quindi sai che qui parliamo di robusti
materiali da costruzione e quindi sappiamo che abbiamo
abbiamo già detto che sai già come
scriviamo un buon codice come facciamo?
ambienti di qualità e come facciamo noi
scegli i nostri componenti con saggezza sai
cos’altro è rimasto e quindi c’è un po ‘
sai che guardo alla sicurezza, penso
c’è una sorta di due serie di
strumenti di sicurezza ci gli strumenti di sicurezza
che sono molti i farmaci da prescrizione
sfortunatamente ciò che facciamo in sicurezza
correggendo per problemi altrove nel
sistema non incolpare le persone per quello
alcuni dei venditori sono quelli a
colpa per questo ma molta sicurezza se
vai a una fiera della sicurezza sei tu
sapere che fissa i suoi doug di produzione da sistemare
cose contro stili di vita sani e così via
Vorrei provare a parlare di alcuni dei
cose che sono gli stili di vita sani
di come costruiamo componenti sicuri
nelle nostre infrastrutture e penso
questo è importante per una coppia
motivi per cui uno è come lo chiami tu
le questioni di sicurezza e conformità lo farò
parlare nella prossima diapositiva che questo come
questi stanno tenendo il DevOps
movimenti e alcune organizzazioni e
l’altra cosa penso che sia importante
una delle ragioni che penso tu sappia è
josh ha detto che sono d’accordo che penso che DevOps sia
un’occasione di 30 anni per la sicurezza noi
non vedrà mai un’opportunità di sicurezza
come questo di nuovo in molte delle nostre vite
perché sai che ero un computer iraniano
sicurezza globalmente un generale elettrico e
e come organizzazione di controllo che
dimensioni da una prospettiva di sicurezza di
le realizzazioni che ho avuto se non lo facessi
sapere quali sono in pratica le operazioni visibili
principi se non sai cosa tu
avere come è configurato e come
modifiche su cui si basa qualsiasi controllo di sicurezza
quella cima oltre a quella cripto è
piuttosto difficile la casa sulla sabbia
problema e le sfide e la sicurezza
nessuno in sicurezza possiede la configurazione
asset e change management e il
la bellezza è DevOps è farlo cloud e dev
le operazioni sono le prime cose che sono
fondamentalmente cambiando quelli come
lo facciamo o le imprese e questo è un
ottima cosa per sicurezza e così ottengo
scooping molto frustrato dirà oh
DevOps sai che ne stiamo facendo tre
distribuisce un giorno non riesco a fare una revisione del codice
è orribile come loro
in realtà costruendo ripetibili affidabili
infrastruttura che è il primo passo
facendo bene la sicurezza e così via
mi eccita davvero su ciò che mi frustra
è quando vedo sondaggi come questo che tu
so che CA ha fatto questo sondaggio lo scorso ottobre
e sicurezza dei problemi di conformità
è stato visto come il numero uno molto
presto sono 1425 persone di Enterprise
più grande barriera quindi indipendentemente da cosa
motivazione sai Josh proprio vicino
vector Josh le diapositive indipendentemente dal fatto che sia
cuori e menti soldi qualunque
motivandoti la sicurezza ci sta mantenendo
da ottenere questo fatto molto
organizzazioni oggi e andare avanti
e una delle sfide è che io
pensare abbiamo parlato di sicurezza deve
migliorare per questo è questo non è hey tu
sappiamo che abbiamo sicurezza adesso
c’è una breccia al giorno che conosci il nostro
attuali approcci di sicurezza in modo chiaro
non funzionano e quindi se le squadre lo sono
venendo a dire hey dovresti prendere tutto
questo i 20 anni di buone pratiche e
sicurezza e costruisci quelli che penso sia
appropriato spingere indietro e andare wow bene
quelli non sembrano funzionare molto bene
come è e cloud era che era un grande
dimostrare ER di quello che tu sai che io sì
pensa di più in quasi tutti i casi DevOps
ha un componente cloud ad esso e ed io
pensare a una delle sfide che si stanno distribuendo
che hanno problemi a trattare
nuvole così ancora prima di arrivare al
complessità implementazione continua just
il fatto che questo esiste in un pubblico
ambiente cloud o o ambiente
dove non ti fidi necessariamente di te
l’amministratore di sistema c’è il fusibile
come la sovranità dei dati di sicurezza e
conformità che è meglio trascinare
le nostre distribuzioni cloud e se lo siamo
trascinando nuvola stiamo davvero andando a
si trascina su DevOps, quindi parleremo
su alcuni dei componenti oggi di
come possiamo aiutarlo a creare un’immagine nella sua
presentazione stamattina ho un po ‘di
lato sinistro di questo è per
presentazione lui e io abbiamo fatto un paio d’ anni
fa quella sorta di mappa di sinistra
di nuovo i controlli di sicurezza ed ecco a
sicurezza dell’host di sicurezza di rete che minuscolo
piccola linea di dati di sicurezza delle applicazioni
identità ed energia dell’identità di sicurezza
sicurezza e alcune opinioni approssimative del
dimensione di quanti soldi spesi e poi su
il lato se è difficile da leggere, ma tu
sapere che fondamentalmente la piattaforma com’era
la nostra piattaforma di servizio come servizio di
software come servizio e quando si guarda
dove spende l’ufficio della sicurezza
i loro dollari nella maggior parte delle organizzazioni
oggi sono gli strati inferiori di questo
pila
va a chiedere l’intrusione dei firewall
sistemi di prevenzione qualsiasi sistema virus voi
sai che non puoi mandarti a sapere Oroku a
il firewall non funziona davvero molto bene
lo sai che gli strumenti che i nostri
le squadre di sicurezza sono abituate a costruire e
la distribuzione deve cambiare e il bene
le notizie sono se cambiano lo stack
funziona davvero abbastanza bene per micro
servizi e in realtà ci rende di più
agile che una delle grandi sfide
che abbiamo in operazioni generali è
che finiamo con l’aumentare della marea e due limiti
l’infrastruttura che stiamo correndo su
e conosci contenitori e micro
i server sono entusiasti perché portano un
portabilità che tu sai se
c’è un’interruzione o se ce n’è un’altra
ambiente attraente da correre dentro
possiamo spostare il nostro codice e la sicurezza ha
è stato orribile porting se qualcuno è mai stato
attraverso di te conosci la migrazione di a
calzino o un firewall o un internet
connessione il nostro approccio tradizionale a
la sicurezza non è molto gradita se
in realtà ci concentriamo sui livelli superiori
dobbiamo avere la possibilità di ottenere non solo
fare la sicurezza in modo più efficiente ma anche a
fare di più la nostra infrastruttura
portatile nel suo insieme che io quale io
penso sia molto eccitante, quindi tu lo sai
pensa che una delle cose importanti sia
costruendo ponti che uno dei discorsi
quello che ho fatto di recente Josh e io
parlando di come i team di sicurezza potrebbero
costruire l’allineamento attraverso l’organizzazione
e il CTO dei team DevOps era uno
dei casi studio all’interno di quel discorso
ma abbiamo parlato di un numero di
diverse aree diverse e tu sai
una delle cose che io come guardo al
Le opportunità DevOps sono la nostra sicurezza
i team vogliono anche l’ automazione, perché potrebbero non farlo
lo sai ancora potrebbe essere necessario educare
loro potrebbero essere dicendo diversi
parole ma se guardiamo se tu se tu
dovevo dare la tua squadra di sicurezza
requisiti per loro per loro di lavorare
nel tuo ambiente sai che vogliamo
cose che sono orchestrate vogliamo
cose che sono qui guidate e API
provvisorio che lì che la sicurezza
può essere automaticamente valutato lì
non deve essere un umano che entra
e recensioni e guarda questo e ha detto
hey sta bene o no a distribuire il
cambiare consiglio consultivo dovrebbe essere
automatizzabile dovrebbe essere portatile e
dovrebbe essere basato sul rischio o appropriato
pensiamo che quando arriveremo alla cripto parleremo
che un sacco di sicurezza
gli standard non prendono
conosci i rischi e l’idea I
getta veloce e stamattina sei
parlando alla vita media il
contenitore zero minuti o uno
minuto l’idea che ho avuto questo
conversazione un sacco di volte nei big data
ambienti che per dire oh vabbè
stai lavorando con te conosci il cliente
dati e questo è devi avere questi
17.000 controlli prima di poter essere distribuiti
questo mi piace prendere questo
i dati lo spenderò in un
mille macchine la superficie di attacco
ci sarà per un’ora e me ne vado
per spegnerlo e cancellarlo tutto così tu
conosci il rischio di vivere per quello
un ora contro in perpetuo è molto
diverso e noi così che rafforzano la nostra
squadre di pensare in modo diverso quello che tu quando
parli con il team di sicurezza che sono
dicendo bene sai che voglio la mia sicurezza
più vicino ai dati che conosci
proteggere l’infrastruttura casuale non lo è
quindi sai che non sta fermando gli avversari
quindi proteggere ciò che conta dove
conta come importante costo di conformità
quindi parte del motivo per cui sai che sono un
venditore ora I i I stato una sicurezza
professionista sia operativo
lato così come un agente di sicurezza
la conformità è una è la parte peggiore di
sicurezza in questi giorni in molti casi
Il dipartimento di sicurezza è diventato il
ufficiale di controllo di conformità principale non
il responsabile della sicurezza o del rischio
le organizzazioni ci sono ci sono tendenze
attraverso tutta la sicurezza sull’abbassamento
il costo della conformità che in molti
casi stiamo facendo la sicurezza come cose
come la segmentazione e nei nostri dati
centri non perché è la cosa giusta
per sicurezza perché riduce il nostro PCI
ambito di audit che il costo in entrambi i
il tempo e il costo della conformità sono grandi
problema con la produttività degli analisti della sicurezza
molto come lo sai che se sei se
hai esperienza in DevOps te
probabilmente riceverai dieci chiamate per i reclutatori a settimana
perché non ci sono persone là fuori
l’analista della sicurezza è così raro
qualcuno che capisce davvero
infrastruttura di sicurezza cosa sta succedendo
in un incidente quando c’è un avversario
facendo abbiamo pochissime di queste persone
e se vai alla conferenza sulla sicurezza
ci sono 80 startup che sono tutte
fare è un flusso di lavoro per fare l’analista
inventario più produttivo e migliore
la maggiore uniformità di gestione patrimoniale
stiamo prendendo la complessità dal
ambienti aggiornamenti e patch più veloci
per la conversazione di cuore
e e la maggior parte delle persone di sicurezza se loro
non ho questo sulla loro lista
non dovrebbe funzionare con te non vuoi
essere medico sapeva che quella maggior parte delle persone
odio dire di no e devono farlo
il loro lavoro ma in molti casi ma loro
odio essere dr. ortica e
guardiamo queste cose che ci sono
in realtà molto in comune che il grande
la sfida oggi è quella e io sono uno
dei venditori che ne ha alcuni
i prodotti che hanno questo problema è
c’è un grande divario tra questo desiderato
stato e sicurezza in esecuzione come codice che ero
Stavo parlando con Sharon questa mattina
che se tu facessi la sicurezza di internet tu
conoscere a metà degli anni ’90 quando il
Internet è decollato da internet
questo giocattolo per qualcosa che davvero
importava dal punto di vista del business ma
non avevamo nessuno strumento su come noi
sicurezza di Internet gestita e ridimensionata e
sicurezza del sito Web e persone che mi sento come
siamo in un posto molto simile ora
che abbiamo le cose che contano
guidando un valore aziendale immenso ma il
gli insiemi di strumenti non si sono evoluti fino a dove il
punto dove hanno gooeys e hanno
automazione delle cose di cui hai bisogno
per farli funzionare e quindi c’è
c’è molto credo nella sicurezza
Squadre Penso che i discorsi di Chan siano grandi e
come abbiamo bisogno di portare questi insieme a
sai che la sicurezza è il concetto di codice
qualcosa che ha bisogno di molto lavoro
e vorrei incoraggiare le tue squadre a ottenere
coinvolto in modo parlerò prima
questo è un paio di sicurezza di base
blocchi che dovrebbero essere parte
dei tuoi piani e come architetto
soluzioni e le esaminerò rapidamente
e loro si immergeranno in qualcosa in più
su ciascuno di essi, così lo sai prima
identità se non sai chi o cosa
sta facendo le cose o, ancora più importante
non è riuscito a fare qualcosa che i fallimenti sono
importante che sia davvero
attributo importante per la comprensione
controlli di implicazioni di sicurezza su cosa
utenti privilegiati e privilegiati
l’infrastruttura può farti sapere che penso
il particolare degli incidenti di Snowden messi
un grande focus e sicurezza sul
utente privilegiato penso che ci manchi
il concetto di infrastruttura privilegiata
e codice privilegiato se si guarda a cosa
tu se guardi cosa automatizzato
schieramenti possono fare lì c’è il privilegio
se guardi come siamo centralizzati
infrastruttura se controlli l’AWS
account o la gestione VMware VM
strato o l’infrastruttura di storage voi
avere un controllo immenso su entrambi i livelli di sicurezza
e le operazioni dell’organizzazione
e così saprai separati usando meno
i privilegi sono componenti importanti in
quella crittografia è qualcosa che ha
più in alto sulla pila ha davvero portato
indietro quale cripta criptica era davvero
era nelle banche grandi banche e grandi
i governi
persone che l’hanno usato all’improvviso
sappiamo che stiamo vedendo persone per 10 persone
startup utilizzando il st. volendo usare
la stessa infrastruttura di crittografia
a causa degli impatti che potrebbero avere
parleremo delle radici della fiducia e di come
cripto gioca in questi ambienti ma
crypto ha un paio di differenti
funzioni sai che uno è ciò che cripto
ti consente di annullare la condivisione in una condivisione
ambiente così se tu se criptassi
qualcosa e tu tieni le chiavi te
può alla fine metterlo in ostile
territorio e una merda suora fondamentalmente
annullare la condivisione di quei dati e potrebbe essere
perché hai una separazione interna
a cui non vuoi un amministratore del database
essere in grado di vederti sai di sapere
informazioni sui clienti potrebbe essere perché
dei problemi di conformità con il tuo cloud
fornitore di una terza parte di cui hai bisogno
illustri al tuo auditor che lo sai
che i dati sanitari possono essere visti da
il da esso admin al provider cloud
ancora più importante quando sento le persone dire
quando lavoro molto con i clienti e
nuvola e diranno bene non mi fido
Amazon o Microsoft e che cosa davvero
significa che non mi fido del governo
agenzia che potrebbe costringere Microsoft o
Amazon a turno costretto a girare il mio
dati e quindi ovviamente gli avversari
è quella la loro separazione che può
arriva se vengono presi i dati crittografati e
non c’è un accesso ai tasti
e cripto è ben applicato fornisce
così forza di resilienza e poi quelli
fantastico che tu sia Adrian menzionato
registrazione e auditing che tu conosci noi
devi sapere che abbiamo viste granulari
di quello che è successo per realizzare le cose
o le cose andranno male, lo siamo
andando ad avere incidenti e l’abilità
per capire cosa è successo a remedi mangiato
loro e imparare e non ripeterli
quella data di unione dei tronchi è importante
penso che ci sia una grande opportunità per
automatizzare la dimostrazione di conformità
questa è un’area in cui di nuovo II tipo di
termine spengo e la gente parla
conformità, ma se i dati che abbiamo
l’auditing è un processo incredibilmente manuale
oggi e se settimana uno dei migliori
modi per andare ai migliori amici in sicurezza
è quello di automatizzare qualcosa che un ordine
li sta facendo manualmente, oggi lo farai
hai un amico per la vita così
ci sono una serie di motivi per cui noi
bisogno di questi componenti qui come te
guarda l’identità sai che sono lì
sono molte soluzioni per gli umani
c’è uno spazio aggiuntivo
chiamato identità e gestione degli accessi I
chiamalo il pronto soccorso sicuro
è immensamente complesso come i tuoi venditori
sì, IBM e Oracle e CA che hanno
questi sistemi ERP simili che prendono i dati
dai sistemi HR e contractor e put
ruoli e e tu conosci e fornisci
quelli fuori sono quelli sono a volte
utile c’è una nuova nuvola io sono spazio
questo è molto di più che si è quello
molto più provvisorio e gestibile e
la buona notizia è un anno fa, se tu fossi
parlando dell’API di provisioning è con
questa gente la risposta è stata Oh, metti questo
nella directory attiva e wilke off
lì e l’anno scorso si sa
se ne sono andati da te lo sanno
approccio directory aziendale a oh
ecco come può essere la nostra soluzione
qui viene fornito un app di gestione
c’è stata una grande evoluzione in
questo spazio e uno di questi occhi
incoraggiare la gente è che sai risolvere
l’identità per tutti è davvero difficile
soluzione risolvendola per il sai
gli utenti privilegiati sono davvero bravi
luogo per iniziare che tu sai lui o lei
potresti schierare è Dio se quelli
creativo quell’account non sta bene
sei riuscito a sapere se hai condiviso
account di root che fa dipendenti a
problema quindi questo è un ottimo posto a
buon posto facile per iniziare c’è molto
meno soluzioni là fuori per il sistema
processi di servizi e cose nel
Internet of Things sai che abbiamo
ho parlato di gente per quello che sai
come si fa la gestione dell’ID del dispositivo quando
hai un milione di dispositivi e Internet
di cose questa è un’area in cui siamo
le cose ci sono non c’è molto
off-the-shelf soluzioni oggi un sacco di
i venditori di identità ti diranno il loro
roba funziona penso che lo troverai
non sempre è la buona notizia
abbiamo bisogno di te ID o qualcosa del genere
simile per praticamente tutto noi
distribuire se hai intenzione di giocare e
gestisci migliaia di qualcosa di cui hai bisogno
per identificarlo in modo univoco e trovarlo
quindi abbiamo alcuni principi qui
che possiamo lavorare fuori e e che cosa è
anche capire è lo sai
capire il codice privilegiato che se noi
avere cose che sai che un codice
può colpire andare e distribuire o unda stratagemma
che quel codice ha tanto potere quanto a
utente privilegiato e così comprensione
quelle identità e tu sai così guardando
alle credenziali il al corriere
la pila di produzione moderna tende ad essere a
ottimo punto di partenza che conosci il
la quantità di persone che ho visto
ho speso un sacco di tempo su app sec
e quindi sai fare imponenti spiegamenti
un AWS e poi conosci un comune
percorso una password cattiva comune per tutti loro
L’account AWS attiva anche il multi-fattore
autenticazione che se puoi
controlla lo stack di produzione che hai vinto
non importa veramente vero bene Cohen o
non così sai che lo stack di produzione è
un posto importante da guardare ancora da gestire
identità prima una cosa è quella
in realtà mi ha sorpreso come eravamo io
è in preparazione per questa presentazione
c’è stato un sacco di pensiero Thaksin
intorno alla comunità DevOps in giro
gestione segreta e c’è un sacco di
prodotti e progetti open source che
chiamarsi gestione segreta il
server e ciò che mi ha sorpreso non ho potuto
trova qualcuno che in realtà ha scritto un bene
definizione di un segreto e ho bisogno di
lavoro su Voglio lavorare su uno solo ma
ma penso ad alcuni esempi di segreti
penso che tutti conoscano una chiave di crittografia
è un segreto ora le password sono API segrete
le chiavi indicano che sai qualcosa
da cui vuoi tenerti nascosto
qualcun altro è un segreto e noi dobbiamo
gestire quelle cose e alcune di quelle così
alcune delle domande astri che conosci
dove stiamo conservando i nostri segreti dove
è usato sai chi o cosa è
autorizzato a usarlo e tu lo sai
cosa fa gli occhi auto da fare e quello
ti consente quindi di farti sapere a
i commenti sui casi di abuso hanno controlli a
assicurati che queste cose siano usate
modo in cui dovrebbero farlo se parliamo
su cosa dovresti fare parliamo
su come sai come non farlo
proteggere il segreto in modo che tu lo sappia prima
cosa non dovresti fare è incorporata
codice sorgente e punti bonus se sei stato
nel codice sorgente e quindi pubblicarlo su
ottenere la ricerca quando è stato lanciato
nel 2013 è stato uno dei più grandi
strumenti per la sicurezza squadra rossa perché
devi solo cercare di iniziare RS come privato
chiave e saresti stupito di
numero di cose è meglio ora ma dentro
2013 è stata una miniera d’oro di crittografia
chiavi sì una dimensione dell’API le chiavi
so che intendo Amazon ha dovuto avere aa
pre altri programmi di testata di Cal Fire
che effettivamente esaminano il pubblico
repository perché i loro clienti
continua a pubblicare le loro chiavi quindi è divertente
ma è troppo reale quindi la gente va oh
beh, non ho intenzione di inserire il mio codice, lo farò
metterlo in un file di configurazione o uno script
accanto ad esso stesso problema
e l’altra cosa lo sai
le persone cercano di essere più creativi e uno
le cose di cui parleremo è fare cripto
l’errore è quasi peggio che non farlo
a tutti che prenderanno la chiave e e
offuscare o meglio nasconderlo
da qualche parte e tu crei operativo
sfida te stesso e davvero no
non migliorare la sicurezza, quindi se lo sei
facendo una di quelle cose per favore torna indietro
e aggiustarlo così così come proteggiamo a
segreto questo è lungo non lo leggerò è
nella diapositiva che si suppone evochi come a
start-up negli Stati Uniti è quello che Achille
costruendo con questa gestione segreta
server e hanno fatto un ottimo lavoro che ho
nessuna affiliazione con loro ma come lo ero io
facendo la ricerca ho pensato che lo facessero
un ottimo lavoro nel definire come tu
Proteggi un segreto ora stesso ti auditore
conoscere i controlli granulari crittografati quando
è a riposo unico keying un numero di
attributi molto importanti che conosci
criptato professionalmente controllato così tu
conosco cripto di qualità reale e uno di
questi aggiungerò è quello di uno dei
una di quelle cose divertenti che impari padroneggia
il team di sicurezza è quello di discutere
come proteggi il segreto per il segreto
server che vede c’è un segreto
è un problema ricorsivo alla fine tu
bisogno di autenticarsi per il segreto
server e un’aggiunta è che questi
distribuito segreti di distributore se tu
puoi ricavarle quelli che stai benissimo
meccanismi che dovrebbero avere meno
privilegio e così sai che non dovresti
avere un comune qui se non dovessi avere
una chiave che puoi aprire tu puoi
consentire ogni istanza attraverso il
impresa di prendere qualcosa e causare
un’azione che è in grado di fare questo
granulare è una delle cose chiave ma
vuoi pasticciare il tuo team di sicurezza
i segreti ricorsivi i segreti sono a
è una divertente conversazione divertente così così come
gestisci bene queste cose così dentro
lo sai che prima molta gente va da me
fai da te e se non lo sai
quello che stai facendo non è questo, ma io ho
visto alcune cose fai da te che ho messo uno di
li in soluzioni cloud a Seussville
hanno fatto davvero un bel lavoro
dicendo che sai cosa è un segreto
Posso mettere un file che io conosca
ho ho l’archiviazione degli oggetti come s3 io
ho una forte identità e accesso
controlli di gestione intorno a noi
re e io so che è un servizio
come il servizio di gestione delle chiavi di Amazon
che hanno costruito il loro hanno rotolato
loro e se avete la set di abilità
di ricerca fai che hai possibilità
ma penso che la buona notizia sia che c’è
molte altre soluzioni là fuori
sono in arrivo che non c’è bisogno di così
c’è la tradizionale chiave crittografica
spazio di gestione e durante il giorno I
lavoro per Gemalto precedentemente safenet
Gemalto è identità e protezione dei dati
divisione e abbiamo un numero di
prodotti qui e il tuo tradizionale
i manager chiave sono davvero bravi a gestire
le chiavi gestiscono i cicli di vita ma tu sì
sono loro non sono loro non erano
necessariamente API è scalabile
che devono essere conosciuti
qualcosa con cui lavoro ogni giorno dentro
la nostra organizzazione si sta assicurando di essere
investendo per fare quelle cose così tu hai
guardare là sono grandi per
chiavi di crittografia, ma la maggior parte delle persone no
so che c’è uno standard chiamato kmf
l’interoperabilità della gestione delle chiavi
protocollo che è stato progettato dal
industria di stoccaggio perché lo stoccaggio
i venditori non volevano essere nella chiave
gestione aziendale avrebbero detto hey
come possiamo monetizzare questo e lasciare
la gente compra un manager chiave è arrivato
questo concetto chiamato un blob e così tu
può rendere praticamente qualsiasi cosa una k-map
oggetto quindi c’è il concetto anche se
non stai usando, ma qualcosa
è davvero utile da guardare perché
questo concetto di un segreto unico o a
blob che non deve conformarsi a te
conosci e chiave RSA conosci la chiave privata
struttura altre cose che puoi fare cloud
le soluzioni sono state fatte così amazon
penso che sia stato il leader in questo
space cloud hsm come lo sai
qualcosa che devo spendere molto
di tempo personalmente con quello sì è stato
la prima volta dove potresti effettivamente
mettere una chiave di crittografia nel cloud con
con un elevato grado di auditing elevato
fiducia nel fornitore di servizi cloud
non ha accesso a quella chiave loro
separazione tra crittografico
funzione che l’utente finale ha e
Amazon è un fornitore di cloud cosa loro
potrebbe fare Amazon anche lanciato KMS che
è qui ma più di un’infrastruttura
anche per un servizio per i loro servizi
come ha un’applicazione e un’API REST s4 per
le applicazioni da usare sono gli anni ’80 s3
approccio ho parlato del loro sistema di messaggistica istantanea
quello che mi riguarda potrebbe essere fare attenzione
circa è abbiamo parlato di portabilità
se il tuo servizio offerto viene dal tuo
fornitore di cloud che devi capire
come cambieresti successivamente KMS no
lo rendono molto facile da prendere il vostro
fare qualcos’altro con esso nuvoloso HSM
ti permette fino a quando è per un altro
safenet HSM e la stessa sicurezza di sicurezza
configurazione che è anche carina
barra alta Microsoft è implementato come tuo
le chiavi di volta sono molto simili, quindi le grandi
scala e gestione non addormentate
portabilità e c’è una tonnellata di altro
soluzioni che sai evocare
menzionato ha un hachey manager segreto
Corp è costruito un prodotto chiamato vault
scritto e vai è quello che è
piuttosto eccitante è presto ma ma
molto eccitante piazza open source loro
soluzione di Wiz chiave quale che fondamentalmente
è un piacere trattare come file carino
approccio innovativo barbican è parte di
era l’iniziativa OpenStack
originariamente progettato come un segreto condiviso
gestore dell’infrastruttura OpenStack
ma quello che stavamo vedendo è quello che stiamo vedendo
persone che evolvono un’infrastruttura
iniziando a usarlo per altri non altri
servizi non OpenStack quindi ce ne sono alcuni
sviluppo innovativo in corso
Barbican c’è c’è qualche caveau di chef
i progetti sono piuttosto interessanti
cose come lui conosce le tue capacità e
le tue esigenze di sicurezza di cui stiamo parlando
livelli di sicurezza crittografica al livello successivo
lo sai nuvoloso hsm è il più alto
sicurezza conosci il modello criptato che puoi
avere nel cloud è anche uno dei
il più costoso e il più vincolante
architettonico II mentre tu conosci la chiave
ma penso che qualcuno dica abbia
alcuni problemi di sicurezza ma non lo è
progettato di sicuro e quindi se si guarda
che quadrato ha anche il quadrato
applaudito chiamato Bletchley cioè a
che espone il loro h SMS così
capire ciò che prodotti
bisogno di dove è importante così così uno di
cose su cripto, sai cripto
è spaventoso che è molto è Cryptos uno dei
i pochi posti che conosci puoi facilmente
spararti ai piedi se tu
crittografare qualcosa e perdere il
chiave di crittografia che hai auto-distrutto
i tuoi dati personali quindi è davvero utile quando
vuoi mettere i dati nel cloud e
decidi di aver finito con te solo tu
vuoi cancellare la chiave e non preoccuparti
sul ciclo di vita dei dati quando tu
volevo che i dati non rendessero molto
buon giorno quando devi spiegarlo
hai perso tutti i dati e c’è molto
e l’altro problema è un sacco di gente
dedicare molto tempo alla distribuzione di crittografia e
quindi manca la chiave di gestione delle chiavi importante
principi di gestione e finiscono per avere
implementazioni di crittografia che sono molto
prezioso in modo da conoscere la bellezza di
crypto è questo l’unico controllo di sicurezza
prenderti se con se prendi la crittografia
dati e mettilo in territorio nemico tu
avere un’affidabilità matematica di questo
dati che conosci in base alla ricerca e
la sua implementazione è così utile
controllo ma deve implementarlo correttamente
quindi conosci tutti questi argomenti
potrebbe essere giornata intera giornata di workshop quindi
passati attraverso questi ad alto livello essere
felice di scavare in più offline questo è un
concetto davvero importante da capire
e ancora una volta ci si può immergere di più ma se
si guarda al criptaggio si l’idea
ritorna bene quale è la qualità
della chiave di crittografia e crittografia
implementazione quindi non ci sai lì
sono cose che chiamano ancore di fiducia così
i moduli di sicurezza hardware sono probabilmente
il più comune lo sai così hsm dire il
ABS nuvoloso HSM ci si sa di fiducia
modulo di piattaforma xin laptop e server
i tpms che hanno alcuni di questi
funziona ma l’idea di una crittografia
di un trust ancore è qualcosa che
puoi creare sai che la prima cosa da fare è
puoi creare una crittografia di alta qualità
chiave così che spesso significa una certificazione
l’autorità è detto che questo è in realtà un
vero generatore di numeri casuali
post-Snowden devo parlare di più
numero di generatori di quanti ne abbia mai avuto
ma ottieni una crittografia di alta qualità
chiave e quindi hai alcune opzioni per
cosa fai con quello che se tu questi
le cose possono saltare una chiave che possono contenere a
inserisci qui dove è quella chiave
mai esposto e questo è ciò che pensi
da un modello di alta sicurezza hai un
chiave e una cassetta di sicurezza, se si desidera utilizzare tale
chiave devi inviare i dati al to
la chiave per essere usata molto in alto
l’architetto della sicurezza può essere architettonico
e limitandoti sai che queste cose sono
veloce ma non sono in mezzo, lo sai
la tua applicazione e memoria e flash
e flash drive veloce quindi c’è qualcuno
sappi ma questo non significa che non puoi usare
loro quindi l’ idea che tu lo sappia
sul lato destro questa alta sicurezza
modello in cui l’applicazione o il carico di lavoro
usa la chiave nell’HSM o nell’in
l’ ancora di fiducia che conosci è a
modello importante per la massima sicurezza
modelli e se qualcuno viene da te e
dice oh ho bisogno di un Phipps, sai 140
debito, conosci l’olandese al terzo livello
implementazione di cripto questo è ciò che
stanno parlando la buona notizia è
puoi davvero cambiare facilità
ottenere alcuni di questi benefici senza
richiedendo la stessa architettura
riguarda quindi se si guarda cosa se tu
guarda molti di quei segreti segreti
la gestione proietta quello che diranno come
diranno oh beh, lo sappiamo che lo faremo
prendi tutti i segreti che hai
lo cripterà e lo memorizzerà
una sorta di livello di gestione e poi
prenderemo quello strato per quello
chiave crittografata e la crittograferà di nuovo
quaggiù, quindi ora prendi la chiave
qualità di generazione e l’abilità che
puoi puoi eliminare un master
chiave e avere l’intera gerarchia
scomparire ma che puoi effettivamente
distribuire le chiavi alle applicazioni su micro
servizi a livello di carico di lavoro così
c’è un numero di modi diversi che
quella crittografia può essere schierata e tu lo farai
ascoltare considerato come la gente dice cose
come se tu sapessi se i livelli di Phipp sono da me
il governo degli Stati Uniti per diventare cavità
standard internazionale per come sono
valutato e c’è il livello uno che è a
livello di impianto software a cui può
essere raggiunto nel software su un riferimento
l’architettura, ma generalmente è fatta in
livello hardware tre e quattro che sono
Solo ambienti hardware e puoi
mescolare e abbinare sapete come gestite
questi ma tu conosci la chiave la chiave questo
è capire cosa sei il sai
quale livello di sicurezza avete bisogno che
sai che questo è incredibilmente prezioso ma
può anche essere molto costoso, quindi lo sai
passare al logging e al controllo
che questa è questa è una delle aree
dove penso la maggior parte degli umani che sono
noioso ma è qualcosa che è davvero
essenziale per la sicurezza ed è un grande
stanno parlando di errs di punto di partenza
per la conformità automatica
conversazione che se anche tu
testare se è possibile produrre dati ricchi a
squadra di sicurezza dovrebbe essere in grado di fare
alcune valutazioni appena fuori da quello
registrazione dei dati se sei a conoscenza
distribuisce ambienti di configurazione e
questo è un posto in cui ho una immensa speranza
la loro comunità di app perché questo è
qualcosa che è fondamentale per ciò che tu
sapere se stai per distribuire qualcosa
per arrotolarlo devi avere
conoscenza e capacità di farlo e così
questo è il posto dove penso di più
di operazioni o relazioni bene
le cartolarizzazioni possono apprendere la domanda
è che puoi farti catturare nel Regno Unito?
attributi chiave in modo da avere i sei
WS chi cosa dove dove quando sei
mettere i registri da qualche parte che è sicuro
a prova di manomissione in modo da conoscere il
se stai loggando e lasciandoli accesi
il server in una directory accessibile da
lo stesso utente l’applicazione quelli
non sono registri sicuri, quindi stai mettendo
quelli in qualche posto che tu
può dimostrare che i log sono i log e
questo è un posto dove ancora se penso
possiamo lavorare per automatizzare un numero di
compito di sicurezza oggi che lo sono
incredibilmente manuale e doloroso e così via
questo è un posto che penso ci sia molto
spero che sia in realtà una delle aree in cui sono
parlare al team di sicurezza riguarda il cloud
la conversazione opposta è da dire
questo è il cloud per dire ai team di sicurezza
dove dovrebbero se non lo fanno
il cloud che dovrebbero iniziare è prendere tutto il tuo
registra e li conficca nel cloud che
ognuno è la rete di sicurezza di tutti
si lamenta di non avere mai abbastanza dati
non hanno mai abbastanza dati di registro che non hanno
sapere cosa è successo non hanno no
archiviazione per tenerlo sai che ottengono
ottengono 15 giorni di log che conosci
hanno bisogno che abbiano bisogno di sei o 12 mesi per andare
torna indietro e trova gli attacchi, quindi questa è un’area
dove penso ci sia un sacco di cose
comunanza e che cosa deve essere fatto così
nei fratelli di chiusura piace sempre finire
con una sorta di domanda o portare via come
possiamo uscire da qui e fare un?
impatto quindi penso che per prima cosa stai trovando
terreno comune con esso con i sistemi
sull’automazione della sicurezza e della conformità
che tutti vogliamo portarti a conoscere nessuno
di noi hanno abbastanza tempo per realizzare
quello di cui abbiamo bisogno e tutti noi vogliamo l’automazione
e quindi è un ottimo punto in comune
di ‘hey sai che potremmo non essere d’accordo
se qualcosa ha bisogno o meno di un codice
rivedere prima di andare in diretta, ma cosa può fare
prendiamo e automatizziamo oggi ciò che fa
per tutta la nostra vita più facile per te
incentrato sull’utente privilegiato di
infrastruttura che se può commettere
disimpegno sai creare creare il
cose che sai di avere
l’impatto maggiore e la portata più ampia
sono un ottimo posto per i giocattoli se ne hai uno
segreto rendilo uno il là è tutto
v’è un fai parte delle aree del
la percezione della sicurezza di DevOps me lo è
che non c’è molta disciplina
intorno ai segreti e penso che ci sia
se è vero o no nella tua squadra
ci sono molti esempi là fuori
questo è il supporto che così se hai
un segreto fa un segreto e non farlo
prendi cripto leggermente una delle bellezze
di questi servizi cloud per crypto è
che conosci cinque anni fa
criptato dovevi essere un criptico geek e
e nessuno può permettersi di avere una crittografia
geek incorporato in ogni squadra ora sai
ci sono servizi che guidano le nostre API
che ti stanno rendendo possibile farlo meglio
ma se lo fai fallo bene tutto dentro
chiusura rendendo la sicurezza portatile che è
qualcosa che il tuo team di sicurezza deve fare
con te ma l’idea se possiamo farcela
portatile di sicurezza che possiamo effettivamente fare
sicurezza più agile come noi
mentre ci muoviamo lungo quindi penso che ci sia un
c’è un sacco di opportunità, si spera
questi componenti puoi vedere alcuni modi
che portare a casa e costruire ponti e
migliorare la sicurezza oggi quindi grazie mille
molto tempo e attendo con ansia il
pannello
tu
materiali da costruzione e quindi sappiamo che abbiamo
abbiamo già detto che sai già come
scriviamo un buon codice come facciamo?
ambienti di qualità e come facciamo noi
scegli i nostri componenti con saggezza sai
cos’altro è rimasto e quindi c’è un po ‘
sai che guardo alla sicurezza, penso
c’è una sorta di due serie di
strumenti di sicurezza ci gli strumenti di sicurezza
che sono molti i farmaci da prescrizione
sfortunatamente ciò che facciamo in sicurezza
correggendo per problemi altrove nel
sistema non incolpare le persone per quello
alcuni dei venditori sono quelli a
colpa per questo ma molta sicurezza se
vai a una fiera della sicurezza sei tu
sapere che fissa i suoi doug di produzione da sistemare
cose contro stili di vita sani e così via
Vorrei provare a parlare di alcuni dei
cose che sono gli stili di vita sani
di come costruiamo componenti sicuri
nelle nostre infrastrutture e penso
questo è importante per una coppia
motivi per cui uno è come lo chiami tu
le questioni di sicurezza e conformità lo farò
parlare nella prossima diapositiva che questo come
questi stanno tenendo il DevOps
movimenti e alcune organizzazioni e
l’altra cosa penso che sia importante
una delle ragioni che penso tu sappia è
josh ha detto che sono d’accordo che penso che DevOps sia
un’occasione di 30 anni per la sicurezza noi
non vedrà mai un’opportunità di sicurezza
come questo di nuovo in molte delle nostre vite
perché sai che ero un computer iraniano
sicurezza globalmente un generale elettrico e
e come organizzazione di controllo che
dimensioni da una prospettiva di sicurezza di
le realizzazioni che ho avuto se non lo facessi
sapere quali sono in pratica le operazioni visibili
principi se non sai cosa tu
avere come è configurato e come
modifiche su cui si basa qualsiasi controllo di sicurezza
quella cima oltre a quella cripto è
piuttosto difficile la casa sulla sabbia
problema e le sfide e la sicurezza
nessuno in sicurezza possiede la configurazione
asset e change management e il
la bellezza è DevOps è farlo cloud e dev
le operazioni sono le prime cose che sono
fondamentalmente cambiando quelli come
lo facciamo o le imprese e questo è un
ottima cosa per sicurezza e così ottengo
scooping molto frustrato dirà oh
DevOps sai che ne stiamo facendo tre
distribuisce un giorno non riesco a fare una revisione del codice
è orribile come loro
in realtà costruendo ripetibili affidabili
infrastruttura che è il primo passo
facendo bene la sicurezza e così via
mi eccita davvero su ciò che mi frustra
è quando vedo sondaggi come questo che tu
so che CA ha fatto questo sondaggio lo scorso ottobre
e sicurezza dei problemi di conformità
è stato visto come il numero uno molto
presto sono 1425 persone di Enterprise
più grande barriera quindi indipendentemente da cosa
motivazione sai Josh proprio vicino
vector Josh le diapositive indipendentemente dal fatto che sia
cuori e menti soldi qualunque
motivandoti la sicurezza ci sta mantenendo
da ottenere questo fatto molto
organizzazioni oggi e andare avanti
e una delle sfide è che io
pensare abbiamo parlato di sicurezza deve
migliorare per questo è questo non è hey tu
sappiamo che abbiamo sicurezza adesso
c’è una breccia al giorno che conosci il nostro
attuali approcci di sicurezza in modo chiaro
non funzionano e quindi se le squadre lo sono
venendo a dire hey dovresti prendere tutto
questo i 20 anni di buone pratiche e
sicurezza e costruisci quelli che penso sia
appropriato spingere indietro e andare wow bene
quelli non sembrano funzionare molto bene
come è e cloud era che era un grande
dimostrare ER di quello che tu sai che io sì
pensa di più in quasi tutti i casi DevOps
ha un componente cloud ad esso e ed io
pensare a una delle sfide che si stanno distribuendo
che hanno problemi a trattare
nuvole così ancora prima di arrivare al
complessità implementazione continua just
il fatto che questo esiste in un pubblico
ambiente cloud o o ambiente
dove non ti fidi necessariamente di te
l’amministratore di sistema c’è il fusibile
come la sovranità dei dati di sicurezza e
conformità che è meglio trascinare
le nostre distribuzioni cloud e se lo siamo
trascinando nuvola stiamo davvero andando a
si trascina su DevOps, quindi parleremo
su alcuni dei componenti oggi di
come possiamo aiutarlo a creare un’immagine nella sua
presentazione stamattina ho un po ‘di
lato sinistro di questo è per
presentazione lui e io abbiamo fatto un paio d’ anni
fa quella sorta di mappa di sinistra
di nuovo i controlli di sicurezza ed ecco a
sicurezza dell’host di sicurezza di rete che minuscolo
piccola linea di dati di sicurezza delle applicazioni
identità ed energia dell’identità di sicurezza
sicurezza e alcune opinioni approssimative del
dimensione di quanti soldi spesi e poi su
il lato se è difficile da leggere, ma tu
sapere che fondamentalmente la piattaforma com’era
la nostra piattaforma di servizio come servizio di
software come servizio e quando si guarda
dove spende l’ufficio della sicurezza
i loro dollari nella maggior parte delle organizzazioni
oggi sono gli strati inferiori di questo
pila
va a chiedere l’intrusione dei firewall
sistemi di prevenzione qualsiasi sistema virus voi
sai che non puoi mandarti a sapere Oroku a
il firewall non funziona davvero molto bene
lo sai che gli strumenti che i nostri
le squadre di sicurezza sono abituate a costruire e
la distribuzione deve cambiare e il bene
le notizie sono se cambiano lo stack
funziona davvero abbastanza bene per micro
servizi e in realtà ci rende di più
agile che una delle grandi sfide
che abbiamo in operazioni generali è
che finiamo con l’aumentare della marea e due limiti
l’infrastruttura che stiamo correndo su
e conosci contenitori e micro
i server sono entusiasti perché portano un
portabilità che tu sai se
c’è un’interruzione o se ce n’è un’altra
ambiente attraente da correre dentro
possiamo spostare il nostro codice e la sicurezza ha
è stato orribile porting se qualcuno è mai stato
attraverso di te conosci la migrazione di a
calzino o un firewall o un internet
connessione il nostro approccio tradizionale a
la sicurezza non è molto gradita se
in realtà ci concentriamo sui livelli superiori
dobbiamo avere la possibilità di ottenere non solo
fare la sicurezza in modo più efficiente ma anche a
fare di più la nostra infrastruttura
portatile nel suo insieme che io quale io
penso sia molto eccitante, quindi tu lo sai
pensa che una delle cose importanti sia
costruendo ponti che uno dei discorsi
quello che ho fatto di recente Josh e io
parlando di come i team di sicurezza potrebbero
costruire l’allineamento attraverso l’organizzazione
e il CTO dei team DevOps era uno
dei casi studio all’interno di quel discorso
ma abbiamo parlato di un numero di
diverse aree diverse e tu sai
una delle cose che io come guardo al
Le opportunità DevOps sono la nostra sicurezza
i team vogliono anche l’ automazione, perché potrebbero non farlo
lo sai ancora potrebbe essere necessario educare
loro potrebbero essere dicendo diversi
parole ma se guardiamo se tu se tu
dovevo dare la tua squadra di sicurezza
requisiti per loro per loro di lavorare
nel tuo ambiente sai che vogliamo
cose che sono orchestrate vogliamo
cose che sono qui guidate e API
provvisorio che lì che la sicurezza
può essere automaticamente valutato lì
non deve essere un umano che entra
e recensioni e guarda questo e ha detto
hey sta bene o no a distribuire il
cambiare consiglio consultivo dovrebbe essere
automatizzabile dovrebbe essere portatile e
dovrebbe essere basato sul rischio o appropriato
pensiamo che quando arriveremo alla cripto parleremo
che un sacco di sicurezza
gli standard non prendono
conosci i rischi e l’idea I
getta veloce e stamattina sei
parlando alla vita media il
contenitore zero minuti o uno
minuto l’idea che ho avuto questo
conversazione un sacco di volte nei big data
ambienti che per dire oh vabbè
stai lavorando con te conosci il cliente
dati e questo è devi avere questi
17.000 controlli prima di poter essere distribuiti
questo mi piace prendere questo
i dati lo spenderò in un
mille macchine la superficie di attacco
ci sarà per un’ora e me ne vado
per spegnerlo e cancellarlo tutto così tu
conosci il rischio di vivere per quello
un ora contro in perpetuo è molto
diverso e noi così che rafforzano la nostra
squadre di pensare in modo diverso quello che tu quando
parli con il team di sicurezza che sono
dicendo bene sai che voglio la mia sicurezza
più vicino ai dati che conosci
proteggere l’infrastruttura casuale non lo è
quindi sai che non sta fermando gli avversari
quindi proteggere ciò che conta dove
conta come importante costo di conformità
quindi parte del motivo per cui sai che sono un
venditore ora I i I stato una sicurezza
professionista sia operativo
lato così come un agente di sicurezza
la conformità è una è la parte peggiore di
sicurezza in questi giorni in molti casi
Il dipartimento di sicurezza è diventato il
ufficiale di controllo di conformità principale non
il responsabile della sicurezza o del rischio
le organizzazioni ci sono ci sono tendenze
attraverso tutta la sicurezza sull’abbassamento
il costo della conformità che in molti
casi stiamo facendo la sicurezza come cose
come la segmentazione e nei nostri dati
centri non perché è la cosa giusta
per sicurezza perché riduce il nostro PCI
ambito di audit che il costo in entrambi i
il tempo e il costo della conformità sono grandi
problema con la produttività degli analisti della sicurezza
molto come lo sai che se sei se
hai esperienza in DevOps te
probabilmente riceverai dieci chiamate per i reclutatori a settimana
perché non ci sono persone là fuori
l’analista della sicurezza è così raro
qualcuno che capisce davvero
infrastruttura di sicurezza cosa sta succedendo
in un incidente quando c’è un avversario
facendo abbiamo pochissime di queste persone
e se vai alla conferenza sulla sicurezza
ci sono 80 startup che sono tutte
fare è un flusso di lavoro per fare l’analista
inventario più produttivo e migliore
la maggiore uniformità di gestione patrimoniale
stiamo prendendo la complessità dal
ambienti aggiornamenti e patch più veloci
per la conversazione di cuore
e e la maggior parte delle persone di sicurezza se loro
non ho questo sulla loro lista
non dovrebbe funzionare con te non vuoi
essere medico sapeva che quella maggior parte delle persone
odio dire di no e devono farlo
il loro lavoro ma in molti casi ma loro
odio essere dr. ortica e
guardiamo queste cose che ci sono
in realtà molto in comune che il grande
la sfida oggi è quella e io sono uno
dei venditori che ne ha alcuni
i prodotti che hanno questo problema è
c’è un grande divario tra questo desiderato
stato e sicurezza in esecuzione come codice che ero
Stavo parlando con Sharon questa mattina
che se tu facessi la sicurezza di internet tu
conoscere a metà degli anni ’90 quando il
Internet è decollato da internet
questo giocattolo per qualcosa che davvero
importava dal punto di vista del business ma
non avevamo nessuno strumento su come noi
sicurezza di Internet gestita e ridimensionata e
sicurezza del sito Web e persone che mi sento come
siamo in un posto molto simile ora
che abbiamo le cose che contano
guidando un valore aziendale immenso ma il
gli insiemi di strumenti non si sono evoluti fino a dove il
punto dove hanno gooeys e hanno
automazione delle cose di cui hai bisogno
per farli funzionare e quindi c’è
c’è molto credo nella sicurezza
Squadre Penso che i discorsi di Chan siano grandi e
come abbiamo bisogno di portare questi insieme a
sai che la sicurezza è il concetto di codice
qualcosa che ha bisogno di molto lavoro
e vorrei incoraggiare le tue squadre a ottenere
coinvolto in modo parlerò prima
questo è un paio di sicurezza di base
blocchi che dovrebbero essere parte
dei tuoi piani e come architetto
soluzioni e le esaminerò rapidamente
e loro si immergeranno in qualcosa in più
su ciascuno di essi, così lo sai prima
identità se non sai chi o cosa
sta facendo le cose o, ancora più importante
non è riuscito a fare qualcosa che i fallimenti sono
importante che sia davvero
attributo importante per la comprensione
controlli di implicazioni di sicurezza su cosa
utenti privilegiati e privilegiati
l’infrastruttura può farti sapere che penso
il particolare degli incidenti di Snowden messi
un grande focus e sicurezza sul
utente privilegiato penso che ci manchi
il concetto di infrastruttura privilegiata
e codice privilegiato se si guarda a cosa
tu se guardi cosa automatizzato
schieramenti possono fare lì c’è il privilegio
se guardi come siamo centralizzati
infrastruttura se controlli l’AWS
account o la gestione VMware VM
strato o l’infrastruttura di storage voi
avere un controllo immenso su entrambi i livelli di sicurezza
e le operazioni dell’organizzazione
e così saprai separati usando meno
i privilegi sono componenti importanti in
quella crittografia è qualcosa che ha
più in alto sulla pila ha davvero portato
indietro quale cripta criptica era davvero
era nelle banche grandi banche e grandi
i governi
persone che l’hanno usato all’improvviso
sappiamo che stiamo vedendo persone per 10 persone
startup utilizzando il st. volendo usare
la stessa infrastruttura di crittografia
a causa degli impatti che potrebbero avere
parleremo delle radici della fiducia e di come
cripto gioca in questi ambienti ma
crypto ha un paio di differenti
funzioni sai che uno è ciò che cripto
ti consente di annullare la condivisione in una condivisione
ambiente così se tu se criptassi
qualcosa e tu tieni le chiavi te
può alla fine metterlo in ostile
territorio e una merda suora fondamentalmente
annullare la condivisione di quei dati e potrebbe essere
perché hai una separazione interna
a cui non vuoi un amministratore del database
essere in grado di vederti sai di sapere
informazioni sui clienti potrebbe essere perché
dei problemi di conformità con il tuo cloud
fornitore di una terza parte di cui hai bisogno
illustri al tuo auditor che lo sai
che i dati sanitari possono essere visti da
il da esso admin al provider cloud
ancora più importante quando sento le persone dire
quando lavoro molto con i clienti e
nuvola e diranno bene non mi fido
Amazon o Microsoft e che cosa davvero
significa che non mi fido del governo
agenzia che potrebbe costringere Microsoft o
Amazon a turno costretto a girare il mio
dati e quindi ovviamente gli avversari
è quella la loro separazione che può
arriva se vengono presi i dati crittografati e
non c’è un accesso ai tasti
e cripto è ben applicato fornisce
così forza di resilienza e poi quelli
fantastico che tu sia Adrian menzionato
registrazione e auditing che tu conosci noi
devi sapere che abbiamo viste granulari
di quello che è successo per realizzare le cose
o le cose andranno male, lo siamo
andando ad avere incidenti e l’abilità
per capire cosa è successo a remedi mangiato
loro e imparare e non ripeterli
quella data di unione dei tronchi è importante
penso che ci sia una grande opportunità per
automatizzare la dimostrazione di conformità
questa è un’area in cui di nuovo II tipo di
termine spengo e la gente parla
conformità, ma se i dati che abbiamo
l’auditing è un processo incredibilmente manuale
oggi e se settimana uno dei migliori
modi per andare ai migliori amici in sicurezza
è quello di automatizzare qualcosa che un ordine
li sta facendo manualmente, oggi lo farai
hai un amico per la vita così
ci sono una serie di motivi per cui noi
bisogno di questi componenti qui come te
guarda l’identità sai che sono lì
sono molte soluzioni per gli umani
c’è uno spazio aggiuntivo
chiamato identità e gestione degli accessi I
chiamalo il pronto soccorso sicuro
è immensamente complesso come i tuoi venditori
sì, IBM e Oracle e CA che hanno
questi sistemi ERP simili che prendono i dati
dai sistemi HR e contractor e put
ruoli e e tu conosci e fornisci
quelli fuori sono quelli sono a volte
utile c’è una nuova nuvola io sono spazio
questo è molto di più che si è quello
molto più provvisorio e gestibile e
la buona notizia è un anno fa, se tu fossi
parlando dell’API di provisioning è con
questa gente la risposta è stata Oh, metti questo
nella directory attiva e wilke off
lì e l’anno scorso si sa
se ne sono andati da te lo sanno
approccio directory aziendale a oh
ecco come può essere la nostra soluzione
qui viene fornito un app di gestione
c’è stata una grande evoluzione in
questo spazio e uno di questi occhi
incoraggiare la gente è che sai risolvere
l’identità per tutti è davvero difficile
soluzione risolvendola per il sai
gli utenti privilegiati sono davvero bravi
luogo per iniziare che tu sai lui o lei
potresti schierare è Dio se quelli
creativo quell’account non sta bene
sei riuscito a sapere se hai condiviso
account di root che fa dipendenti a
problema quindi questo è un ottimo posto a
buon posto facile per iniziare c’è molto
meno soluzioni là fuori per il sistema
processi di servizi e cose nel
Internet of Things sai che abbiamo
ho parlato di gente per quello che sai
come si fa la gestione dell’ID del dispositivo quando
hai un milione di dispositivi e Internet
di cose questa è un’area in cui siamo
le cose ci sono non c’è molto
off-the-shelf soluzioni oggi un sacco di
i venditori di identità ti diranno il loro
roba funziona penso che lo troverai
non sempre è la buona notizia
abbiamo bisogno di te ID o qualcosa del genere
simile per praticamente tutto noi
distribuire se hai intenzione di giocare e
gestisci migliaia di qualcosa di cui hai bisogno
per identificarlo in modo univoco e trovarlo
quindi abbiamo alcuni principi qui
che possiamo lavorare fuori e e che cosa è
anche capire è lo sai
capire il codice privilegiato che se noi
avere cose che sai che un codice
può colpire andare e distribuire o unda stratagemma
che quel codice ha tanto potere quanto a
utente privilegiato e così comprensione
quelle identità e tu sai così guardando
alle credenziali il al corriere
la pila di produzione moderna tende ad essere a
ottimo punto di partenza che conosci il
la quantità di persone che ho visto
ho speso un sacco di tempo su app sec
e quindi sai fare imponenti spiegamenti
un AWS e poi conosci un comune
percorso una password cattiva comune per tutti loro
L’account AWS attiva anche il multi-fattore
autenticazione che se puoi
controlla lo stack di produzione che hai vinto
non importa veramente vero bene Cohen o
non così sai che lo stack di produzione è
un posto importante da guardare ancora da gestire
identità prima una cosa è quella
in realtà mi ha sorpreso come eravamo io
è in preparazione per questa presentazione
c’è stato un sacco di pensiero Thaksin
intorno alla comunità DevOps in giro
gestione segreta e c’è un sacco di
prodotti e progetti open source che
chiamarsi gestione segreta il
server e ciò che mi ha sorpreso non ho potuto
trova qualcuno che in realtà ha scritto un bene
definizione di un segreto e ho bisogno di
lavoro su Voglio lavorare su uno solo ma
ma penso ad alcuni esempi di segreti
penso che tutti conoscano una chiave di crittografia
è un segreto ora le password sono API segrete
le chiavi indicano che sai qualcosa
da cui vuoi tenerti nascosto
qualcun altro è un segreto e noi dobbiamo
gestire quelle cose e alcune di quelle così
alcune delle domande astri che conosci
dove stiamo conservando i nostri segreti dove
è usato sai chi o cosa è
autorizzato a usarlo e tu lo sai
cosa fa gli occhi auto da fare e quello
ti consente quindi di farti sapere a
i commenti sui casi di abuso hanno controlli a
assicurati che queste cose siano usate
modo in cui dovrebbero farlo se parliamo
su cosa dovresti fare parliamo
su come sai come non farlo
proteggere il segreto in modo che tu lo sappia prima
cosa non dovresti fare è incorporata
codice sorgente e punti bonus se sei stato
nel codice sorgente e quindi pubblicarlo su
ottenere la ricerca quando è stato lanciato
nel 2013 è stato uno dei più grandi
strumenti per la sicurezza squadra rossa perché
devi solo cercare di iniziare RS come privato
chiave e saresti stupito di
numero di cose è meglio ora ma dentro
2013 è stata una miniera d’oro di crittografia
chiavi sì una dimensione dell’API le chiavi
so che intendo Amazon ha dovuto avere aa
pre altri programmi di testata di Cal Fire
che effettivamente esaminano il pubblico
repository perché i loro clienti
continua a pubblicare le loro chiavi quindi è divertente
ma è troppo reale quindi la gente va oh
beh, non ho intenzione di inserire il mio codice, lo farò
metterlo in un file di configurazione o uno script
accanto ad esso stesso problema
e l’altra cosa lo sai
le persone cercano di essere più creativi e uno
le cose di cui parleremo è fare cripto
l’errore è quasi peggio che non farlo
a tutti che prenderanno la chiave e e
offuscare o meglio nasconderlo
da qualche parte e tu crei operativo
sfida te stesso e davvero no
non migliorare la sicurezza, quindi se lo sei
facendo una di quelle cose per favore torna indietro
e aggiustarlo così così come proteggiamo a
segreto questo è lungo non lo leggerò è
nella diapositiva che si suppone evochi come a
start-up negli Stati Uniti è quello che Achille
costruendo con questa gestione segreta
server e hanno fatto un ottimo lavoro che ho
nessuna affiliazione con loro ma come lo ero io
facendo la ricerca ho pensato che lo facessero
un ottimo lavoro nel definire come tu
Proteggi un segreto ora stesso ti auditore
conoscere i controlli granulari crittografati quando
è a riposo unico keying un numero di
attributi molto importanti che conosci
criptato professionalmente controllato così tu
conosco cripto di qualità reale e uno di
questi aggiungerò è quello di uno dei
una di quelle cose divertenti che impari padroneggia
il team di sicurezza è quello di discutere
come proteggi il segreto per il segreto
server che vede c’è un segreto
è un problema ricorsivo alla fine tu
bisogno di autenticarsi per il segreto
server e un’aggiunta è che questi
distribuito segreti di distributore se tu
puoi ricavarle quelli che stai benissimo
meccanismi che dovrebbero avere meno
privilegio e così sai che non dovresti
avere un comune qui se non dovessi avere
una chiave che puoi aprire tu puoi
consentire ogni istanza attraverso il
impresa di prendere qualcosa e causare
un’azione che è in grado di fare questo
granulare è una delle cose chiave ma
vuoi pasticciare il tuo team di sicurezza
i segreti ricorsivi i segreti sono a
è una divertente conversazione divertente così così come
gestisci bene queste cose così dentro
lo sai che prima molta gente va da me
fai da te e se non lo sai
quello che stai facendo non è questo, ma io ho
visto alcune cose fai da te che ho messo uno di
li in soluzioni cloud a Seussville
hanno fatto davvero un bel lavoro
dicendo che sai cosa è un segreto
Posso mettere un file che io conosca
ho ho l’archiviazione degli oggetti come s3 io
ho una forte identità e accesso
controlli di gestione intorno a noi
re e io so che è un servizio
come il servizio di gestione delle chiavi di Amazon
che hanno costruito il loro hanno rotolato
loro e se avete la set di abilità
di ricerca fai che hai possibilità
ma penso che la buona notizia sia che c’è
molte altre soluzioni là fuori
sono in arrivo che non c’è bisogno di così
c’è la tradizionale chiave crittografica
spazio di gestione e durante il giorno I
lavoro per Gemalto precedentemente safenet
Gemalto è identità e protezione dei dati
divisione e abbiamo un numero di
prodotti qui e il tuo tradizionale
i manager chiave sono davvero bravi a gestire
le chiavi gestiscono i cicli di vita ma tu sì
sono loro non sono loro non erano
necessariamente API è scalabile
che devono essere conosciuti
qualcosa con cui lavoro ogni giorno dentro
la nostra organizzazione si sta assicurando di essere
investendo per fare quelle cose così tu hai
guardare là sono grandi per
chiavi di crittografia, ma la maggior parte delle persone no
so che c’è uno standard chiamato kmf
l’interoperabilità della gestione delle chiavi
protocollo che è stato progettato dal
industria di stoccaggio perché lo stoccaggio
i venditori non volevano essere nella chiave
gestione aziendale avrebbero detto hey
come possiamo monetizzare questo e lasciare
la gente compra un manager chiave è arrivato
questo concetto chiamato un blob e così tu
può rendere praticamente qualsiasi cosa una k-map
oggetto quindi c’è il concetto anche se
non stai usando, ma qualcosa
è davvero utile da guardare perché
questo concetto di un segreto unico o a
blob che non deve conformarsi a te
conosci e chiave RSA conosci la chiave privata
struttura altre cose che puoi fare cloud
le soluzioni sono state fatte così amazon
penso che sia stato il leader in questo
space cloud hsm come lo sai
qualcosa che devo spendere molto
di tempo personalmente con quello sì è stato
la prima volta dove potresti effettivamente
mettere una chiave di crittografia nel cloud con
con un elevato grado di auditing elevato
fiducia nel fornitore di servizi cloud
non ha accesso a quella chiave loro
separazione tra crittografico
funzione che l’utente finale ha e
Amazon è un fornitore di cloud cosa loro
potrebbe fare Amazon anche lanciato KMS che
è qui ma più di un’infrastruttura
anche per un servizio per i loro servizi
come ha un’applicazione e un’API REST s4 per
le applicazioni da usare sono gli anni ’80 s3
approccio ho parlato del loro sistema di messaggistica istantanea
quello che mi riguarda potrebbe essere fare attenzione
circa è abbiamo parlato di portabilità
se il tuo servizio offerto viene dal tuo
fornitore di cloud che devi capire
come cambieresti successivamente KMS no
lo rendono molto facile da prendere il vostro
fare qualcos’altro con esso nuvoloso HSM
ti permette fino a quando è per un altro
safenet HSM e la stessa sicurezza di sicurezza
configurazione che è anche carina
barra alta Microsoft è implementato come tuo
le chiavi di volta sono molto simili, quindi le grandi
scala e gestione non addormentate
portabilità e c’è una tonnellata di altro
soluzioni che sai evocare
menzionato ha un hachey manager segreto
Corp è costruito un prodotto chiamato vault
scritto e vai è quello che è
piuttosto eccitante è presto ma ma
molto eccitante piazza open source loro
soluzione di Wiz chiave quale che fondamentalmente
è un piacere trattare come file carino
approccio innovativo barbican è parte di
era l’iniziativa OpenStack
originariamente progettato come un segreto condiviso
gestore dell’infrastruttura OpenStack
ma quello che stavamo vedendo è quello che stiamo vedendo
persone che evolvono un’infrastruttura
iniziando a usarlo per altri non altri
servizi non OpenStack quindi ce ne sono alcuni
sviluppo innovativo in corso
Barbican c’è c’è qualche caveau di chef
i progetti sono piuttosto interessanti
cose come lui conosce le tue capacità e
le tue esigenze di sicurezza di cui stiamo parlando
livelli di sicurezza crittografica al livello successivo
lo sai nuvoloso hsm è il più alto
sicurezza conosci il modello criptato che puoi
avere nel cloud è anche uno dei
il più costoso e il più vincolante
architettonico II mentre tu conosci la chiave
ma penso che qualcuno dica abbia
alcuni problemi di sicurezza ma non lo è
progettato di sicuro e quindi se si guarda
che quadrato ha anche il quadrato
applaudito chiamato Bletchley cioè a
che espone il loro h SMS così
capire ciò che prodotti
bisogno di dove è importante così così uno di
cose su cripto, sai cripto
è spaventoso che è molto è Cryptos uno dei
i pochi posti che conosci puoi facilmente
spararti ai piedi se tu
crittografare qualcosa e perdere il
chiave di crittografia che hai auto-distrutto
i tuoi dati personali quindi è davvero utile quando
vuoi mettere i dati nel cloud e
decidi di aver finito con te solo tu
vuoi cancellare la chiave e non preoccuparti
sul ciclo di vita dei dati quando tu
volevo che i dati non rendessero molto
buon giorno quando devi spiegarlo
hai perso tutti i dati e c’è molto
e l’altro problema è un sacco di gente
dedicare molto tempo alla distribuzione di crittografia e
quindi manca la chiave di gestione delle chiavi importante
principi di gestione e finiscono per avere
implementazioni di crittografia che sono molto
prezioso in modo da conoscere la bellezza di
crypto è questo l’unico controllo di sicurezza
prenderti se con se prendi la crittografia
dati e mettilo in territorio nemico tu
avere un’affidabilità matematica di questo
dati che conosci in base alla ricerca e
la sua implementazione è così utile
controllo ma deve implementarlo correttamente
quindi conosci tutti questi argomenti
potrebbe essere giornata intera giornata di workshop quindi
passati attraverso questi ad alto livello essere
felice di scavare in più offline questo è un
concetto davvero importante da capire
e ancora una volta ci si può immergere di più ma se
si guarda al criptaggio si l’idea
ritorna bene quale è la qualità
della chiave di crittografia e crittografia
implementazione quindi non ci sai lì
sono cose che chiamano ancore di fiducia così
i moduli di sicurezza hardware sono probabilmente
il più comune lo sai così hsm dire il
ABS nuvoloso HSM ci si sa di fiducia
modulo di piattaforma xin laptop e server
i tpms che hanno alcuni di questi
funziona ma l’idea di una crittografia
di un trust ancore è qualcosa che
puoi creare sai che la prima cosa da fare è
puoi creare una crittografia di alta qualità
chiave così che spesso significa una certificazione
l’autorità è detto che questo è in realtà un
vero generatore di numeri casuali
post-Snowden devo parlare di più
numero di generatori di quanti ne abbia mai avuto
ma ottieni una crittografia di alta qualità
chiave e quindi hai alcune opzioni per
cosa fai con quello che se tu questi
le cose possono saltare una chiave che possono contenere a
inserisci qui dove è quella chiave
mai esposto e questo è ciò che pensi
da un modello di alta sicurezza hai un
chiave e una cassetta di sicurezza, se si desidera utilizzare tale
chiave devi inviare i dati al to
la chiave per essere usata molto in alto
l’architetto della sicurezza può essere architettonico
e limitandoti sai che queste cose sono
veloce ma non sono in mezzo, lo sai
la tua applicazione e memoria e flash
e flash drive veloce quindi c’è qualcuno
sappi ma questo non significa che non puoi usare
loro quindi l’ idea che tu lo sappia
sul lato destro questa alta sicurezza
modello in cui l’applicazione o il carico di lavoro
usa la chiave nell’HSM o nell’in
l’ ancora di fiducia che conosci è a
modello importante per la massima sicurezza
modelli e se qualcuno viene da te e
dice oh ho bisogno di un Phipps, sai 140
debito, conosci l’olandese al terzo livello
implementazione di cripto questo è ciò che
stanno parlando la buona notizia è
puoi davvero cambiare facilità
ottenere alcuni di questi benefici senza
richiedendo la stessa architettura
riguarda quindi se si guarda cosa se tu
guarda molti di quei segreti segreti
la gestione proietta quello che diranno come
diranno oh beh, lo sappiamo che lo faremo
prendi tutti i segreti che hai
lo cripterà e lo memorizzerà
una sorta di livello di gestione e poi
prenderemo quello strato per quello
chiave crittografata e la crittograferà di nuovo
quaggiù, quindi ora prendi la chiave
qualità di generazione e l’abilità che
puoi puoi eliminare un master
chiave e avere l’intera gerarchia
scomparire ma che puoi effettivamente
distribuire le chiavi alle applicazioni su micro
servizi a livello di carico di lavoro così
c’è un numero di modi diversi che
quella crittografia può essere schierata e tu lo farai
ascoltare considerato come la gente dice cose
come se tu sapessi se i livelli di Phipp sono da me
il governo degli Stati Uniti per diventare cavità
standard internazionale per come sono
valutato e c’è il livello uno che è a
livello di impianto software a cui può
essere raggiunto nel software su un riferimento
l’architettura, ma generalmente è fatta in
livello hardware tre e quattro che sono
Solo ambienti hardware e puoi
mescolare e abbinare sapete come gestite
questi ma tu conosci la chiave la chiave questo
è capire cosa sei il sai
quale livello di sicurezza avete bisogno che
sai che questo è incredibilmente prezioso ma
può anche essere molto costoso, quindi lo sai
passare al logging e al controllo
che questa è questa è una delle aree
dove penso la maggior parte degli umani che sono
noioso ma è qualcosa che è davvero
essenziale per la sicurezza ed è un grande
stanno parlando di errs di punto di partenza
per la conformità automatica
conversazione che se anche tu
testare se è possibile produrre dati ricchi a
squadra di sicurezza dovrebbe essere in grado di fare
alcune valutazioni appena fuori da quello
registrazione dei dati se sei a conoscenza
distribuisce ambienti di configurazione e
questo è un posto in cui ho una immensa speranza
la loro comunità di app perché questo è
qualcosa che è fondamentale per ciò che tu
sapere se stai per distribuire qualcosa
per arrotolarlo devi avere
conoscenza e capacità di farlo e così
questo è il posto dove penso di più
di operazioni o relazioni bene
le cartolarizzazioni possono apprendere la domanda
è che puoi farti catturare nel Regno Unito?
attributi chiave in modo da avere i sei
WS chi cosa dove dove quando sei
mettere i registri da qualche parte che è sicuro
a prova di manomissione in modo da conoscere il
se stai loggando e lasciandoli accesi
il server in una directory accessibile da
lo stesso utente l’applicazione quelli
non sono registri sicuri, quindi stai mettendo
quelli in qualche posto che tu
può dimostrare che i log sono i log e
questo è un posto dove ancora se penso
possiamo lavorare per automatizzare un numero di
compito di sicurezza oggi che lo sono
incredibilmente manuale e doloroso e così via
questo è un posto che penso ci sia molto
spero che sia in realtà una delle aree in cui sono
parlare al team di sicurezza riguarda il cloud
la conversazione opposta è da dire
questo è il cloud per dire ai team di sicurezza
dove dovrebbero se non lo fanno
il cloud che dovrebbero iniziare è prendere tutto il tuo
registra e li conficca nel cloud che
ognuno è la rete di sicurezza di tutti
si lamenta di non avere mai abbastanza dati
non hanno mai abbastanza dati di registro che non hanno
sapere cosa è successo non hanno no
archiviazione per tenerlo sai che ottengono
ottengono 15 giorni di log che conosci
hanno bisogno che abbiano bisogno di sei o 12 mesi per andare
torna indietro e trova gli attacchi, quindi questa è un’area
dove penso ci sia un sacco di cose
comunanza e che cosa deve essere fatto così
nei fratelli di chiusura piace sempre finire
con una sorta di domanda o portare via come
possiamo uscire da qui e fare un?
impatto quindi penso che per prima cosa stai trovando
terreno comune con esso con i sistemi
sull’automazione della sicurezza e della conformità
che tutti vogliamo portarti a conoscere nessuno
di noi hanno abbastanza tempo per realizzare
quello di cui abbiamo bisogno e tutti noi vogliamo l’automazione
e quindi è un ottimo punto in comune
di ‘hey sai che potremmo non essere d’accordo
se qualcosa ha bisogno o meno di un codice
rivedere prima di andare in diretta, ma cosa può fare
prendiamo e automatizziamo oggi ciò che fa
per tutta la nostra vita più facile per te
incentrato sull’utente privilegiato di
infrastruttura che se può commettere
disimpegno sai creare creare il
cose che sai di avere
l’impatto maggiore e la portata più ampia
sono un ottimo posto per i giocattoli se ne hai uno
segreto rendilo uno il là è tutto
v’è un fai parte delle aree del
la percezione della sicurezza di DevOps me lo è
che non c’è molta disciplina
intorno ai segreti e penso che ci sia
se è vero o no nella tua squadra
ci sono molti esempi là fuori
questo è il supporto che così se hai
un segreto fa un segreto e non farlo
prendi cripto leggermente una delle bellezze
di questi servizi cloud per crypto è
che conosci cinque anni fa
criptato dovevi essere un criptico geek e
e nessuno può permettersi di avere una crittografia
geek incorporato in ogni squadra ora sai
ci sono servizi che guidano le nostre API
che ti stanno rendendo possibile farlo meglio
ma se lo fai fallo bene tutto dentro
chiusura rendendo la sicurezza portatile che è
qualcosa che il tuo team di sicurezza deve fare
con te ma l’idea se possiamo farcela
portatile di sicurezza che possiamo effettivamente fare
sicurezza più agile come noi
mentre ci muoviamo lungo quindi penso che ci sia un
c’è un sacco di opportunità, si spera
questi componenti puoi vedere alcuni modi
che portare a casa e costruire ponti e
migliorare la sicurezza oggi quindi grazie mille
molto tempo e attendo con ansia il
pannello
tu
Please follow and like us: