okay, quindi cosa diavolo è questo per un bene?
tutto qui è obbligatorio
questo è due modi in cui puoi twittare me così io
l’ ho appena aggiunto perché c’era molto
di dibattito nelle ultime 24 ore su cosa
diamine è questa cosa robusta e come è
è diverso dalla sicurezza e io amo
il modo in cui lo si esprime in modo sfumato
era che non c’era un codice indissolubile
non c’è un codice sicuro e quando lo fai
è una cosa binaria è che è prendere o
lascia che sia davvero difficile farlo bene
abbastanza non c’è traguardo, ma io
pensa che il punto è che vuoi essere capace
essere punto mille volte e ancora
sii ok, vuoi essere morso da un cobra e
sai ancora fare un sonnellino e
recuperare così, ma penso che la ragione che amo
l’intersezione di robusto che noi
iniziato molti anni fa con il
è il manifesto del software robusto e DevOps
il suo tasso di miele che importa così tanto
il tasso del miele non interessa al tasso del miele
mi importa e amo l’empatia al
cuore di DevOps e credo che sia il
permesso e l’opportunità il
finestra di cui abbiamo bisogno per la sicurezza
finalmente diventare un valido contributore
alle cose quindi non penso che qualcuno dovrebbe
cura della sicurezza per la sicurezza
in qualche modo è come l’ossigeno che è
invisibile nessuno sa che è lì fino a quando
non c’è quindi mi piacerebbe iniziare un
molti dei discorsi ultimamente parlano chiaro
le motivazioni sono tutte motivate
in modo diverso e penso che uno dei
fallimenti storici di sicurezza da parte di
modo sto andando a parlare molto velocemente
soprattutto con il mio ritardo tecnologico ma è così
okay perché nel mondo DevOps tu
meglio abituarsi ma sai che io sono
motivato diversamente dalle altre persone
sono ma quello che ho notato nel mio lo sai
carriera è quella qualsiasi strategia che dipende
su un cambiamento nella natura umana sta andando
fallire quindi non puoi provare a fare qualcuno
preoccupati di ciò che ti interessa di te
per capire cosa gli interessa e
siamo tutti motivati diversamente dal
la cultura degli hacker sta attraversando una fase massiccia
sconvolgimento in questo momento perché alcuni lo fanno
per la gloria alcuni lo fanno per soldi alcuni
fallo per rendere il mondo un posto più sicuro
alcuni lo fanno per attivismo e noi no
tutto andava d’accordo quindi penso invece di
cambiando i valori delle persone dovremmo
capirli e abbracciarli così per me
voglio rendere il mondo un posto più sicuro
questo è ciò che mi sveglia la mattina
e lo prendo molto seriamente così
hai visto tutto questo sai cliché
è una dichiarazione molto profonda da parte di
andreessen ha bisogno di qualcosa molto molto
diverso ha un hacker da molto tempo
ragazzo della sicurezza della cultura che è profondamente
preoccupato di salvare vite umane e io no
scherzando sul fatto che non riesco a vedere questo come
il software sta mangiando il mondo, lo vedo
il software sta infettando il mondo giusto
stiamo mettendo software e connettività
su tutto guarda bene
Internet of Things è Internet
di cose impacchettabili è internet
cose rotte ho chiamato un TEDx
nuotare con gli squali perché lo siamo
entrare in acqua con i predatori all’apice
e non siamo pronti per questo, quindi non lo faccio
vuoi essere un messaggio negativo perché se
il software era puramente cattivo che non avremmo mai
fallo giusto, ci sono tutti i costi e a
beneficio e un rischio e una ricompensa e ho avuto
per riparare il mio mazzo il mio patio a casa mia
e tutto il legno era marcio che dovevo comprare
nuovi chiodi e chiodi sono stati galvanizzati
non sai nessuno perché hai galvanizzato
le unghie ci hanno portato a impedirne la ruggine
ma lo sapevi che dovevo tornare indietro
al negozio per comprare di più perché l’atto
renderli galvanizzati li rende
fragile quindi c’è un compromesso quando tu
vuoi resistenza a trazione non li usi
quando vuoi l’impermeabilità che usi
loro e voglio che guardiamo il software a
un paio d’anni da adesso come vogliamo tutti
benefici del software e della connettività
senza un rischio inaccettabile giusto così noi
già posto fiducia su ciò che vogliamo
rendilo più degno di detta fiducia ora
un modo in cui guardo questo è se guardi
l’anno scorso penso che sia innegabile
è stata aperta la stagione su open source e
anche molti di voi sono colpiti
personalmente e professionalmente dal bug
noto come heartbleed e aveva una bella
logo a parte spezzare un long-held
falsa convinzione che con tutti da palle molti
molti bulbi oculari tutti gli insetti sono superficiali
c’è chiaramente un problema open source
e non è tanto il codice
è improvvisamente vulnerabile è quello
gli attaccanti hanno preso nota e mentre
questo ha un logo in realtà sono 41
vulnerabilità uniche rivelate nel
openssl crypto project lo scorso anno da solo i
ha smesso di contare quest’anno ma c’è
in realtà uno veramente cattivo su due
mesi fa così quando c’è un
un po ‘di sangue negli squali acquatici
Cerchia lo vedi spesso con il progetto
dopo il progetto del progetto ora che noi
avere una grande dipendenza da questi condivisi
pezzi di valore e l’open source è
fantastico, non è possibile tornare indietro
non riesci a rimettere un dentifricio nel tubo
è che sai perché i rapinatori di banche
rapinare le banche, ecco cos’è il denaro
e perché dovrei attaccare l’open source lo è
perché tutti sono profondamente dipendenti
su di esso e ci sono un sacco di
bug una cosa che mi piace sottolineare
sebbene sia questo molti di questi bug
sistemi di controllo industriale interessati
che sono impianti nucleari in acqua
impianti di trattamento e cose che possono
veramente causare danni ora che non è il
parte spaventosa penso che sia la nostra dipendenza
lì la parte più spaventosa è quella loro
unpatch circa il cinquanta per cento del
il primo giorno di bug sono stati risolti all’interno
circa un mese e oltre quasi la metà più tardi
l’ultimo cinquanta percento non l’ha ancora fatto
stato riparato o corretto, quindi quello che abbiamo è
maggiore dipendenza da open source
questo è vulnerabile e attaccabile senza
la capacità di difesa commisurato o
patch o ciclo di vita per gestire e
rispondere al fallimento e questo non è solo
lì la nella mia ricerca su Internet
di cose che abbiamo ora confermato
presenza di openssl sfruttabile in
dispositivi medici che possono ucciderti
sistemi di controllo industriale in
automobili e nelle nostre case shellshock
appena fatto peggio giusto per un sacco di
voi ragazzi, soprattutto se avete visto il
ricerca su quanti dei
i contenitori dockerfile erano in remoto
vulnerabilità sfruttabili in loro uno
dei motivi è qualcosa come Bosch
sta per essere cotta in ogni singolo
LS quindi se hai un particolare
contenitore o un particolare sistema operativo o
particolare sono prima di una certa versione
se non hai un forno in automatico
controllo di sicurezza per il bug Bosch
sai che stai praticamente nascendo prono
ora un modo mi piace metterlo alla gente
come stavo parlando un gruppo di persone in
il governo si trattava di un gruppo di
Gente del Regno Unito e Dipartimento della Patria degli Stati Uniti
Persone di sicurezza e abbiamo avuto un workshop sulla
il fatto che non ci arriviamo davvero tutti
più tardi, ma è venuto da me
ricorda il terremoto haitiano che
ucciso 230.000 persone era un sette
il terremoto di scala 0 del punto 0 aveva avuto
enormi quantità di aiuti umanitari e
ha avuto un sacco di notizie per settimane e settimane
e settimane e la maggior parte del mondo
ha risposto in modo umanitario cosa ha ottenuto
una copertura molto meno è solo circa
un mese e mezzo dopo c’è stato un
molto più forte terremoto 8.8 richter
ridimensionare e rilassare uno dei motivi per cui
non ha sentito parlare è quasi nessuno è morto
c’erano tre punti decimali in meno
il bilancio delle vittime era di 279 persone
e di tutte le persone che ricercano il perché
è successo perché sarebbe un granché
il terremoto più forte ne ha tre in meno
cifre del numero delle vittime il primario
collaboratore tra molti stava costruendo
codici non era la presenza di
terremoti non era la grandezza
terremoti era edificio insufficiente
codici così terribili terremoti nel Cile
incrinato e incrinato il fondamento a
un terremoto davvero pessimo a Haiti appiattito
edifici e ucciso molte persone così
stavamo parlando di questo e ho pensato
questa è una metafora perfetta per il digitale
infrastruttura e software non lo facciamo
avere codici di costruzione per un codice edilizio
e certamente non stiamo usando
materiali da costruzione di alta qualità così è
non sarà la presenza di
attaccanti o addirittura la grandezza di
attaccanti ma siamo pronti ad avere
resiliente difendibile robusto
infrastruttura quindi questo è qualcosa che io
non aspettarti di leggere ma molti anni
di nuovo in risposta al manifesto agile
eravamo ad una festa alla RSA e ho notato
c’è un’intera nuova applicazione
l’industria della sicurezza è spuntata
quasi completamente rifatto il resto
del settore della sicurezza e abbiamo tirato
fuori il robusto vide il manifesto agile
e non c’era la menzione di
avversario non c’era la menzione di
attaccante non ne ha menzionato nessuno
di queste cose e non era da fare
divertimento di agile ho detto che sai perché
agile decollare e poi hanno detto bene
rende la vita delle persone più facile e giusta
avevano un affermativo molto semplice
valore che potrebbero applicare tutti
con le mani sulle tastiere voleva essere
agile quindi ne abbiamo parlato per molti
martini ci siamo solo inventati
robusto e abbiamo scritto il software robusto
Manifesto la notte non è che tempo ho
ti incoraggiamo a leggerlo, intendevamo davvero
questo meno come una metodologia e più simile
un giuramento di Ippocrate come i dottori
prendi la tremenda responsabilità che
viene fornito con la scrittura digitale
l’infrastruttura ora guarda al
ragazzi del soffitto faremo un po ‘
esercita non uno di voi SAT qui dentro
paura perenne che questo edificio fosse
andando a schiacciarti tutto bene è fatto
di acciaio e cemento e siamo in grado di
dipende da ciò è invisibile per noi quando
guidi su un ponte per tornare a casa
non ti preoccuperai se è così
andando a crollare siamo in grado di dipendere
su di esso e la semplice idea era qui
di cui stiamo diventando dipendenti
software come siamo in digitale
infrastruttura e deve essere
progettato con questo in mente
i terremoti esistono e tu devi essere
in grado di gestirli quindi è a conoscenza del
condizioni ambientali in cui noi
trova il nostro software ora la mia linea preferita
come ragazzo di sicurezza riconosco il mio codice
sarà
da avversari talentuosi e persistenti
minacciamo il nostro fisico economico e
sicurezza nazionale ora il mio sviluppo
gli amici hanno un preferito diverso
linea mi piace questa che riconosco quando
Colby ha usato modi in cui non posso prevedere
modi in cui non è stato progettato per più di
mai a posto ora questo è parziale
verità e ha avuto un sacco di adozione anticipata
nella comunità di sicurezza è stato trovato il sistema operativo
questo era molto più favorevole agli affari
c’è modo di parlare di sicurezza
un’altra enorme ragione per cui dovremmo fare
questo però la sicurezza è un motivo negativo
parliamo di un negativo è a
è costato che sia un inibitore, quindi è un problema
anche solo la tonalità della chiamata
qualcosa che conosci robusto resiliente
longevità sostenibile e difendibile
manutenibile sono tutti gli anni ’80 che noi
voglio dentro la qualità, quindi ne abbiamo di più
modo affermativo per parlare con il nostro
stakeholder ora questo ha in realtà
peggiorata da quando l’abbiamo scritta per la prima volta
però perché oh va bene io da allora
mentre quella verità era molto profonda è
in realtà diventa più profetico di noi
pensato e abbiamo effettivamente iniziato un
gruppo completamente nuovo con un diverso
un gruppo di persone chiamato I nella cavalleria
e il riconoscimento di base è la cavalleria
non sta arrivando su questioni che riguardano il pubblico
Sicurezza e vita umana e connessi
tecnologie così abbiamo interi progetti
sulla sicurezza informatica automobilistica abbiamo scritto un 5
Star Automotive Cyber Safety Framework
stiamo lavorando con vari medici
produttori di dispositivi e regolatori a
assicurati che i dispositivi medici non ti uccidano
e quello spirito sta portando avanti così
quando parlo con te non sono semplicemente
parlando dell’app che stai per
scrivere per un Android su iOS il software
che stai scrivendo in questa stanza
la cultura sarà quella che può
salire alla sfida in cui i pacchetti si incontrano
carne e sangue dove possono essere i bit e i byte
influenzare la vita e l’arto così prendo questo molto
seriamente ora nel contesto aziendale
Jean Kim e io lo riconosciamo un po ‘
indietro so che voi ragazzi lo sapete tutti e lasciate
lui ma prima ancora di sapere di lui
era un’immagine o una sicurezza tripwire
strumento e aveva scritto stupendo
studi strabilianti su operazioni visibili a
guarda cosa è l’IT ad alte prestazioni
e 93 organizzazioni lo stavano facendo quando
è venuto per stare con DevOps, ho detto ragazzi
questa è la fine della sicurezza come sappiamo
è il twist però come ho detto forse
questa è una buona cosa e questa è la maggior parte
questo è
una foto di quel giorno oops così eravamo
cercando di mettere insieme le nostre teste come può
prendiamo la comunità della sicurezza chi
pensa che questo sia terrificante e spericolato
irresponsabile e dire loro che non lo è
necessariamente cattivo e questo potrebbe effettivamente
sii il momento che stavamo aspettando
30 anni di cui non lo faremo
vediamo di nuovo per altri 30 anni che non lo facciamo
noi del Devon ci abbracceremo con aperto
braccia e dacci un abbraccio amorevole, così è
come la maggior parte delle persone vede la sicurezza in DevOps
ci stiamo lavorando proprio io devo
dare una punta di cappello a Pete che ci ha mostrato
questo è il più strabiliante che abbia vinto
internet come un mese penso che sia così
la tua foto e io in realtà non sopporto
questa diapositiva oltre al fatto che è
divertentissimo perché questo è davvero
atteggiamento negativo da parte delle persone di sicurezza
e forcella evolutiva sulla strada
persone di sicurezza che hanno questo atteggiamento
o andando a fallire, stanno per morire
fuori e alcuni dei discorsi che abbiamo
assemblati per te oggi e venerdì
andando a mostrare il più moderno adattivo
strategie evolutive che le persone sono
usando a calci qualche culo serio giusto così
questo potrebbe essere il tuo lavoro per sicurezza
persone se abbracci DevOps in questo modo
vorremmo suggerire un altro modo ora uno
dei motivi che odiano le persone della sicurezza
è che voglio rinunciare a questo clicker
il tempo di ciclo spremere bene così quando noi
è andato a cascata e poi siamo andati ad agili
ridisegnato davvero i cicli di progettazione e test
iterativamente in tempi di ciclo brevi ora
che DevOps è fondamentalmente agile per
tutti è stato davvero problematico
per le tecnologie di sicurezza quindi se ci vuole
quattro giorni per presentare un’analisi statica di
il tuo codice e stai distribuendo ogni
quattro ore che non funzioneranno e
molte squadre di sicurezza stanno prendendo
i loro cicli di test tradizionali o
diversi approcci tradizionali che
sono molto alla fine della vita
ciclo e stanno cercando di forzare in forma
loro in questi tempi del ciclo che è
mai in scala e io sono
davvero felice di distruggere facendo il
modo sbagliato perché ci costringe a pensare
riguardo al cambiare a sinistra e a fare di meglio
così è terrificante per loro ma
proprio come un motivo per cui non dovremmo tenere
sul passato quando ero un analista per
il gruppo 451 che ho totalizzato ci sono 160
categorie di prodotti di sicurezza li ho messi
nei cinque secchi e io l’altezza di
il dollaro delle piazze quanti soldi
spendiamo relativo
su cose come antivirus e firewall
la cosa per cui spendiamo meno soldi
lontano è la sicurezza delle applicazioni la cosa
la maggior parte attaccata dagli avversari è
sicurezza delle applicazioni , quindi voglio dire
un’altra volta passiamo il minimo
soldi per la cosa più attaccata che io non abbia
pensare che il denaro sia un proxy per la bellezza
ma in realtà è anche peggio di così
perché quando stavo parlando tutta la mia app
gli amici di sec sono spesi la maggior parte di quei soldi
sul dieci percento o meno del codice
che scriviamo davvero non scriviamo codice
più ragazzi quando lo assemblate
terze parti e open source proprio quelle
i blocchi Lego e i punti di partenza
i mattoni il codice che scriviamo è il
mortaio nella colla mettendolo insieme
quindi stavamo spendendo la minima quantità di
soldi e stavamo spendendo molto
male al dieci percento o meno del
codice che stiamo effettivamente scrivendo
noi stessi invece di concentrarci sul
cuore sanguina scosse Michelle che sono
la stragrande maggioranza del nostro attacco
di superficie quindi la buona notizia è questa
essere un’opportunità o possiamo continuare a farlo
la stessa cosa si aspetta sempre di più
risultati diversi, quindi cerchiamo di innescare
loro questo piccolo pezzo qui è il cinque
le cose che dico che abbiamo tremendo
terreno comune con la cultura DevOps
valore impostato e movimento questo è aree il
il team di sicurezza è limitato a farlo fuori
e in realtà guidiamo il valore numero uno
piace strumentare tutto in questo momento
quando ero a Akamai era direttore
intelligenza di sicurezza vorremmo
strumenti come velocità della ventola e CPU
temperatura sui nostri server e un cinque
potrebbe essere la differenza percentuale nella velocità della ventola
trattato come un indicatore compromesso da
un processo in più in esecuzione e lo faremmo
bruciare quel server che rack di server
o anche quella regione perché potremmo
orchestrare e distribuire da bare metal
così facilmente che potrei trattarlo
anomalia leggermente sospetta come a
evento di sicurezza così strumentazione e
la telemetria casuale è una specie di fantastico e
le persone DevOps non hanno alcun problema
raccogliere e misurare tutto
numero due e sentirai
su questo un pò da James
wicket ma essere cattivo con il tuo codice
mantra destra la trasformazione del
scimmia del caos nell’esercito di Simian e
caos Kong e gorilla e tutto il
diverse scimmie dana e conformità
ma ha scritto leggermente diversamente james
aiuta inizialmente netflix ma giusto
guanto di sfida che è una raffica di automatici
test di sicurezza che puoi fare pre
schiera in unit test i ragazzi twitter
fatto un uomo di rottura così questa cultura e
atteggiamento che vogliamo essere testati noi
vogliamo entrare in una lotta che vogliamo essere
in grado di vedere come possiamo gestire il fallimento
fallire presto riempire se fa male a farlo
sono questi tipi di atteggiamenti
punti di iniezione incredibilmente utili per
la complessità delle persone della sicurezza è nemica di
tutto ciò che tutti odiamo la complessità così
una sorta di guida e desiderio di
eliminare la complessità facoltativa facoltativa
complessità aiuto evitabile complessità
manutenibilità della disponibilità di stabilità
e sicurezza e poi una delle cose
che mi uccide è uno degli altri
relatori questo pomeriggio David Xu lui e
Continuo a fare cose per modernizzare e essere
punta di lancia per quello che è il migliore
modo in cui possiamo estendere e avanzare davvero
buon programma di sicurezza e novanta percento
del consiglio che vogliamo dare è
predicato sull’idea che loro sanno
quello che hanno sanno quando cambia
e non hanno modifiche impreviste quindi
sono le app visibili 101 di Jean Kim’s
lavoro originale se non li conosci
tre cose il novanta per cento del
il consiglio che vuoi darti è inutile
così come una nozione fondamentale non un cambiamento
database di gestione perché abbiamo sentito
già da Adrienne che quelli mai
lavoro ma l’idea di avere un singolo
versione della verità cose come lo chef
burattino che conosci diventare gestione del cambiamento
e quindi l’empatia è il cuore di
tutto così quando qualcuno dice che Josh è
DevOps una cultura è un processo è a
catena di strumenti della tecnologia e io dico di sì
Certo, ma il più grande di questi è il
empatia penso che penso che sia il suo cuore
l’empatia e non viene
naturalmente ai geek e alla sicurezza
ma l’uomo è trasformativo in effetti
Direi l’app killer per il
cadbury con cui lavora così tanto successo
i governi nell’industria automobilistica non sono stati
la nostra abilità tecnica è stata la
cuore di un ambasciatore e traduttore
chi dice come posso aiutarti prima e
quindi una volta ottenuto questo permesso
valore consegnato quindi abbiamo il permesso
da chiedere in cambio quindi penso che
l’empatia aiuta davvero davvero ora se noi
tiralo su di una tacca, lo penso davvero
è l’anno in cui le cose sono cambiate e
una delle ragioni per cui credo anche così
il fatto che siamo qui e la gente piace
Adrian ci sta trascinando in quel suo John
Tipi di Willis e tipi di Damon Edwards e
umili tipi di jazz che stanno finalmente dicendo
sai cosa davvero non possiamo andare più veloce
o essere meglio qualcosa che ci rallenta
abbiamo tipo di colpire lo scaglione superiore qui
forse potremmo guardare qualcos’altro così
quest’anno abbiamo dato un corso di un giorno
tracciare su RSA la più grande sicurezza
conferenza nel mondo era libero noi
sono arrivate 700 persone e te l’abbiamo detto
sai, prendiamo il jazz e alcuni dei
altri per vedere se possiamo prenderli
i prodotti chimici li mettono insieme e vedono cosa
tipo di reazioni chimiche accadono e
le reazioni chimiche erano incredibili
Giusto non solo avevamo un terreno comune
abbiamo iniziato a venire non solo
idee di prodotto o conosci la toolchain
idee ma forse tutto ciò che sai
le aziende potrebbero nascere da solo a
alcune delle interazioni che abbiamo avuto
i geni inizialmente dicono ok, tiriamo
nel jazz e poi è come che diamine
sono riuscito a ottenere me stesso in cui sta uccidendo
il mio piccolo ma ora di nuovo quello in recente
punto però così non penso in questa stanza
necessariamente si preoccupa tanto della sicurezza
come faccio io e cose deboli ogni notte tu
sai dire cosa devo fare per questo
cosa in auto ma penso il modo in cui
il Ducote stava ottenendo è quello
la sicurezza non guiderà mai
valore aziendale ma forse software e IT
potrebbe e DevOps è dove si trova
cominciando ad accadere ma la nozione qui
quando parli con amministratori delegati e consigli di amministrazione perché
sono interessati a ciò che abbiamo fatto
Cosa Pacific Crest con un sacco di
investitori e me e se un sacco di
domande su DevOps ora perché dovrebbero
gruppo di investitori che non sono tecnologia
la gente si preoccupa così tanto che va bene
sta guidando affari trasformativi
valore e penso che uno dei motivi sia
è davvero l’ultima frontiera di
innovazione e differenziazione, quindi cosa
Ciò significa che si è in questa stanza si
probabilmente si preoccupano di tutti questi diversi
parole e poi alcuni ma davvero al
Nel cuore di tutto ciò, si tratta di andare più veloce
giusto in teoria il problema è che non lo è
sull’innovazione appena cruda e su quanti
le linee di codice che puoi produrre riguardano
innovazione netta come quanto valore dell’Unione
produrre e le cose che è il
la differenza tra i due è la qualità
sicurezza
cose del genere quindi ho cercato di farlo
diciamo costruiamo su jeans che conosci l’amore a
il debito tecnico va bene tecnicamente
buttare giù il debito tecnico, sappiamo che è così
disordinato sai composti nel tempo noi
sappi che possiamo avere un debito tecnico
fallimento forse abbiamo parlato di che
con un mio amico stamattina
questo livello di complessità è fatto in
centrale la più grande fonte aperta
repository nel mondo è il codice Java
e io sono il custode di questa mia compagnia
è ed è un casino, sono le tartarughe
cima di tartarughe in cima a tartarughe tutto il
sono le dipendenze transitive
questo è un grafico reale
rappresentazione di esso e la maggior parte del
le fonti aperte del mondo sono costruite da questo
quindi la mia idea è anche se vogliamo andare
sempre più veloce e più veloce
noi crack siamo stati schiacciati sotto il peso
di quella complessità e mi chiedevo se
c’era un modo in cui questo robusto
tribù come app killer come prima
l’offerta potrebbe guidare l’attività reale
valore invece di rendere meno la sicurezza
doloroso e la risposta era un inferno sì e
ti mostrerò wow che voglio dare
con il mio clicker in modo da non poter fare a
DevOps parla soprattutto se conosci John
Willis senza una quotazione Deming giusta I
penso che sia un sacco di universo, ma lo sono
in realtà in modo indipendente un grande fan del
Deming roba ma ho lasciato su un diverso
parte di esso quindi l’ispirazione per la magra
Voglio dire, molti di voi lo sanno, ma lui
ho cercato di andare a Detroit e trasformato
e ha rivoluzionato l’industria automobilistica statunitense
e lo hanno ignorato, così è andato a postare
World War to Japan e ha detto se tu
seguirò il mio esempio entro cinque anni
guarisci la tua economia un’azienda tessile
Toyota ha seguito il suo vantaggio e in cinque
anni del giorno hanno visto la mancia
punto e alcuni di quelli trasformativi
le idee si sono fatte strada nella Tendenza
hanno fatto in modo che fossero agili
il loro modo di DevOps ma penso che noi
non ho davvero avuto un completo abbraccio
Deming e spero di spingerti verso il
bordo oggi così di nuovo a quelle cose che
gli sviluppatori si preoccupano sono i diversi
le persone si preoccupano di cose diverse voi
sai per me si tratta di fare il mondo
un posto più sicuro per gli sviluppatori che voglio
essere in tempo sul budget con accettabile
rischio e l’ultimo tipo di
diritto negoziabile è davvero voglio
essere puntuale sul budget, quindi parliamo
quei termini perché se sei un
lo sviluppatore di cuore non era una sicurezza
evento era un lavoro non pianificato non pianificato
con il cambio di contesto che erano
psichicamente doloroso potrebbe essere tardi
il mio sprint
che potrebbe aver fatto ore di ritardo per il nostro
impegni della tabella di marcia verso i nostri clienti
questo potrebbe costarci un po ‘di tempo per il mercato
e la luce ci è costato enormi affari
grandi istituzioni di servizi finanziari così
non era una cosa di sicurezza
lavoro non pianificato e per una persona ops
non era una cosa di sicurezza o era un
risolvere il problema è stata un’interruzione del servizio
ha danneggiato il mio bonus perché non ho avuto il mio
tempo medio per riparare le statistiche nel conform
cosa ci è voluto troppo tempo per identificare
attraverso seimila applicazioni che
quelli potrebbero aver avuto quella versione di SSL
quindi posso continuare a essere stridulo
addetto alla sicurezza isterica sottolineando
questo è un rischio per la sicurezza o posso mostrarlo
Quanto davvero buona igiene nel nostro software
la catena di approvvigionamento potrebbe forse drammaticamente
ridurre il lavoro non pianificato in programma
soluzioni e tempi di recupero più rapidi
quindi abbiamo visto questo in alcuni modi diversi
oggi ma c’è l’era del fallimento dell’acqua
che è dove ho iniziato nel software
quindi agile niente è più agile di
capre quindi ho provato a piacermi fare un po ‘
modella qui le tre cose a cui tieni
di essere in tempo sul budget tranne il
il rischio agile ci ha reso davvero molto veloci
i test di sviluppo ma abbiamo creato uno scaffale
davvero molto rapidamente giusto così tanto
dei casi era solo seduto con le operazioni
per molto molto tempo quindi quando il
DevOps Pandora è stato lasciato fuori dalla scatola
ora abbiamo avuto qualcosa di simile continuo
consegna DevOps era agile per più il
organizzazione giusta non è un
cosa trasformativa di per se è un
estensione logica della promessa di
agile e ora eravamo in orario e altro ancora
efficiente e quello che sto cercando di suggerire
è ora che siamo all’incrocio dove noi
possiamo dare un più completo abbraccio di noi stessi
può abbracciare parte della catena di approvvigionamento
principi da Deming e forse noi
può aggiungere rigore nella catena di fornitura del software
essere ancora più veloce ancora più efficiente
ma guadagni enormi sulla qualità
manutenibilità e superficie di attacco e
non è qualcosa che stiamo derubando Peter
pagare Paul e non è una finzione questo
sta funzionando così uno dei miei finanziari
rapporti di servizi che ha provato
per un anno di calendario ha avuto un
Incremento del 30% della produttività in tutto il mondo
duemila sviluppatori questo è il consiglio
livello di attenzione nome un’altra sicurezza
progetto che non era un papà come un fallimento
che ha attirato l’attenzione del consiglio di amministrazione per
valore di guida ora non ha lanciato come
una cosa di sicurezza l’ha lanciata come a
igiene
che si riferiva ad alcune delle forniture
catena di informazioni come consumatore
rapporti di software di sottosistemi software
progetti progetti open source e loro
avrebbe una lista di investire in questi
i progetti si disinvestivano in questi progetti
questo semplice anno di dire questi sono
i progetti che ci piacciono hanno una buona igiene
questi sono progetti che non ci piacciono
ridondante o scarsa igiene 30
aumento percentuale nel primo anno, quindi se lo sei
un architetto di impresa che conduce e dev
vuoi in qualche modo iniziare a schiacciare il tuo
bonus e statistiche questo è un modo semplice per
fallo quindi mettiamolo in un non
contesto di sicurezza ecco la Toyota Prius
vs Chevy Volt va bene l’analisi da
i libri della catena di fornitura Toyota al
il tempo ha detto che era del 61% in meno rispetto a
i bulloni hanno venduto 13 volte di più
quell’anno e poi hanno costruito solo circa
la metà delle loro macchine che facevano così
hanno costruito meno della propria macchina in modo che
sembra buono per i profitti, ma il
parte che dovrebbe far saltare la tua mente sono loro
aveva solo 125 fornitori contro 800 per
le chevy pensano al bagaglio di
mantenendo che molti fornitori ma
ecco la parte ancora migliore che hanno fatto
dieci volte migliore uso di ciascuno di questi
fornitori quindi con meno fornitori
costruito di meno la loro macchina ora potrebbe essere così
quell’ultimo valore inutilizzato per il nostro
negozi di software di consegna che conosci
assistenza sanitaria sai oltre a tutti
i suoi fallimenti IT ne avevano 11 diversi
logging frameworks in one project 11
diversi quadri di registrazione non lo faccio
sai perché possono solo andare per uno di
ogni singolo quadro di registrazione ma ma
pensaci così in un abbraccio più pieno
di deming che non dirò se usiamo
meno fornitori migliori usiamo il
fornitura di alta qualità da quelli
fornitori e tracciamo quali parti vanno
dove come potrebbe quello tradurre in
Scenario senza cuore adesso forse tu
devo usare quel progetto, ma tu hai
usare una versione davvero vecchia o possibile
tieni aggiornato sul più fresco di
ingredienti giusti una cosa che ci piace
dire che l’età dell’open source non va bene
vino ma come il latte va a male
molto velocemente soprattutto quando arrivi
quel sangue nell’effetto dell’acqua dove il
presenza in rivelazione di uno in a
progetto tende a portare a significativi
corsa all’oro per trovare di più
o più vulnerabilità in genere
si patch molto dopo il
rattoppando quello iniziale e il
tenendo traccia di quali sono dove c’è un
molto c’è una citazione on-the-record da
il dipartimento della sicurezza interna I
garantisco che il governo britannico ha avuto il
lo stesso problema ci sono voluti sei e mezzo
settimane per determinare quale delle
diverse parti dell’IT federale
ci sono rimasto per sei settimane e mezzo
solo per trovare non rimediare solo a
trovare ora ci vogliono circa sei ore
gli attacchi davvero gravi da iniziare
manifestando una volta bug noti così sei net
settimane solo per identificare ora quello stesso ragazzo
quello che dico ha un incremento del trenta per cento
la produttività ha richiesto sei minuti
perché aveva una lista dei materiali di
tutti i progetti open source che usano tutti
unica cosa nella sua applicazione
portafoglio sei e metà settimane per
nel frattempo i loro identificatori ne fanno da mediazione
e mezzo minuti quindi ne abbiamo alcuni
scelte da fare nonostante il mio errore IT e
cercando di tornare in orario così sai
come quel custode che voglio solo mostrare
come grande di un opportunità che abbiamo a
fare meglio l’igiene della catena di fornitura del software
abbiamo avuto 17 miliardi di download unici da
Maven centrale l’anno scorso è solo
Crescendo da credo che fosse un 13 anni
prima di destra e non si può tornare indietro
l’open source è qui per rimanere il
la differenza è dalla prospettiva degli attaccanti
cercavano un singolo difetto in
il tuo sito web della banca che hai scritto nel tuo
codice personalizzato e quando sono stati fatti
attaccandoti la campagna era finita ma
perché ti attaccherò quando pagherò qualcosa
come puntoni apache ottengo ogni banca
ogni banca destra era il mio spartiacque
momento ero ancora il direttore di
intelligence di sicurezza ad Akamai e molti altri
dei miei clienti è andato giù o ha ottenuto un FBI
lettera e abbiamo dovuto tirarci dentro
chiamate speciali perché questo era attivamente
essendo sfruttato era un difetto e un apache
si pavoneggia per averlo ovunque nel tuo
classpath indipendentemente da come è stato usato
ti ha reso vulnerabile prima di hartley
questo mi ha davvero sconvolto perché io
non mi rendevo conto di quanto fosse pervasivo
open-source aveva gomma soprattutto in
governo e servizi finanziari esso
una volta erano molto riluttanti e
industrie per utilizzare tale altamente regolato
molto open source ma poi quando ho visto il
il più grande consumatore open source nel
il mondo è Morgan Stanley, non è così
non solo per te conosci le startup e e
unicorni come Netflix chiunque così ho guardato
e solo per dimostrare che la cosa della corsa all’oro io
guardato la storia dello stress
progetto e non solo era quel bug lì
per sette-undici anni senza layton
ho incontrato quei tanti bulbi oculari trovandolo cosa
Ho notato che è la frequenza degli errori
trovato negli ultimi anni e la gravità
i bug hanno scoperto che potresti fare questo per carina
molto qualsiasi progetto nel database nest
il SI VES o le vulnerabilità uniche
stanno salendo in frequenza e gravità
per quasi tutti i progetti open source e
le tracce abbastanza bene la popolarità
ora quello che mi fa veramente male in questo
sta interessando governo del Regno Unito, nonché la sua
castello gonfiabile è una libreria crittografica così
è scritto da persone della sicurezza con
il vero rigore di alta sicurezza che adottano
la loro sicurezza molto seriamente è usata
in casi di sicurezza e David sta andando
parlare un po ‘di cripto dopo, ma
questo è stato un telecomando molto serio
esecuzione di codice imperfetto sette anni fa
l’hanno riparato subito sette anni fa
e nonostante sia stato riparato per sette
anni vedo ancora circa 4000
organizzazioni che scaricano quella rotta
ogni giorno è in un social molto popolare
siti di media è in grandi banche
siti web è una comunità di intelligence
l’infrastruttura è una bella
problema serio che è interamente
evitabile quindi quando sento parlare di cinese
kit e uccidere un pt o avanzato
minacce persistenti Non posso essere disturbato
non stiamo nemmeno sistemando le cose che hanno
avuto una correzione disponibile per sette anni
nella comunità di alta sicurezza
usare i casi quindi dobbiamo davvero fare meglio
Considero questo un problema di salute pubblica in
l’interesse del tempo che ho intenzione di condividere
saltare alcune di queste statistiche ma anche noi
sondaggio di quanto è buona una catena di approvvigionamento
igiene per la maggior parte dei consumatori open source
globalmente lo facciamo una volta all’anno
il settantacinque percento non ne ha nemmeno uno
piano e tanto meno eseguendolo così l’ un l’altro
cosa che noi con le cellule s aperte non è solo
stai consumando open source di terze parti
rischio è la tua catena di fornitura di
venditori commerciali quindi questa era una mappatura
di Cisco e IBM e HP e tutti
senza scegliere nessuno in particolare
uno per vedere i tempi di risposta al openssl
difetto e fondamentalmente l’orizzontale è come
è passato tanto tempo e il verticale è come
molti prodotti hanno riparato simultaneamente
noterai la parte superiore a destra
uno è 120 prodotti riparati 110 giorni dopo
quindi IBM è la dimensione del cerchio
ma fondamentalmente come 100 questo è un
questo è fenomenale tempo di risposta
probabilmente buono come non l’ho mai visto
stavano fissando un centoventi
prodotti centodieci giorni dopo
il cuore è venuto fuori quando la maggior parte
lo sfruttamento è stato in poche ore così il
i tempi di risposta sono di questo con
fenomenale, ma quello che ho visto è stato proprio così
stessa cosa di puntoni che ha perso di più
i clienti della banca conoscevo la websphere di IBM
non aggiustarlo per oltre un anno solare
infatti mentre eravamo alla RSA il più grande
conferenza sulla sicurezza dell’anno a
turno di apparecchio di sicurezza quel giorno all’anno
in due mesi dopo senza problemi
nel profondo sono la sicurezza
aziende così una delle cose che
è diventato chiaro per me è perché questo è
tartaruga accatastata su Turtles non è solo
il tuo consumo è aperto da una terza parte
igiene della catena di fornitura del software di origine
è possibile mettere questa pressione sul nostro
anche i venditori commerciali si comportano bene
cura della catena di fornitura infatti va
un ulteriore passo avanti che è Dan ingranaggi
mio idolo e io e lui abbiamo guardato nella mia
dati insieme e abbiamo scritto un rapporto su
come è l’integrità del progetto dell’open
la fonte si proietta da sola così quando tu
scegliere qualcosa come struts non è un
progetto singolo che tira in tonnellate di
anche le dipendenze, quindi ne avevamo due
domande da porre quando un open source
il progetto ha una dipendenza diretta con a
vulnerabilità in esso numero uno quanto spesso
li aggiusta perché non tutti
risolvili tutti e va bene
in realtà terribile e altri due
importante quanto velocemente li risolvono
qual è il tempo medio di m10 per mediare
e la risposta era attraverso l’ intero
popolazione di progetti Java solo
quarantuno per cento dei difetti di sicurezza
si aggiusta mai meno della metà quindi se
stai dipendendo dal nostro open source
progetto è che è almeno la metà di esso
le nostre capacità sono adatte probabilmente
mai andando a ripararlo ora alcuni di
loro hanno un’igiene eccellente alcuni di loro
avere un’igiene terribile e nel frattempo
rimedio era oltre un anno di calendario era
390 giorni se guardi solo il vero
quelli gravi della CBS tende a 10 su 10
era leggermente meglio 224 giorni ora io
voglio ricordarti le foglie del cuore di cinque
quindi questo è essenzialmente terribile ora se io
potrebbe iniziare a pubblicare se ho fatto bene
ora sarei ucciso, ma se lo fossimo
inizia a pubblicare quale registrazione
i framework correggono tutti i loro bug entro 90
giorni in cui blog e quadri
nessuno dei loro bug avrebbe avuto un
impatto su quale framework di registrazione vedere
mostra intendo chiaramente la funzionalità
questioni e chiaramente stabilità API
conta ma se conoscessi l’igiene e
sono entrambi liberi, potresti recitare?
in modo diverso e sto bancando su sì
ci sono diversi livelli qui di picking
migliori fornitori raccogliendo il più fresco di
ingredienti da quei fornitori e
monitorando dove vanno, ci crediamo
si traduce in enormi benefici quindi
ecco una visualizzazione terribile di a
strumento Sto avendo un amico proprio questo
fine settimana ma immagina se li scegli
diversi progetti quante versioni di
ognuno di questi progetti hai dentro
produzione di una delle banche che conosciamo
sta usando 81 versioni di primavera che ci sono
solo 85 penso che un amico sia una benedizione
mentre Google cerca di sforzarsi di avere
una e una sola versione della libreria in
produzione finiscono con due ma
è abbastanza buono due versetti da 81 a
pensa alla capacità di supporto di
mantenere la capacità di aiutare le chiamate al banco
portabilità dello sviluppatore dal progetto a
progetto e come ho detto prima potresti
utilizzare sei o sette framework di registrazione
nella stessa app figuriamoci in tutto il progetto
e poi cosa abbiamo fatto il primo in assoluto
stato della catena di fornitura del software
riportiamo che troviamo la media
applicazione ha 106 progetti in esso e
il venticinque percento di loro ha un
vulnerabilità critica o alta nota in
è così che circa un quarto di loro lo sono
andando a essere cattivo e come tu in realtà
splodalo più repos si vede avere 7.000
progetti in loro tempi forse 12 penso
è il numero medio di versioni ciascuna
di quelli nei repository quindi c’è chiaramente
opportunità per far cadere giù alcune delle
quel debito tecnico di sicurezza del debito
rischio potenziale semplicemente scegliendo meno
fornitori e se non avete alcun modo
per potare i fornitori perché il tuo
codice legacy si potrebbe almeno cercare di
concentrarsi su forse meno versioni di quelli
e i giochi che ottieni potrebbero essere
l’ultima cosa significativa che dirò è
negli Stati Uniti e nel Regno Unito e l’assicurazione
industria c’è un’armonizzazione su questo
idea di igiene della catena di approvvigionamento del software così
questo è un disegno di legge introdotto negli Stati Uniti
chiamato la catena di approvvigionamento cyber
trasparenza e rimedi a questo
in pratica dice tre cose se vuoi
per venderlo e tra l’altro il finanziario
servizio
è il sacco che richiede lo stack FSI
quasi la stessa cosa che stanno per
rivelarlo a ottobre, sostanzialmente dice
qualsiasi cosa venduta deve fornire un conto di
materiali della terza parte e aperti
componenti di origine utilizzati in esso con i loro
numeri di versione quindi solo un elenco di
numero di ingredienti per quella lista dovrebbe
non ho conosciuto vulnerabilità di sicurezza
senza una giustificazione che hai appena avuto
annotalo in modo che il tuo cliente conosca il
rischio che stanno assumendo e numero
tre perché le vulnerabilità future sono
inevitabile le tue merci devono essere patchable
perché metà dei sistemi interessati e
i tuoi vari governi non lo erano
patchable e la metà che non lo erano
erano patchabili quelli che spaventano il
bejesus fuori di me come industriale
sistemi di controllo veicoli medici
le attrezzature ora lo prendono contro il
castello rimbalzante la prossima persona che ci prova
vendere qualcosa al governo
sto per dire oh aspetta c’è una CBS di
10 c’è un difetto in questa libreria è
c’è una soluzione disponibile la risposta è sì
c’è e gira intorno per sette anni
ed è davvero ben collaudato e la sua API
compatibile e inizierà a drenare il
inondare così le merci che stai consumando ora
puoi farlo oggi con il tuo
appalti ma penso che questo sia il
cosa non sfruttata che ti rende più veloce
ti fa avere meno correzioni più velocemente
nel frattempo recupera ciò che ti interessa
sicurezza o meno la tua azienda si preoccuperà
sui vantaggi della catena di approvvigionamento
idrogeno così le due piccole parole a
concentrati su e io verrò senza vestiti nessuno
vulnerabilità giusto per cui non abbiamo
andare dopo questo spionaggio a zero giorni
attacchi sofisticati avanzati se tu
bisogno di un punto di prova l’ultima violazione
riporta da orizzonti lo scienziato dei dati
mio amico ha messo questa cosa in
ci sono un sacco di persone saltate l’anno scorso
novantotto percento del successo
attacchi non teorici riusciti
gli attacchi hanno operato solo dieci noti
vulnerabilità no zero giorni no
attacchi sofisticati dieci noti
le vulnerabilità vedono le api ma è peggio
a causa di quei dieci otto hanno
aveva una patch disponibile per più di dieci
anni quindi vorrei suggerire uno di
i modi per prendere tutta la salsa fantastica
da DevOps e renderlo robusto DevOps
sarebbe un frutto appeso davvero basso
rubato a Deming per essere sicuro di noi
affrontare e iniziare a pagare un po ‘
debito tecnico e vulnerabilità note
giusto un minor numero di migliori guglie rifornimento migliore
da fornitori di alta qualità e
tracciabilità di dove sono andati
porterà a meno sul piano nei tempi previsti
lavoro più veloce mutante recuperare e come me
disse uno dei miei amici sperimentatori
una spinta e uno sviluppatore del 30%
produttività nel solo primo anno così
per tutto il pomeriggio ci siamo riuniti
alcuni altoparlanti robusti per vari
aspetti diversi che sentirai da ciascuno
di loro ma uno di loro ha scoperto il
Sodo, Shannon, da esso ad esso
è una necessità evolutiva per
iniziare a pensare in termini di robusti DevOps
e operazionalizzare e sicurezza il vecchio
modo non funzionava e come una vittima di
molti dei molto gravi di alto profilo
attacchi vedrai un po ‘ di quello allora
avremo un membro del Regno Unito
governo che sta facendo agile e DevOps
e il governo ha spiegato come
difficile è fare tradizionale
sicurezza e perché il tappeto è molto attraente
modo per magari modernizzare l’approccio allora
avremo James wicket uno dei
autori di sfida ma uno dei più
sviluppatori robusti che abbia mai incontrato chi sia
andando a mostrare come fare pre distribuire
abbracciare quelli sui principi robusti
con lo strumento guanto e come essere
significa per il tuo codice il venerdì che stai andando
a sentirlo competere è Galbraith
chi mostrerà la pubblicazione del post
miglioramenti operativi eterni di sicurezza
quello robusto può aiutare a guidare e poi a
chiudi oggi abbiamo David a te
di chi parlerà da allora
sei spesso responsabile, penso Nick
piace a dirlo, il dolore operativo può
né essere creato né distrutto
solo essere passato a qualcun altro che ho modificato
per dire che puoi creare operativo
dolore che David mostrerà da quando
un sacco dell’onere di fare sicurezza
falso e ora gli sviluppatori e a
definito dal software tutto il tipo di
ambiente che mostrerà aspro
materiali da costruzione e alcuni dei fondamentali
principi che ora stai ereditando
che stai facendo così tanto orchestrato
implementazione automatizzata dell’infrastruttura
ci sono diversi altri fantastici discorsi
Venerdì anche su robusti compresi
Chris Swan e alcuni altri, ma io voglio
fine con non so cosa ti motiva
ma spero che ora sei motivato e
grazie mille
tu
tutto qui è obbligatorio
questo è due modi in cui puoi twittare me così io
l’ ho appena aggiunto perché c’era molto
di dibattito nelle ultime 24 ore su cosa
diamine è questa cosa robusta e come è
è diverso dalla sicurezza e io amo
il modo in cui lo si esprime in modo sfumato
era che non c’era un codice indissolubile
non c’è un codice sicuro e quando lo fai
è una cosa binaria è che è prendere o
lascia che sia davvero difficile farlo bene
abbastanza non c’è traguardo, ma io
pensa che il punto è che vuoi essere capace
essere punto mille volte e ancora
sii ok, vuoi essere morso da un cobra e
sai ancora fare un sonnellino e
recuperare così, ma penso che la ragione che amo
l’intersezione di robusto che noi
iniziato molti anni fa con il
è il manifesto del software robusto e DevOps
il suo tasso di miele che importa così tanto
il tasso del miele non interessa al tasso del miele
mi importa e amo l’empatia al
cuore di DevOps e credo che sia il
permesso e l’opportunità il
finestra di cui abbiamo bisogno per la sicurezza
finalmente diventare un valido contributore
alle cose quindi non penso che qualcuno dovrebbe
cura della sicurezza per la sicurezza
in qualche modo è come l’ossigeno che è
invisibile nessuno sa che è lì fino a quando
non c’è quindi mi piacerebbe iniziare un
molti dei discorsi ultimamente parlano chiaro
le motivazioni sono tutte motivate
in modo diverso e penso che uno dei
fallimenti storici di sicurezza da parte di
modo sto andando a parlare molto velocemente
soprattutto con il mio ritardo tecnologico ma è così
okay perché nel mondo DevOps tu
meglio abituarsi ma sai che io sono
motivato diversamente dalle altre persone
sono ma quello che ho notato nel mio lo sai
carriera è quella qualsiasi strategia che dipende
su un cambiamento nella natura umana sta andando
fallire quindi non puoi provare a fare qualcuno
preoccupati di ciò che ti interessa di te
per capire cosa gli interessa e
siamo tutti motivati diversamente dal
la cultura degli hacker sta attraversando una fase massiccia
sconvolgimento in questo momento perché alcuni lo fanno
per la gloria alcuni lo fanno per soldi alcuni
fallo per rendere il mondo un posto più sicuro
alcuni lo fanno per attivismo e noi no
tutto andava d’accordo quindi penso invece di
cambiando i valori delle persone dovremmo
capirli e abbracciarli così per me
voglio rendere il mondo un posto più sicuro
questo è ciò che mi sveglia la mattina
e lo prendo molto seriamente così
hai visto tutto questo sai cliché
è una dichiarazione molto profonda da parte di
andreessen ha bisogno di qualcosa molto molto
diverso ha un hacker da molto tempo
ragazzo della sicurezza della cultura che è profondamente
preoccupato di salvare vite umane e io no
scherzando sul fatto che non riesco a vedere questo come
il software sta mangiando il mondo, lo vedo
il software sta infettando il mondo giusto
stiamo mettendo software e connettività
su tutto guarda bene
Internet of Things è Internet
di cose impacchettabili è internet
cose rotte ho chiamato un TEDx
nuotare con gli squali perché lo siamo
entrare in acqua con i predatori all’apice
e non siamo pronti per questo, quindi non lo faccio
vuoi essere un messaggio negativo perché se
il software era puramente cattivo che non avremmo mai
fallo giusto, ci sono tutti i costi e a
beneficio e un rischio e una ricompensa e ho avuto
per riparare il mio mazzo il mio patio a casa mia
e tutto il legno era marcio che dovevo comprare
nuovi chiodi e chiodi sono stati galvanizzati
non sai nessuno perché hai galvanizzato
le unghie ci hanno portato a impedirne la ruggine
ma lo sapevi che dovevo tornare indietro
al negozio per comprare di più perché l’atto
renderli galvanizzati li rende
fragile quindi c’è un compromesso quando tu
vuoi resistenza a trazione non li usi
quando vuoi l’impermeabilità che usi
loro e voglio che guardiamo il software a
un paio d’anni da adesso come vogliamo tutti
benefici del software e della connettività
senza un rischio inaccettabile giusto così noi
già posto fiducia su ciò che vogliamo
rendilo più degno di detta fiducia ora
un modo in cui guardo questo è se guardi
l’anno scorso penso che sia innegabile
è stata aperta la stagione su open source e
anche molti di voi sono colpiti
personalmente e professionalmente dal bug
noto come heartbleed e aveva una bella
logo a parte spezzare un long-held
falsa convinzione che con tutti da palle molti
molti bulbi oculari tutti gli insetti sono superficiali
c’è chiaramente un problema open source
e non è tanto il codice
è improvvisamente vulnerabile è quello
gli attaccanti hanno preso nota e mentre
questo ha un logo in realtà sono 41
vulnerabilità uniche rivelate nel
openssl crypto project lo scorso anno da solo i
ha smesso di contare quest’anno ma c’è
in realtà uno veramente cattivo su due
mesi fa così quando c’è un
un po ‘di sangue negli squali acquatici
Cerchia lo vedi spesso con il progetto
dopo il progetto del progetto ora che noi
avere una grande dipendenza da questi condivisi
pezzi di valore e l’open source è
fantastico, non è possibile tornare indietro
non riesci a rimettere un dentifricio nel tubo
è che sai perché i rapinatori di banche
rapinare le banche, ecco cos’è il denaro
e perché dovrei attaccare l’open source lo è
perché tutti sono profondamente dipendenti
su di esso e ci sono un sacco di
bug una cosa che mi piace sottolineare
sebbene sia questo molti di questi bug
sistemi di controllo industriale interessati
che sono impianti nucleari in acqua
impianti di trattamento e cose che possono
veramente causare danni ora che non è il
parte spaventosa penso che sia la nostra dipendenza
lì la parte più spaventosa è quella loro
unpatch circa il cinquanta per cento del
il primo giorno di bug sono stati risolti all’interno
circa un mese e oltre quasi la metà più tardi
l’ultimo cinquanta percento non l’ha ancora fatto
stato riparato o corretto, quindi quello che abbiamo è
maggiore dipendenza da open source
questo è vulnerabile e attaccabile senza
la capacità di difesa commisurato o
patch o ciclo di vita per gestire e
rispondere al fallimento e questo non è solo
lì la nella mia ricerca su Internet
di cose che abbiamo ora confermato
presenza di openssl sfruttabile in
dispositivi medici che possono ucciderti
sistemi di controllo industriale in
automobili e nelle nostre case shellshock
appena fatto peggio giusto per un sacco di
voi ragazzi, soprattutto se avete visto il
ricerca su quanti dei
i contenitori dockerfile erano in remoto
vulnerabilità sfruttabili in loro uno
dei motivi è qualcosa come Bosch
sta per essere cotta in ogni singolo
LS quindi se hai un particolare
contenitore o un particolare sistema operativo o
particolare sono prima di una certa versione
se non hai un forno in automatico
controllo di sicurezza per il bug Bosch
sai che stai praticamente nascendo prono
ora un modo mi piace metterlo alla gente
come stavo parlando un gruppo di persone in
il governo si trattava di un gruppo di
Gente del Regno Unito e Dipartimento della Patria degli Stati Uniti
Persone di sicurezza e abbiamo avuto un workshop sulla
il fatto che non ci arriviamo davvero tutti
più tardi, ma è venuto da me
ricorda il terremoto haitiano che
ucciso 230.000 persone era un sette
il terremoto di scala 0 del punto 0 aveva avuto
enormi quantità di aiuti umanitari e
ha avuto un sacco di notizie per settimane e settimane
e settimane e la maggior parte del mondo
ha risposto in modo umanitario cosa ha ottenuto
una copertura molto meno è solo circa
un mese e mezzo dopo c’è stato un
molto più forte terremoto 8.8 richter
ridimensionare e rilassare uno dei motivi per cui
non ha sentito parlare è quasi nessuno è morto
c’erano tre punti decimali in meno
il bilancio delle vittime era di 279 persone
e di tutte le persone che ricercano il perché
è successo perché sarebbe un granché
il terremoto più forte ne ha tre in meno
cifre del numero delle vittime il primario
collaboratore tra molti stava costruendo
codici non era la presenza di
terremoti non era la grandezza
terremoti era edificio insufficiente
codici così terribili terremoti nel Cile
incrinato e incrinato il fondamento a
un terremoto davvero pessimo a Haiti appiattito
edifici e ucciso molte persone così
stavamo parlando di questo e ho pensato
questa è una metafora perfetta per il digitale
infrastruttura e software non lo facciamo
avere codici di costruzione per un codice edilizio
e certamente non stiamo usando
materiali da costruzione di alta qualità così è
non sarà la presenza di
attaccanti o addirittura la grandezza di
attaccanti ma siamo pronti ad avere
resiliente difendibile robusto
infrastruttura quindi questo è qualcosa che io
non aspettarti di leggere ma molti anni
di nuovo in risposta al manifesto agile
eravamo ad una festa alla RSA e ho notato
c’è un’intera nuova applicazione
l’industria della sicurezza è spuntata
quasi completamente rifatto il resto
del settore della sicurezza e abbiamo tirato
fuori il robusto vide il manifesto agile
e non c’era la menzione di
avversario non c’era la menzione di
attaccante non ne ha menzionato nessuno
di queste cose e non era da fare
divertimento di agile ho detto che sai perché
agile decollare e poi hanno detto bene
rende la vita delle persone più facile e giusta
avevano un affermativo molto semplice
valore che potrebbero applicare tutti
con le mani sulle tastiere voleva essere
agile quindi ne abbiamo parlato per molti
martini ci siamo solo inventati
robusto e abbiamo scritto il software robusto
Manifesto la notte non è che tempo ho
ti incoraggiamo a leggerlo, intendevamo davvero
questo meno come una metodologia e più simile
un giuramento di Ippocrate come i dottori
prendi la tremenda responsabilità che
viene fornito con la scrittura digitale
l’infrastruttura ora guarda al
ragazzi del soffitto faremo un po ‘
esercita non uno di voi SAT qui dentro
paura perenne che questo edificio fosse
andando a schiacciarti tutto bene è fatto
di acciaio e cemento e siamo in grado di
dipende da ciò è invisibile per noi quando
guidi su un ponte per tornare a casa
non ti preoccuperai se è così
andando a crollare siamo in grado di dipendere
su di esso e la semplice idea era qui
di cui stiamo diventando dipendenti
software come siamo in digitale
infrastruttura e deve essere
progettato con questo in mente
i terremoti esistono e tu devi essere
in grado di gestirli quindi è a conoscenza del
condizioni ambientali in cui noi
trova il nostro software ora la mia linea preferita
come ragazzo di sicurezza riconosco il mio codice
sarà
da avversari talentuosi e persistenti
minacciamo il nostro fisico economico e
sicurezza nazionale ora il mio sviluppo
gli amici hanno un preferito diverso
linea mi piace questa che riconosco quando
Colby ha usato modi in cui non posso prevedere
modi in cui non è stato progettato per più di
mai a posto ora questo è parziale
verità e ha avuto un sacco di adozione anticipata
nella comunità di sicurezza è stato trovato il sistema operativo
questo era molto più favorevole agli affari
c’è modo di parlare di sicurezza
un’altra enorme ragione per cui dovremmo fare
questo però la sicurezza è un motivo negativo
parliamo di un negativo è a
è costato che sia un inibitore, quindi è un problema
anche solo la tonalità della chiamata
qualcosa che conosci robusto resiliente
longevità sostenibile e difendibile
manutenibile sono tutti gli anni ’80 che noi
voglio dentro la qualità, quindi ne abbiamo di più
modo affermativo per parlare con il nostro
stakeholder ora questo ha in realtà
peggiorata da quando l’abbiamo scritta per la prima volta
però perché oh va bene io da allora
mentre quella verità era molto profonda è
in realtà diventa più profetico di noi
pensato e abbiamo effettivamente iniziato un
gruppo completamente nuovo con un diverso
un gruppo di persone chiamato I nella cavalleria
e il riconoscimento di base è la cavalleria
non sta arrivando su questioni che riguardano il pubblico
Sicurezza e vita umana e connessi
tecnologie così abbiamo interi progetti
sulla sicurezza informatica automobilistica abbiamo scritto un 5
Star Automotive Cyber Safety Framework
stiamo lavorando con vari medici
produttori di dispositivi e regolatori a
assicurati che i dispositivi medici non ti uccidano
e quello spirito sta portando avanti così
quando parlo con te non sono semplicemente
parlando dell’app che stai per
scrivere per un Android su iOS il software
che stai scrivendo in questa stanza
la cultura sarà quella che può
salire alla sfida in cui i pacchetti si incontrano
carne e sangue dove possono essere i bit e i byte
influenzare la vita e l’arto così prendo questo molto
seriamente ora nel contesto aziendale
Jean Kim e io lo riconosciamo un po ‘
indietro so che voi ragazzi lo sapete tutti e lasciate
lui ma prima ancora di sapere di lui
era un’immagine o una sicurezza tripwire
strumento e aveva scritto stupendo
studi strabilianti su operazioni visibili a
guarda cosa è l’IT ad alte prestazioni
e 93 organizzazioni lo stavano facendo quando
è venuto per stare con DevOps, ho detto ragazzi
questa è la fine della sicurezza come sappiamo
è il twist però come ho detto forse
questa è una buona cosa e questa è la maggior parte
questo è
una foto di quel giorno oops così eravamo
cercando di mettere insieme le nostre teste come può
prendiamo la comunità della sicurezza chi
pensa che questo sia terrificante e spericolato
irresponsabile e dire loro che non lo è
necessariamente cattivo e questo potrebbe effettivamente
sii il momento che stavamo aspettando
30 anni di cui non lo faremo
vediamo di nuovo per altri 30 anni che non lo facciamo
noi del Devon ci abbracceremo con aperto
braccia e dacci un abbraccio amorevole, così è
come la maggior parte delle persone vede la sicurezza in DevOps
ci stiamo lavorando proprio io devo
dare una punta di cappello a Pete che ci ha mostrato
questo è il più strabiliante che abbia vinto
internet come un mese penso che sia così
la tua foto e io in realtà non sopporto
questa diapositiva oltre al fatto che è
divertentissimo perché questo è davvero
atteggiamento negativo da parte delle persone di sicurezza
e forcella evolutiva sulla strada
persone di sicurezza che hanno questo atteggiamento
o andando a fallire, stanno per morire
fuori e alcuni dei discorsi che abbiamo
assemblati per te oggi e venerdì
andando a mostrare il più moderno adattivo
strategie evolutive che le persone sono
usando a calci qualche culo serio giusto così
questo potrebbe essere il tuo lavoro per sicurezza
persone se abbracci DevOps in questo modo
vorremmo suggerire un altro modo ora uno
dei motivi che odiano le persone della sicurezza
è che voglio rinunciare a questo clicker
il tempo di ciclo spremere bene così quando noi
è andato a cascata e poi siamo andati ad agili
ridisegnato davvero i cicli di progettazione e test
iterativamente in tempi di ciclo brevi ora
che DevOps è fondamentalmente agile per
tutti è stato davvero problematico
per le tecnologie di sicurezza quindi se ci vuole
quattro giorni per presentare un’analisi statica di
il tuo codice e stai distribuendo ogni
quattro ore che non funzioneranno e
molte squadre di sicurezza stanno prendendo
i loro cicli di test tradizionali o
diversi approcci tradizionali che
sono molto alla fine della vita
ciclo e stanno cercando di forzare in forma
loro in questi tempi del ciclo che è
mai in scala e io sono
davvero felice di distruggere facendo il
modo sbagliato perché ci costringe a pensare
riguardo al cambiare a sinistra e a fare di meglio
così è terrificante per loro ma
proprio come un motivo per cui non dovremmo tenere
sul passato quando ero un analista per
il gruppo 451 che ho totalizzato ci sono 160
categorie di prodotti di sicurezza li ho messi
nei cinque secchi e io l’altezza di
il dollaro delle piazze quanti soldi
spendiamo relativo
su cose come antivirus e firewall
la cosa per cui spendiamo meno soldi
lontano è la sicurezza delle applicazioni la cosa
la maggior parte attaccata dagli avversari è
sicurezza delle applicazioni , quindi voglio dire
un’altra volta passiamo il minimo
soldi per la cosa più attaccata che io non abbia
pensare che il denaro sia un proxy per la bellezza
ma in realtà è anche peggio di così
perché quando stavo parlando tutta la mia app
gli amici di sec sono spesi la maggior parte di quei soldi
sul dieci percento o meno del codice
che scriviamo davvero non scriviamo codice
più ragazzi quando lo assemblate
terze parti e open source proprio quelle
i blocchi Lego e i punti di partenza
i mattoni il codice che scriviamo è il
mortaio nella colla mettendolo insieme
quindi stavamo spendendo la minima quantità di
soldi e stavamo spendendo molto
male al dieci percento o meno del
codice che stiamo effettivamente scrivendo
noi stessi invece di concentrarci sul
cuore sanguina scosse Michelle che sono
la stragrande maggioranza del nostro attacco
di superficie quindi la buona notizia è questa
essere un’opportunità o possiamo continuare a farlo
la stessa cosa si aspetta sempre di più
risultati diversi, quindi cerchiamo di innescare
loro questo piccolo pezzo qui è il cinque
le cose che dico che abbiamo tremendo
terreno comune con la cultura DevOps
valore impostato e movimento questo è aree il
il team di sicurezza è limitato a farlo fuori
e in realtà guidiamo il valore numero uno
piace strumentare tutto in questo momento
quando ero a Akamai era direttore
intelligenza di sicurezza vorremmo
strumenti come velocità della ventola e CPU
temperatura sui nostri server e un cinque
potrebbe essere la differenza percentuale nella velocità della ventola
trattato come un indicatore compromesso da
un processo in più in esecuzione e lo faremmo
bruciare quel server che rack di server
o anche quella regione perché potremmo
orchestrare e distribuire da bare metal
così facilmente che potrei trattarlo
anomalia leggermente sospetta come a
evento di sicurezza così strumentazione e
la telemetria casuale è una specie di fantastico e
le persone DevOps non hanno alcun problema
raccogliere e misurare tutto
numero due e sentirai
su questo un pò da James
wicket ma essere cattivo con il tuo codice
mantra destra la trasformazione del
scimmia del caos nell’esercito di Simian e
caos Kong e gorilla e tutto il
diverse scimmie dana e conformità
ma ha scritto leggermente diversamente james
aiuta inizialmente netflix ma giusto
guanto di sfida che è una raffica di automatici
test di sicurezza che puoi fare pre
schiera in unit test i ragazzi twitter
fatto un uomo di rottura così questa cultura e
atteggiamento che vogliamo essere testati noi
vogliamo entrare in una lotta che vogliamo essere
in grado di vedere come possiamo gestire il fallimento
fallire presto riempire se fa male a farlo
sono questi tipi di atteggiamenti
punti di iniezione incredibilmente utili per
la complessità delle persone della sicurezza è nemica di
tutto ciò che tutti odiamo la complessità così
una sorta di guida e desiderio di
eliminare la complessità facoltativa facoltativa
complessità aiuto evitabile complessità
manutenibilità della disponibilità di stabilità
e sicurezza e poi una delle cose
che mi uccide è uno degli altri
relatori questo pomeriggio David Xu lui e
Continuo a fare cose per modernizzare e essere
punta di lancia per quello che è il migliore
modo in cui possiamo estendere e avanzare davvero
buon programma di sicurezza e novanta percento
del consiglio che vogliamo dare è
predicato sull’idea che loro sanno
quello che hanno sanno quando cambia
e non hanno modifiche impreviste quindi
sono le app visibili 101 di Jean Kim’s
lavoro originale se non li conosci
tre cose il novanta per cento del
il consiglio che vuoi darti è inutile
così come una nozione fondamentale non un cambiamento
database di gestione perché abbiamo sentito
già da Adrienne che quelli mai
lavoro ma l’idea di avere un singolo
versione della verità cose come lo chef
burattino che conosci diventare gestione del cambiamento
e quindi l’empatia è il cuore di
tutto così quando qualcuno dice che Josh è
DevOps una cultura è un processo è a
catena di strumenti della tecnologia e io dico di sì
Certo, ma il più grande di questi è il
empatia penso che penso che sia il suo cuore
l’empatia e non viene
naturalmente ai geek e alla sicurezza
ma l’uomo è trasformativo in effetti
Direi l’app killer per il
cadbury con cui lavora così tanto successo
i governi nell’industria automobilistica non sono stati
la nostra abilità tecnica è stata la
cuore di un ambasciatore e traduttore
chi dice come posso aiutarti prima e
quindi una volta ottenuto questo permesso
valore consegnato quindi abbiamo il permesso
da chiedere in cambio quindi penso che
l’empatia aiuta davvero davvero ora se noi
tiralo su di una tacca, lo penso davvero
è l’anno in cui le cose sono cambiate e
una delle ragioni per cui credo anche così
il fatto che siamo qui e la gente piace
Adrian ci sta trascinando in quel suo John
Tipi di Willis e tipi di Damon Edwards e
umili tipi di jazz che stanno finalmente dicendo
sai cosa davvero non possiamo andare più veloce
o essere meglio qualcosa che ci rallenta
abbiamo tipo di colpire lo scaglione superiore qui
forse potremmo guardare qualcos’altro così
quest’anno abbiamo dato un corso di un giorno
tracciare su RSA la più grande sicurezza
conferenza nel mondo era libero noi
sono arrivate 700 persone e te l’abbiamo detto
sai, prendiamo il jazz e alcuni dei
altri per vedere se possiamo prenderli
i prodotti chimici li mettono insieme e vedono cosa
tipo di reazioni chimiche accadono e
le reazioni chimiche erano incredibili
Giusto non solo avevamo un terreno comune
abbiamo iniziato a venire non solo
idee di prodotto o conosci la toolchain
idee ma forse tutto ciò che sai
le aziende potrebbero nascere da solo a
alcune delle interazioni che abbiamo avuto
i geni inizialmente dicono ok, tiriamo
nel jazz e poi è come che diamine
sono riuscito a ottenere me stesso in cui sta uccidendo
il mio piccolo ma ora di nuovo quello in recente
punto però così non penso in questa stanza
necessariamente si preoccupa tanto della sicurezza
come faccio io e cose deboli ogni notte tu
sai dire cosa devo fare per questo
cosa in auto ma penso il modo in cui
il Ducote stava ottenendo è quello
la sicurezza non guiderà mai
valore aziendale ma forse software e IT
potrebbe e DevOps è dove si trova
cominciando ad accadere ma la nozione qui
quando parli con amministratori delegati e consigli di amministrazione perché
sono interessati a ciò che abbiamo fatto
Cosa Pacific Crest con un sacco di
investitori e me e se un sacco di
domande su DevOps ora perché dovrebbero
gruppo di investitori che non sono tecnologia
la gente si preoccupa così tanto che va bene
sta guidando affari trasformativi
valore e penso che uno dei motivi sia
è davvero l’ultima frontiera di
innovazione e differenziazione, quindi cosa
Ciò significa che si è in questa stanza si
probabilmente si preoccupano di tutti questi diversi
parole e poi alcuni ma davvero al
Nel cuore di tutto ciò, si tratta di andare più veloce
giusto in teoria il problema è che non lo è
sull’innovazione appena cruda e su quanti
le linee di codice che puoi produrre riguardano
innovazione netta come quanto valore dell’Unione
produrre e le cose che è il
la differenza tra i due è la qualità
sicurezza
cose del genere quindi ho cercato di farlo
diciamo costruiamo su jeans che conosci l’amore a
il debito tecnico va bene tecnicamente
buttare giù il debito tecnico, sappiamo che è così
disordinato sai composti nel tempo noi
sappi che possiamo avere un debito tecnico
fallimento forse abbiamo parlato di che
con un mio amico stamattina
questo livello di complessità è fatto in
centrale la più grande fonte aperta
repository nel mondo è il codice Java
e io sono il custode di questa mia compagnia
è ed è un casino, sono le tartarughe
cima di tartarughe in cima a tartarughe tutto il
sono le dipendenze transitive
questo è un grafico reale
rappresentazione di esso e la maggior parte del
le fonti aperte del mondo sono costruite da questo
quindi la mia idea è anche se vogliamo andare
sempre più veloce e più veloce
noi crack siamo stati schiacciati sotto il peso
di quella complessità e mi chiedevo se
c’era un modo in cui questo robusto
tribù come app killer come prima
l’offerta potrebbe guidare l’attività reale
valore invece di rendere meno la sicurezza
doloroso e la risposta era un inferno sì e
ti mostrerò wow che voglio dare
con il mio clicker in modo da non poter fare a
DevOps parla soprattutto se conosci John
Willis senza una quotazione Deming giusta I
penso che sia un sacco di universo, ma lo sono
in realtà in modo indipendente un grande fan del
Deming roba ma ho lasciato su un diverso
parte di esso quindi l’ispirazione per la magra
Voglio dire, molti di voi lo sanno, ma lui
ho cercato di andare a Detroit e trasformato
e ha rivoluzionato l’industria automobilistica statunitense
e lo hanno ignorato, così è andato a postare
World War to Japan e ha detto se tu
seguirò il mio esempio entro cinque anni
guarisci la tua economia un’azienda tessile
Toyota ha seguito il suo vantaggio e in cinque
anni del giorno hanno visto la mancia
punto e alcuni di quelli trasformativi
le idee si sono fatte strada nella Tendenza
hanno fatto in modo che fossero agili
il loro modo di DevOps ma penso che noi
non ho davvero avuto un completo abbraccio
Deming e spero di spingerti verso il
bordo oggi così di nuovo a quelle cose che
gli sviluppatori si preoccupano sono i diversi
le persone si preoccupano di cose diverse voi
sai per me si tratta di fare il mondo
un posto più sicuro per gli sviluppatori che voglio
essere in tempo sul budget con accettabile
rischio e l’ultimo tipo di
diritto negoziabile è davvero voglio
essere puntuale sul budget, quindi parliamo
quei termini perché se sei un
lo sviluppatore di cuore non era una sicurezza
evento era un lavoro non pianificato non pianificato
con il cambio di contesto che erano
psichicamente doloroso potrebbe essere tardi
il mio sprint
che potrebbe aver fatto ore di ritardo per il nostro
impegni della tabella di marcia verso i nostri clienti
questo potrebbe costarci un po ‘di tempo per il mercato
e la luce ci è costato enormi affari
grandi istituzioni di servizi finanziari così
non era una cosa di sicurezza
lavoro non pianificato e per una persona ops
non era una cosa di sicurezza o era un
risolvere il problema è stata un’interruzione del servizio
ha danneggiato il mio bonus perché non ho avuto il mio
tempo medio per riparare le statistiche nel conform
cosa ci è voluto troppo tempo per identificare
attraverso seimila applicazioni che
quelli potrebbero aver avuto quella versione di SSL
quindi posso continuare a essere stridulo
addetto alla sicurezza isterica sottolineando
questo è un rischio per la sicurezza o posso mostrarlo
Quanto davvero buona igiene nel nostro software
la catena di approvvigionamento potrebbe forse drammaticamente
ridurre il lavoro non pianificato in programma
soluzioni e tempi di recupero più rapidi
quindi abbiamo visto questo in alcuni modi diversi
oggi ma c’è l’era del fallimento dell’acqua
che è dove ho iniziato nel software
quindi agile niente è più agile di
capre quindi ho provato a piacermi fare un po ‘
modella qui le tre cose a cui tieni
di essere in tempo sul budget tranne il
il rischio agile ci ha reso davvero molto veloci
i test di sviluppo ma abbiamo creato uno scaffale
davvero molto rapidamente giusto così tanto
dei casi era solo seduto con le operazioni
per molto molto tempo quindi quando il
DevOps Pandora è stato lasciato fuori dalla scatola
ora abbiamo avuto qualcosa di simile continuo
consegna DevOps era agile per più il
organizzazione giusta non è un
cosa trasformativa di per se è un
estensione logica della promessa di
agile e ora eravamo in orario e altro ancora
efficiente e quello che sto cercando di suggerire
è ora che siamo all’incrocio dove noi
possiamo dare un più completo abbraccio di noi stessi
può abbracciare parte della catena di approvvigionamento
principi da Deming e forse noi
può aggiungere rigore nella catena di fornitura del software
essere ancora più veloce ancora più efficiente
ma guadagni enormi sulla qualità
manutenibilità e superficie di attacco e
non è qualcosa che stiamo derubando Peter
pagare Paul e non è una finzione questo
sta funzionando così uno dei miei finanziari
rapporti di servizi che ha provato
per un anno di calendario ha avuto un
Incremento del 30% della produttività in tutto il mondo
duemila sviluppatori questo è il consiglio
livello di attenzione nome un’altra sicurezza
progetto che non era un papà come un fallimento
che ha attirato l’attenzione del consiglio di amministrazione per
valore di guida ora non ha lanciato come
una cosa di sicurezza l’ha lanciata come a
igiene
che si riferiva ad alcune delle forniture
catena di informazioni come consumatore
rapporti di software di sottosistemi software
progetti progetti open source e loro
avrebbe una lista di investire in questi
i progetti si disinvestivano in questi progetti
questo semplice anno di dire questi sono
i progetti che ci piacciono hanno una buona igiene
questi sono progetti che non ci piacciono
ridondante o scarsa igiene 30
aumento percentuale nel primo anno, quindi se lo sei
un architetto di impresa che conduce e dev
vuoi in qualche modo iniziare a schiacciare il tuo
bonus e statistiche questo è un modo semplice per
fallo quindi mettiamolo in un non
contesto di sicurezza ecco la Toyota Prius
vs Chevy Volt va bene l’analisi da
i libri della catena di fornitura Toyota al
il tempo ha detto che era del 61% in meno rispetto a
i bulloni hanno venduto 13 volte di più
quell’anno e poi hanno costruito solo circa
la metà delle loro macchine che facevano così
hanno costruito meno della propria macchina in modo che
sembra buono per i profitti, ma il
parte che dovrebbe far saltare la tua mente sono loro
aveva solo 125 fornitori contro 800 per
le chevy pensano al bagaglio di
mantenendo che molti fornitori ma
ecco la parte ancora migliore che hanno fatto
dieci volte migliore uso di ciascuno di questi
fornitori quindi con meno fornitori
costruito di meno la loro macchina ora potrebbe essere così
quell’ultimo valore inutilizzato per il nostro
negozi di software di consegna che conosci
assistenza sanitaria sai oltre a tutti
i suoi fallimenti IT ne avevano 11 diversi
logging frameworks in one project 11
diversi quadri di registrazione non lo faccio
sai perché possono solo andare per uno di
ogni singolo quadro di registrazione ma ma
pensaci così in un abbraccio più pieno
di deming che non dirò se usiamo
meno fornitori migliori usiamo il
fornitura di alta qualità da quelli
fornitori e tracciamo quali parti vanno
dove come potrebbe quello tradurre in
Scenario senza cuore adesso forse tu
devo usare quel progetto, ma tu hai
usare una versione davvero vecchia o possibile
tieni aggiornato sul più fresco di
ingredienti giusti una cosa che ci piace
dire che l’età dell’open source non va bene
vino ma come il latte va a male
molto velocemente soprattutto quando arrivi
quel sangue nell’effetto dell’acqua dove il
presenza in rivelazione di uno in a
progetto tende a portare a significativi
corsa all’oro per trovare di più
o più vulnerabilità in genere
si patch molto dopo il
rattoppando quello iniziale e il
tenendo traccia di quali sono dove c’è un
molto c’è una citazione on-the-record da
il dipartimento della sicurezza interna I
garantisco che il governo britannico ha avuto il
lo stesso problema ci sono voluti sei e mezzo
settimane per determinare quale delle
diverse parti dell’IT federale
ci sono rimasto per sei settimane e mezzo
solo per trovare non rimediare solo a
trovare ora ci vogliono circa sei ore
gli attacchi davvero gravi da iniziare
manifestando una volta bug noti così sei net
settimane solo per identificare ora quello stesso ragazzo
quello che dico ha un incremento del trenta per cento
la produttività ha richiesto sei minuti
perché aveva una lista dei materiali di
tutti i progetti open source che usano tutti
unica cosa nella sua applicazione
portafoglio sei e metà settimane per
nel frattempo i loro identificatori ne fanno da mediazione
e mezzo minuti quindi ne abbiamo alcuni
scelte da fare nonostante il mio errore IT e
cercando di tornare in orario così sai
come quel custode che voglio solo mostrare
come grande di un opportunità che abbiamo a
fare meglio l’igiene della catena di fornitura del software
abbiamo avuto 17 miliardi di download unici da
Maven centrale l’anno scorso è solo
Crescendo da credo che fosse un 13 anni
prima di destra e non si può tornare indietro
l’open source è qui per rimanere il
la differenza è dalla prospettiva degli attaccanti
cercavano un singolo difetto in
il tuo sito web della banca che hai scritto nel tuo
codice personalizzato e quando sono stati fatti
attaccandoti la campagna era finita ma
perché ti attaccherò quando pagherò qualcosa
come puntoni apache ottengo ogni banca
ogni banca destra era il mio spartiacque
momento ero ancora il direttore di
intelligence di sicurezza ad Akamai e molti altri
dei miei clienti è andato giù o ha ottenuto un FBI
lettera e abbiamo dovuto tirarci dentro
chiamate speciali perché questo era attivamente
essendo sfruttato era un difetto e un apache
si pavoneggia per averlo ovunque nel tuo
classpath indipendentemente da come è stato usato
ti ha reso vulnerabile prima di hartley
questo mi ha davvero sconvolto perché io
non mi rendevo conto di quanto fosse pervasivo
open-source aveva gomma soprattutto in
governo e servizi finanziari esso
una volta erano molto riluttanti e
industrie per utilizzare tale altamente regolato
molto open source ma poi quando ho visto il
il più grande consumatore open source nel
il mondo è Morgan Stanley, non è così
non solo per te conosci le startup e e
unicorni come Netflix chiunque così ho guardato
e solo per dimostrare che la cosa della corsa all’oro io
guardato la storia dello stress
progetto e non solo era quel bug lì
per sette-undici anni senza layton
ho incontrato quei tanti bulbi oculari trovandolo cosa
Ho notato che è la frequenza degli errori
trovato negli ultimi anni e la gravità
i bug hanno scoperto che potresti fare questo per carina
molto qualsiasi progetto nel database nest
il SI VES o le vulnerabilità uniche
stanno salendo in frequenza e gravità
per quasi tutti i progetti open source e
le tracce abbastanza bene la popolarità
ora quello che mi fa veramente male in questo
sta interessando governo del Regno Unito, nonché la sua
castello gonfiabile è una libreria crittografica così
è scritto da persone della sicurezza con
il vero rigore di alta sicurezza che adottano
la loro sicurezza molto seriamente è usata
in casi di sicurezza e David sta andando
parlare un po ‘di cripto dopo, ma
questo è stato un telecomando molto serio
esecuzione di codice imperfetto sette anni fa
l’hanno riparato subito sette anni fa
e nonostante sia stato riparato per sette
anni vedo ancora circa 4000
organizzazioni che scaricano quella rotta
ogni giorno è in un social molto popolare
siti di media è in grandi banche
siti web è una comunità di intelligence
l’infrastruttura è una bella
problema serio che è interamente
evitabile quindi quando sento parlare di cinese
kit e uccidere un pt o avanzato
minacce persistenti Non posso essere disturbato
non stiamo nemmeno sistemando le cose che hanno
avuto una correzione disponibile per sette anni
nella comunità di alta sicurezza
usare i casi quindi dobbiamo davvero fare meglio
Considero questo un problema di salute pubblica in
l’interesse del tempo che ho intenzione di condividere
saltare alcune di queste statistiche ma anche noi
sondaggio di quanto è buona una catena di approvvigionamento
igiene per la maggior parte dei consumatori open source
globalmente lo facciamo una volta all’anno
il settantacinque percento non ne ha nemmeno uno
piano e tanto meno eseguendolo così l’ un l’altro
cosa che noi con le cellule s aperte non è solo
stai consumando open source di terze parti
rischio è la tua catena di fornitura di
venditori commerciali quindi questa era una mappatura
di Cisco e IBM e HP e tutti
senza scegliere nessuno in particolare
uno per vedere i tempi di risposta al openssl
difetto e fondamentalmente l’orizzontale è come
è passato tanto tempo e il verticale è come
molti prodotti hanno riparato simultaneamente
noterai la parte superiore a destra
uno è 120 prodotti riparati 110 giorni dopo
quindi IBM è la dimensione del cerchio
ma fondamentalmente come 100 questo è un
questo è fenomenale tempo di risposta
probabilmente buono come non l’ho mai visto
stavano fissando un centoventi
prodotti centodieci giorni dopo
il cuore è venuto fuori quando la maggior parte
lo sfruttamento è stato in poche ore così il
i tempi di risposta sono di questo con
fenomenale, ma quello che ho visto è stato proprio così
stessa cosa di puntoni che ha perso di più
i clienti della banca conoscevo la websphere di IBM
non aggiustarlo per oltre un anno solare
infatti mentre eravamo alla RSA il più grande
conferenza sulla sicurezza dell’anno a
turno di apparecchio di sicurezza quel giorno all’anno
in due mesi dopo senza problemi
nel profondo sono la sicurezza
aziende così una delle cose che
è diventato chiaro per me è perché questo è
tartaruga accatastata su Turtles non è solo
il tuo consumo è aperto da una terza parte
igiene della catena di fornitura del software di origine
è possibile mettere questa pressione sul nostro
anche i venditori commerciali si comportano bene
cura della catena di fornitura infatti va
un ulteriore passo avanti che è Dan ingranaggi
mio idolo e io e lui abbiamo guardato nella mia
dati insieme e abbiamo scritto un rapporto su
come è l’integrità del progetto dell’open
la fonte si proietta da sola così quando tu
scegliere qualcosa come struts non è un
progetto singolo che tira in tonnellate di
anche le dipendenze, quindi ne avevamo due
domande da porre quando un open source
il progetto ha una dipendenza diretta con a
vulnerabilità in esso numero uno quanto spesso
li aggiusta perché non tutti
risolvili tutti e va bene
in realtà terribile e altri due
importante quanto velocemente li risolvono
qual è il tempo medio di m10 per mediare
e la risposta era attraverso l’ intero
popolazione di progetti Java solo
quarantuno per cento dei difetti di sicurezza
si aggiusta mai meno della metà quindi se
stai dipendendo dal nostro open source
progetto è che è almeno la metà di esso
le nostre capacità sono adatte probabilmente
mai andando a ripararlo ora alcuni di
loro hanno un’igiene eccellente alcuni di loro
avere un’igiene terribile e nel frattempo
rimedio era oltre un anno di calendario era
390 giorni se guardi solo il vero
quelli gravi della CBS tende a 10 su 10
era leggermente meglio 224 giorni ora io
voglio ricordarti le foglie del cuore di cinque
quindi questo è essenzialmente terribile ora se io
potrebbe iniziare a pubblicare se ho fatto bene
ora sarei ucciso, ma se lo fossimo
inizia a pubblicare quale registrazione
i framework correggono tutti i loro bug entro 90
giorni in cui blog e quadri
nessuno dei loro bug avrebbe avuto un
impatto su quale framework di registrazione vedere
mostra intendo chiaramente la funzionalità
questioni e chiaramente stabilità API
conta ma se conoscessi l’igiene e
sono entrambi liberi, potresti recitare?
in modo diverso e sto bancando su sì
ci sono diversi livelli qui di picking
migliori fornitori raccogliendo il più fresco di
ingredienti da quei fornitori e
monitorando dove vanno, ci crediamo
si traduce in enormi benefici quindi
ecco una visualizzazione terribile di a
strumento Sto avendo un amico proprio questo
fine settimana ma immagina se li scegli
diversi progetti quante versioni di
ognuno di questi progetti hai dentro
produzione di una delle banche che conosciamo
sta usando 81 versioni di primavera che ci sono
solo 85 penso che un amico sia una benedizione
mentre Google cerca di sforzarsi di avere
una e una sola versione della libreria in
produzione finiscono con due ma
è abbastanza buono due versetti da 81 a
pensa alla capacità di supporto di
mantenere la capacità di aiutare le chiamate al banco
portabilità dello sviluppatore dal progetto a
progetto e come ho detto prima potresti
utilizzare sei o sette framework di registrazione
nella stessa app figuriamoci in tutto il progetto
e poi cosa abbiamo fatto il primo in assoluto
stato della catena di fornitura del software
riportiamo che troviamo la media
applicazione ha 106 progetti in esso e
il venticinque percento di loro ha un
vulnerabilità critica o alta nota in
è così che circa un quarto di loro lo sono
andando a essere cattivo e come tu in realtà
splodalo più repos si vede avere 7.000
progetti in loro tempi forse 12 penso
è il numero medio di versioni ciascuna
di quelli nei repository quindi c’è chiaramente
opportunità per far cadere giù alcune delle
quel debito tecnico di sicurezza del debito
rischio potenziale semplicemente scegliendo meno
fornitori e se non avete alcun modo
per potare i fornitori perché il tuo
codice legacy si potrebbe almeno cercare di
concentrarsi su forse meno versioni di quelli
e i giochi che ottieni potrebbero essere
l’ultima cosa significativa che dirò è
negli Stati Uniti e nel Regno Unito e l’assicurazione
industria c’è un’armonizzazione su questo
idea di igiene della catena di approvvigionamento del software così
questo è un disegno di legge introdotto negli Stati Uniti
chiamato la catena di approvvigionamento cyber
trasparenza e rimedi a questo
in pratica dice tre cose se vuoi
per venderlo e tra l’altro il finanziario
servizio
è il sacco che richiede lo stack FSI
quasi la stessa cosa che stanno per
rivelarlo a ottobre, sostanzialmente dice
qualsiasi cosa venduta deve fornire un conto di
materiali della terza parte e aperti
componenti di origine utilizzati in esso con i loro
numeri di versione quindi solo un elenco di
numero di ingredienti per quella lista dovrebbe
non ho conosciuto vulnerabilità di sicurezza
senza una giustificazione che hai appena avuto
annotalo in modo che il tuo cliente conosca il
rischio che stanno assumendo e numero
tre perché le vulnerabilità future sono
inevitabile le tue merci devono essere patchable
perché metà dei sistemi interessati e
i tuoi vari governi non lo erano
patchable e la metà che non lo erano
erano patchabili quelli che spaventano il
bejesus fuori di me come industriale
sistemi di controllo veicoli medici
le attrezzature ora lo prendono contro il
castello rimbalzante la prossima persona che ci prova
vendere qualcosa al governo
sto per dire oh aspetta c’è una CBS di
10 c’è un difetto in questa libreria è
c’è una soluzione disponibile la risposta è sì
c’è e gira intorno per sette anni
ed è davvero ben collaudato e la sua API
compatibile e inizierà a drenare il
inondare così le merci che stai consumando ora
puoi farlo oggi con il tuo
appalti ma penso che questo sia il
cosa non sfruttata che ti rende più veloce
ti fa avere meno correzioni più velocemente
nel frattempo recupera ciò che ti interessa
sicurezza o meno la tua azienda si preoccuperà
sui vantaggi della catena di approvvigionamento
idrogeno così le due piccole parole a
concentrati su e io verrò senza vestiti nessuno
vulnerabilità giusto per cui non abbiamo
andare dopo questo spionaggio a zero giorni
attacchi sofisticati avanzati se tu
bisogno di un punto di prova l’ultima violazione
riporta da orizzonti lo scienziato dei dati
mio amico ha messo questa cosa in
ci sono un sacco di persone saltate l’anno scorso
novantotto percento del successo
attacchi non teorici riusciti
gli attacchi hanno operato solo dieci noti
vulnerabilità no zero giorni no
attacchi sofisticati dieci noti
le vulnerabilità vedono le api ma è peggio
a causa di quei dieci otto hanno
aveva una patch disponibile per più di dieci
anni quindi vorrei suggerire uno di
i modi per prendere tutta la salsa fantastica
da DevOps e renderlo robusto DevOps
sarebbe un frutto appeso davvero basso
rubato a Deming per essere sicuro di noi
affrontare e iniziare a pagare un po ‘
debito tecnico e vulnerabilità note
giusto un minor numero di migliori guglie rifornimento migliore
da fornitori di alta qualità e
tracciabilità di dove sono andati
porterà a meno sul piano nei tempi previsti
lavoro più veloce mutante recuperare e come me
disse uno dei miei amici sperimentatori
una spinta e uno sviluppatore del 30%
produttività nel solo primo anno così
per tutto il pomeriggio ci siamo riuniti
alcuni altoparlanti robusti per vari
aspetti diversi che sentirai da ciascuno
di loro ma uno di loro ha scoperto il
Sodo, Shannon, da esso ad esso
è una necessità evolutiva per
iniziare a pensare in termini di robusti DevOps
e operazionalizzare e sicurezza il vecchio
modo non funzionava e come una vittima di
molti dei molto gravi di alto profilo
attacchi vedrai un po ‘ di quello allora
avremo un membro del Regno Unito
governo che sta facendo agile e DevOps
e il governo ha spiegato come
difficile è fare tradizionale
sicurezza e perché il tappeto è molto attraente
modo per magari modernizzare l’approccio allora
avremo James wicket uno dei
autori di sfida ma uno dei più
sviluppatori robusti che abbia mai incontrato chi sia
andando a mostrare come fare pre distribuire
abbracciare quelli sui principi robusti
con lo strumento guanto e come essere
significa per il tuo codice il venerdì che stai andando
a sentirlo competere è Galbraith
chi mostrerà la pubblicazione del post
miglioramenti operativi eterni di sicurezza
quello robusto può aiutare a guidare e poi a
chiudi oggi abbiamo David a te
di chi parlerà da allora
sei spesso responsabile, penso Nick
piace a dirlo, il dolore operativo può
né essere creato né distrutto
solo essere passato a qualcun altro che ho modificato
per dire che puoi creare operativo
dolore che David mostrerà da quando
un sacco dell’onere di fare sicurezza
falso e ora gli sviluppatori e a
definito dal software tutto il tipo di
ambiente che mostrerà aspro
materiali da costruzione e alcuni dei fondamentali
principi che ora stai ereditando
che stai facendo così tanto orchestrato
implementazione automatizzata dell’infrastruttura
ci sono diversi altri fantastici discorsi
Venerdì anche su robusti compresi
Chris Swan e alcuni altri, ma io voglio
fine con non so cosa ti motiva
ma spero che ora sei motivato e
grazie mille
tu
Please follow and like us: