai che abbiamo già
ne ho parlato un po ‘oggi
okay apri SSL proprio all’improvviso è
come oh ho un sacco di problemi perché
perché sto usando questa cosa o
shellshock perché sto usando questo te
conosci la vecchia versione di bash o qualsiasi altra cosa
La corsa di Gareth Grove è stata fantastica
presentazione su cosa c’è dentro la
contenitore e che mostra il numero di quanti
i contenitori hanno vulnerabilità in loro
ci sono statistiche là fuori che dicono come
Il 30 % delle immagini docker è disponibile
hanno vulnerabilità in questo momento dr. mozzo
puoi effettivamente vedere le vulnerabilità
elencato con diversi tipi di
contenitori se stai usando qualcosa
come Ruby dovresti fare come a
audit di bundler per verificare come le gemme
tu vai là, c’è l’altro
altri strumenti come Linneo che fanno il
stessa cosa se stai facendo il servizio
c’è una cosa chiamata snick che fa
controllo delle dipendenze per il servizio ma
in particolare un nodo c’è una panca docker
che controllerà decine di comuni
buone pratiche e cose che sei
facendo per distribuire ee e trattare
con contenitori in produzione anche a
un buon amico di Erland ha questo
libreria chiamata ritiro Jas controlla se
stai usando qualsiasi JavaScript che sia
non è più un bene per cui lo facciamo
nostro per i nostri siti dove stiamo consegnando
cose e non sai mai come
ogni volta che qualcosa ti tiene qualcosa
staticamente un sito statico statico e
allora conosci la versione di jQuery o
qualunque cosa tu stia usando non ne ha più
bene perché ne ha un po ‘
vulnerabilità che vuoi essere allertato
a questo , mettendo tutta quella roba dentro
la tua pipeline di costruzione è davvero grandiosa sì
e penso che sia abbastanza adatto per Kimber
se ho altre cose su questo ma
vuoi strumentare il tuo sistema di CI
con tutti i controlli per tutte le cose
che erediti e questo è altrettanto
come è possibile se si sta utilizzando
contenitori come twistlock e aqua o
sai guardare alcune delle cose tipo
e Blackduck se hai un po ‘di soldi ma
c’è un sacco di cose gratis come quelle
puoi inserire I in base al tuo
linguaggio e tutto ciò che ti interessa
tira quelli che li attirano
il lato di sicurezza della costruzione
funzione di qual
e penso che quando guardiamo tutti
lingue di codice questo è da un cappello bianco
rapporto di sicurezza come un paio di anni fa
se lo guardi attraverso non importa
in quale lingua ti trovi
hanno tutti vulnerabilità così trasversali
il top è come ASP ColdFusion net Java
PHP Perl e poi su questo a sinistra
lato mano c’è lo scripting cross-site
e tutti come OWASP top 10 tutti i
verso il basso e stanno solo mostrando come
tutte le lingue hanno problemi ovunque
e quindi non possiamo dire semplicemente come sono
usando andare come sto bene ora o io
posso solo dire oh o usare Non lo so
sì, non lo so è come si sceglie
una qualsiasi delle lingue qui non lo fai
voglio farlo così andavamo al lavoro
quindi credo che prenderò su quello ma
anche un altro problema con sicurezza e
il modo in cui ti piace lo strumento
all’interno di una pipeline di build è la sicurezza
gli strumenti sono veramente rumorosi, li gestisci
e se prendi in mano solo come un
scanner pronto all’uso e lo colleghi
al tuo sistema che vuoi fare
alcuni test su di esso vorrebbero provare a ragno
e poi lo saprai elencare
un sacco di roba e poi verrai
torna come tre ore dopo e lo farà
o si blocca o ti piacerà mostrarti
qualcosa può essere utile o verrà mostrato
tu un sacco di cose che non sono davvero
vero e se hai mai avuto come nessuno
dovevo occuparmi di scanner di sicurezza, quindi
Ho visto una coppia ridacchiare, quindi se hai avuto
trattare con quelli che conosci lo sono
parlando di giusto e poi alla fine
sei tipo rimasto con questo gigante
PDF o qualsiasi altra cosa da trattare, ma così io
sentivo che avevamo davvero bisogno di un nuovo
modo di collaborare in modo simile
operazioni degli sviluppatori e sicurezza e
per vedere cosa potremmo fare per farlo
capita e speravo di farcela davvero
lingua che tipo di mettere un po ‘di
quella collaborazione in pratica e così
è per questo che ho iniziato a lavorare su a
progetto chiamato guanto di sfida
chiamarlo open source con licenza MIT
viene fornito con un sacco di fasi pre-inscatolamento
questo ti aiuterà a comporre e in ciò che noi
chiama l’attacco archivia alcune istruzioni per andare
avanti e come essere cattivo con il tuo codice
che è la nostra piccola tagline che ci piace
per usarlo non installa alcuno strumento ma
si siede davvero bene dentro il tuo
La pipeline CI CD è costruita sopra
cetriolo non è davvero destinato ad essere un
sostituzione peer per come un tipo BDD
cosa ma funziona allo stesso modo
quindi è buono
buona gestione dello stato di uscita e tutto
che puoi controllare su Gamla org
ma l’idea generale nel nostro stesso
la grafica liscia qui è quella che vorresti
esegui il tuo codice attraverso il guanto di sfida lì
Eccolo
hai visto che proprio non ne ha bisogno farlo
di nuovo okay sì, sarai come dentro
sarebbe il tuo e il tuo modulo di feedback
come una grafica fantastica come spero
che sarà okay è come
questa è la battuta piena che è tutto ciò che ho ottenuto
comunque mi limiterò ad attaccare alle diapositive
ora quindi se guardiamo nella directory noi
guarda i file di attacco e arriva
tutti quei file di attacco e tu sei solo
iniziamo facendo come a
installazione semplice palestra abbiamo anche docker
contenitori che penso tu abbia un
un’altra diapositiva ma se leggi
questo è un po ‘come un inglese
approccio linguistico qui così dato sono io sono
alla ricerca di script cross-site e io sono
lo farò contro un URL sul mio sito e
puoi renderlo più specifico così come su
la mia pagina di login che ho intenzione di cercare questo
e poi gli dai uno scenario
con qualche descrizione lì e poi tu
dì dato che ho gli strumenti che io
necessario installato quando lancio un
attacco contro questo URL
Mi aspetto che l’output dovrebbe avere
zero problemi rilevati se non falliti
non ha superato il test e invia un avviso
stato fuori stavo solo parlando con a
amico a UnitedHealthcare e lui
mi diceva che è come abbiamo
salvato milioni di dollari usando la ghirlanda
per la più grande industria sanitaria
proiettare là fuori in questo momento nel
Gli Stati Uniti e io eravamo come oh uomo I
avrei dovuto capire che dovevo prendere decine di
quelli che conosci ma sai che è davvero
sai dire che sono stati in grado di farlo
inizia a prendere tutti questi pezzi del loro
applicazioni su tutto il loro stack I
pensa che ci sia questo progetto
trecentoventotto applicazioni
stava dicendo che ha iniziato a mettere dentro come
controlli predefiniti di default in modo da cercare
scripting cross-site alla ricerca di sequel
Iniezione si può tipo di impostare alcuni
parametri e like stava iniziando ad essere in grado
per preparare tutte queste cose insieme e
ora hanno fatto testare tutti a
barra bassa una soglia di sicurezza della barra bassa
lì ho fatto un workshop con un paio di saygus
circa un anno e mezzo fa con Matt
Johansson ed è
è a questo bit link, quindi se lo sei
interessato a questo ha otto laboratori per
come usare il guanto di sfida
ha usato il guanto di sfida per fare le cose
come i controlli di rete, se vuoi
fare cose del genere o, se si desidera
verificare la presenza di problemi di applicazione come
scripting cross-site o sequel the
iniezione sequel o altre absse non lo faccio
sappi che sento che non so cosa io
non sapevo cosa volessi dire che ci sono
mi dispiace per quello
e poi gestendo i report in modo da poterlo fare
puoi segnalare in due formati diversi
si può pompare fuori a JSON o qualsiasi altra cosa come
per collegarlo con le variabili di ambiente
e, soprattutto, ti mostra come farlo
in un sistema CI e una configurazione CI, quindi non c’è
il link bitly ma puoi controllarlo
di nuovo è tutto usando questo progetto
all’interno del nostro repository invece di github
appena chiamato guantoni gotici
– demo e sono davvero dispiaciuto per il
ortografia come quando abbiamo rilasciato la palestra
originariamente come la palestra con un EE era
preso così sai che hai un accordo con
il guanto più piccolo a vita bassa con esso
solo un tee lì e quindi è abbastanza facile
per iniziare abbiamo anche un antipasto
kit che installa una macchina virtuale e
ti porta a bootstrap lì e davvero
stiamo solo cercando di aiutare a riflettere
come creare loop di feedback proprio noi
voglio creare un sacco di feedback loop
dalle operazioni di sviluppo e sicurezza
e questa è la speranza che farebbe il guantone
fare all’interno di quelle squadre perché ora
sei in grado di prendere la conoscenza
vincolato e tempo di risorse
le persone legate nella sicurezza l’una
a 110 vinto e sono in grado di implementare
il loro tipo di base di conoscenza nel
fine del sistema e tutti gli altri possono
riferiscilo e non devi essere un
esperto di sicurezza per vedere come oh come quello
il test ha iniziato a fallire ogni volta che ho controllato
in questo nuovo codice come quello che sai
potresti non sapere cosa sia effettivamente il test
ma ora puoi arrivare alla radice di
come va bene ora ho cross-site
scripting per qualche ragione non lo era
non ero sicuro del perché anche la demo di Gauntlet fosse
anche agganciato all’interno di Travis così corre
Build CI se ti interessa
verificarlo e questo è quello
quelli sembrano un sacco di squadre stanno usando
Contenitori di gallatina perché sei come
Non voglio che Ruby sia così anche per il nostro
roba all’interno di singole scienze
usiamo chiamarlo in un contenitore docker e
si gira solo esegue tutti gli attacchi
e poi
e scopre i risultati per noi e per te
puoi verificarlo alla finestra mobile Gauntlet
altre cose che potresti voler controllare
in questo spazio zette attack proxy è un
progetto davvero interessante che ti permette di fare se
le tue visualizzazioni come un web proxy ma lo lasciano
fai replay di cose e sei capace
fare entrambi i test fuzz e solo altri
tipo di attacchi con esso pure se
stai facendo analisi del codice statico
qualcosa come breakman è davvero fantastico
strumento penso che sia stato menzionato un po ‘
un po ‘prima e questo è ma quello è
in particolare per Ruby, dai un’occhiata
va bene penso che siamo nell’ultimo ultimo
un po ‘ come stanno tutti noi
stando bene
va bene così configurazione run time voi
sapere in precedenza di cui stiamo parlando
la configurazione è una delle più grandi
problemi che abbiamo e e tu sai
problemi che risolviamo non ti ho mostrato
delle altre diapositive da quel cappello bianco
rapporto ma è come problemi che abbiamo
oggi e poi poi torna un anno
più tardi percentuale di problemi che ha ottenuto
corretto ed è come si, sai
è come o che ne dici di quanto spesso un insetto
resta aperto in una società che sei tu
Conoscenza di livello medio o inferiore è come 200
giorni 500 giorni qualcosa di pazzo e il tuo
pensi bene come sia anche
possibile ok così per la configurazione
Mi piace lo chef nelle specifiche che puoi fare ma tu
sapere per usare lo chef come quello è utile
se usi qualcos’altro, sai
controllali, verificalo per quelli
so solo cose che so bene
ma puoi fare audit e fare CIS
punti di riferimento su macchine altre cose che
si potrebbe guardare per i fornitori di cloud
mai fare stack stack alienvault lo faranno
guarda la configurazione del tuo cloud e guarda
come se qualcosa cambiasse tra e
essere in grado di fare rapporti su ciò che so
ci sono altre compagnie nello spazio ma
Ho alcuni amici in alcuni di quelli
luoghi e penso che quelli sono abbastanza carini
buone opzioni per iniziare almeno a prendere un
guarda lì ok così per il tempo di esecuzione va bene
e questo è il mio meglio
gif e il tutto va bene così va bene te
sapere che il tempo di esecuzione è probabilmente il più
luogo importante per iniziare e penso
questo è il posto più importante per
strumento perché sei effettivamente in grado
per vedere cosa sta realmente accadendo
la tua domanda e può informare alcuni
delle altre cose a valle così tu
voglio pensare a sono sotto attacco
e dove sono sotto attacco puoi ottenere
un sacco di beneficio usando come qualcosa
come la modsecurity e il pompaggio che è finito
a un deposito di log ha fatto una pila di alci e
segnalazione di che altre cose che si
voglio guardare in questo spazio o come
raschiare la prossima risata o come il web
piattaforme di protezione che è una specie di a
marketing boccone lì, ma dovresti
guarda anche in altri altre aziende che ho
sapere che
La compagnia di Ruben si sistemerebbe anche qui
su questa lista in modo assolutamente desiderato
dai loro un assegno e il
il team di marketing avrebbe visto questo
dovevo dire che loro sono i nostri
meglio, ma davvero come vuoi essere
facendo raspa che vuoi fare
qualcosa in questo spazio per vedere come cosa
è in realtà sotto attacco cosa sta succedendo
qui va bene così tu vuoi iniziare
capire come rilevare ciò che conta
quindi se questa è la strumentazione del codice
nella stessa app stessa o qualunque altra cosa
stai cercando cose come account
takeover tenta quale parte del sito
ottiene più attacchi di altri
probabile di vettori di attività di attacco
difetti logici ho avuto questo davvero
interessante conversazione con un amico
e stavano dicendo quello che hanno visto e
il loro runtime ha effettivamente informato come
stavano andando a dare la priorità al loro arretrato
perché stavano facendo tutti questi bug
taglie e loro erano lì lo sai
dicendo okay
$ 20.000 in palio se si hackerare il nostro
hackerare il nostro sito tutto ciò che è venuto in alto
o critico come quello è stato risolto come
immediatamente tutto è venuto in media o
basso solo tipo di andato in arretrato
e hanno pagato come cento dollari
o qualsiasi altra cosa per la taglia ma
solo mai veramente in ordine di priorità nel loro
il loro ambiente e poi attraverso
aggiungendo la strumentazione runtime erano
in grado di dire oh come se fossimo i nostri dati di accesso
pagina diventa come questi tipi di attacchi
e come facciamo abbiamo qualcosa con quello
tag che è nel nostro arretrato oh sì, andiamo
dare la priorità a quelli come quelli sono vettori
che le persone stanno attivamente andando contro
il nostro sito e quindi vogliamo conoscerci
voglio sapere che avrei dovuto essere
dovrebbe avere oh, va bene se stai facendo un
bounty bug che è proprio qui è un paio
dei siti di bug bug che sono
bene questi sono anche commerciali ma tu
posso dire che puoi gestirne uno tuo
certo, ma questi sono qualcosa di gentile
di renderlo facile e facile da colpire lì
la cosa che ho trovato è a è un problema è
un sacco di volte le persone saranno gentile da parte tua
Diciamo che voglio fare uno sviluppatore di condutture
andando a spingere il codice e poi dicono
cose come
sai che devi separarti
doveri e sai esattamente come andare
considerato dannoso, diremo
separazione delle funzioni è considerata
dannoso non siamo noi non siamo persone voi
sapere il lancio di missili nucleari giusto
non hai bisogno di due persone per girare una chiave
al tuo ti piace il tuo personale pagato
sono gli ingegneri che dovrebbero essere
permesso di essere fidati con loro
ambiente e puoi difenderlo con
anche nel PCI penso che sia come PCI 36 o
posso ricordare il numero esatto ma lì
è un piccolo vino che dice di aver bisogno
avere separazione dei doveri e se invece
leggi la guida che dice semplicemente il
lo stesso account utilizzato per lo sviluppo
non può essere usato per usare per spingere
produzione non dice che lo stesso
la persona non può farlo o qualsiasi altra cosa come a
molte imprese e grandi organizzazioni
ho interpretato in questo modo che ho un
amico che era un revisore dei conti e lei è come
oh sì, lo abbiamo fatto per piacere
decenni dove dove la gente vorresti
conosci solo la stessa persona che ha sviluppato
lo sai anche che lo sta spingendo piccolo
squadre e tu puoi prendere la stessa legge e
elaborare un processo di controllo dell’approvazione e
come farlo funzionare per quattro grandi squadre e
lei stava lavorando in una grande azienda facendo
la stessa cosa e il modo in cui è così
lo fanno per cui investi solo
migliorando la tua pipeline assicurandoti
che i controlli sono così
sviluppo e test e produzione
gli account non corrispondono e questo non esiste
da un po ‘di promozione in corso c’è un
c’è un kit di strumenti chiamato
Il toolkit di difesa dell’audit di DevOps è stato gentile
di un sacco di sicurezza e conformità
le persone che hanno detto okay vogliamo dare
persone che stanno facendo DevOps e
sicurezza un modo per andare avanti senza
essere bloccato da tutti gli avvocati e
ragionieri e roba e così loro
produrre questo PDF di 20 pagine e tipo di
passa attraverso gli aiuti possono essere diversi
specifiche di conformità e si rompe
perché sistema per sistema controllato da
controlla e ti aiuta a mappare per dire sì
ecco come superiamo questo e così
solo un piccolo argomento se la tua
auditor e tipo di questo documento e
dovresti essere dovrebbe essere quadrato per andare se
non sei mi piacerebbe sentire che l’amore per
okay, quindi ci sono tre cose che io
imparato, vieni nel viaggio e penso
siamo un po ‘in ritardo sul tempo tre
Le lezioni che ho imparato una sicurezza non sono un
evento binario quindi vogliamo abbracciarlo
feedback loop e continuamente tipo di
continuamente innovare lì abbiamo anche
voglio pensare alla difesa guidata dagli attacchi
invece di conformità guidato guidato
difesa
nessuno aggiungerà valore
semplicemente selezionando la casella di controllo di
il rispetto, ma se siete in grado di
effettivamente sapere dove sono le persone
una panoramica su dove stai subendo
attacchi o essere in grado di difendersi
che nello sviluppo o nella corsa
il tempo come quello è davvero utile anche
c’è un sacco di movimento
dentro se sei in sicurezza o il tuo
un amico in sicurezza potrebbe suggerire a loro
come ogni volta che bloccano qualcuno
sta per andare intorno a loro e in
L’ufficio di Riot Games ha questo grande
segno che dice come se tu fossi un bloccante
se la sicurezza funziona come bloccante
sarai diretto verso destra è
perché le persone stanno per ottenere il lavoro
fatto che devono essere fatti
se la sicurezza dice che possono o no
vuoi essere parte di aggiungere valore a
la catena e sai mettere tanto
automazione in atto, ma non non fare
quelle altre cose quindi va bene così
ecco la sintesi che abbiamo attraversato
prima speravo che andasse bene come me
ha detto se vuoi le diapositive che puoi colpire
quell’e -mail dovrei rispondere automaticamente a te
ed io credo che sia così tutte le domande
Please follow and like us: