quanti di voi hanno sentito parlare di robusti
prima di quanti di voi hanno visto un robusto
parla prima di sapere che hai tutto bene
ok
okay, quindi di solito mi piace iniziare con come
Sto per finire penso che stiamo facendo
un terribile terribile lavoro
facendo software non significa che noi
non stanno facendo il nostro lavoro, no
significa che non stiamo guidando con successo
profitti o creazione di qualsiasi valore, ma noi
non ho davvero capito quanto sia importante
il software è e quanto è importante il tuo ruolo
sono architetti e ingegneri del software
sono diventati se ci pensi
fino al soffitto, nessuno di noi SAT
qui in perenne paura che questo
l’edificio stava per schiacciarci proprio noi
avere mattoni abbiamo l’acciaio che abbiamo
concreto per cui prendiamo queste cose
concesso perché sono affidabili
i ponti camminiamo sopra gli edifici
dormi sai che è affidabile
infrastruttura il problema è diventato
e questo è uno dei fondatori
i principi dietro robusto è quello nostro
la dipendenza dal software sta diventando come
grande come la nostra dipendenza dall’acciaio e
concreto ma non è altrettanto affidabile
in effetti vengo dalla cultura hacker
e tutto è hackerabile a patto che
qualcuno ha il mezzo significa e
opportunità a cui possono infliggere danno
altri che dipendono da quel digitale
infrastruttura ora la sfida siamo noi
non ho usato per avere tante opportunità
ma ora che stiamo inserendo il software
tutto bene ci arriveremo ma
quello che mi piace fare è invece di dire
gli sviluppatori che sono pigri o
irresponsabile o stanno mettendo
tutti in pericolo non è un bene
strategia che mi piacerebbe fare perché io
rispettare il college di sviluppo del software
così è dove ho iniziato il mio primo
la carriera era nello sviluppo del software 20
anni fa è che tendiamo a pensare
come cose e innovazioni come andare
da cascata ad agile o da agile a
dev ops o DevOps alla consegna continua
e tutto continua e un sacco di
le cose che abbiamo preso abbiamo preso da
altre discipline quindi sono un grande fan di
Deming Edwards Deming ha rivoluzionato
Principi della catena di fornitura Toyota nel
Anni ’40 nella seconda guerra mondiale in Giappone uno dei
solo cose da cui non abbiamo rubato
Deming è l’effettivo bit della catena di fornitura
così ho intenzione di affermare che, se rubiamo
alcuni di questi principi della catena di fornitura
e metterli in un moderno software
sviluppo non solo ne avrai di meno
il lavoro non programmato non pianificato non solo lo farà
sei puntuale sul budget non solo con
le tue operazioni le persone hanno meno interruzioni
correzioni
ma avrai anche un tempo medio più veloce
identificare e riparare se posso fare ricorso
alle cose che sei già
misurato in bonus Don e
incentivato e capita anche a
rendere l’infrastruttura digitale più sicura
una cosa davvero buona quindi non è così
molto un discorso sulla sicurezza ma per il primo
tempo nella storia penso di fare la cassaforte
cosa succede anche a fare il
cosa redditizia quindi ho intenzione di farlo
dimostrare alcuni di questi principi in
azione e perché questo è uno sviluppatore
conferenza voglio mostrarne alcuni veramente
dati sexy in una visualizzazione dei dati quindi sono
andando rapidamente a quello che devo
chiarire il mio titolo così sono Josh Gorman
uno dei fondatori del robusto
movimento del software e autori robusti
il manifesto del software e l’occhio
il movimento di cavalleria ma tra eccetto
essere accettato qui e oggi io
in realtà lasciato il settore privato così io
lascia il mio lavoro come CTO di sonatype che sono
in realtà in periodo sabbatico e ora sono a un
focalizzato sul think tank della politica internazionale
sulla sicurezza informatica almeno per il
futuro prevedibile fino a quando non potremo averne un po ‘
sanità mentale avvolta in auto e medica
dispositivi quindi sono ancora un consulente per
sonatype ma non sono qui in rappresentanza
qualsiasi interesse commerciale e amo
zombie tra l’altro una delle cose che ho
Mi piace iniziare con è perché fai cosa
lo fai se sei con un hacker
o conferenza per sviluppatori c’è
qualcosa che ti motiva come persona
e quello che ho capito troppo tardi
10 anni di tentativi di dirlo agli sviluppatori
come fare meglio la sicurezza è questo
strategia che mi costringe a cambiare
quello che ti interessa è una strategia è
andando a fallire le persone giuste si preoccupano
a cosa importa e ho bisogno di incontrarmi
li e li abbraccio li mi sveglio
ogni giorno e voglio rendere il mondo un
posto più sicuro sono un mio protettore
gli amici hacker non sono i loro protettori
i rompicapo vogliono capire bene
problemi che alcuni di loro vogliono diventare
famoso quindi si tratta di prestigio quindi io
davvero non so cosa ti motiva ma
qualcosa ti ha fatto scegliere di entrare
software qualcosa ti fa scegliere
rimani al lavoro che sei in questo modo
qualunque cosa ti motiva spero
che c’è qualcosa qui che può
aiutarti a fare un lavoro migliore in quello che tu
mi interessa già così se non lo sai
questo ragazzo e tu non hai letto il
Progetto Phoenix, questo è Jean Kim
uno dei miei fratelli di un’altra madre I
indovina e quando viene dal
l’industria della sicurezza è stato l’inventore
filo di viaggio che è davvero davvero
importante
per la gestione delle modifiche nei server e per
integrità del sistema ma ha rinunciato
sulla sicurezza perché quello che realizza
stiamo lavorando davvero molto duramente
per proteggere le cose ma le cose che siamo
cercare di proteggere non può essere difeso
il loro indifendibile e una delle cose
era attratto dalle prestazioni IT
e ha fatto questo studio davvero sorprendente
chiamato operazioni visibili che guardavano il
le migliori aziende IT nel mondo
e ho capito cosa li rendeva bravi in
il loro lavoro ma la prossima cosa che lui
inciampato era questa roba di dev ops
e quando ha iniziato a spiegarmelo
Ho iniziato a sentire le palpitazioni cardiache
Ho detto che è terribile come non possiamo
anche sicuro un ambiente agile esso
si muove troppo velocemente come stiamo andando
per fare questo con DevOps, quindi abbiamo tipo di mettere
insieme le nostre teste e ci hanno detto che
la sicurezza DevOps era davvero la fine
sicurezza come la conosciamo perché c’è
davvero nessun modo con quei tempi di ciclo per
davvero fare un sacco di cose che noi
era solita fare ma sai che mi sono fermato per un
secondo, forse è una buona cosa
e non mi scuso per il mio sistema operativo
fratello nella stanza ma tu lo sai
guardato le cose e ho detto che lo sappiamo
fare un lavoro davvero terribile all’applicazione
sicurezza quindi perché stiamo cercando di combattere
fino alla morte per mantenere qualcosa che
non funziona molto bene ne abbiamo molti
buona tecnologia e ne abbiamo molte
buoni strumenti e molti di loro sono gratuiti
e abbiamo un sacco di allenamento ma il
l’adozione è stata molto molto scarsa, quindi io
detto forse non è una brutta cosa che è
la fine della sicurezza come la conosciamo e noi
detto proviamo a invece di essere
paura di DevOps cerchiamo il
terreno comune potremmo avere ora sicurezza
le persone hanno un atteggiamento piuttosto terribile
questo è il modo in cui visualizziamo DevOps I’m not the
uno che ha fatto questo scivolo ma io amo
in qualche modo tendiamo ad ereditare
tutto ciò che è accaduto prima di noi e
lo sdl e proviamo a ripulire il casino
dopo, ma non è proprio il massimo
atteggiamento quindi ciò che realizziamo è che siamo
avremo bisogno di una barca più grande e noi
non avremmo potuto farlo con
Il gene Justin e io ci mettiamo le mani
insieme se non hai letto la sua Fenice
progetto è essenzialmente la Bibbia per
DevOps quindi abbiamo iniziato a crescere la tribù
e se riconosci questo ragazzo, è di Jed
umile uno dei co-autori di
consegna continua e impresa snella
e abbiamo iniziato a incontrare persone come John
Willis dal docker e i ragazzi che corrono
DevOps days e abbiamo detto prendiamo il
migliore e più brillante della tribù DevOps
e il migliore e il più brillante dal
tribù della sicurezza hanno buoni atteggiamenti
troviamo un modo per averne un po ‘
collaborare
insieme e lei ancora non sa cosa
è entrato ma noi fondamentalmente abbiamo iniziato
emergendo queste tribù e siamo stati
eseguendo questi robusti giorni DevOps o
robusti brani DevOps in vari modi
conferenze gratis perché pensiamo
c’è una scelta naturale per noi di lavorare
insieme ora chi ha sentito il Marc
Andreessen afferma che il software è pari
il mondo giusto significa praticamente chiunque
tutti stanno diventando un software
azienda come un hacker non posso fare a meno di
pensa che sta infettando il mondo giusto
stiamo mettendo il software in tutto
quando vedo software so che c’è un
tasso di difetto per mille righe di codice
e per questo ogni pezzo di
il software che aggiungi è rendere quel prodotto
più debole ora chiaramente non lo guardi
In questo modo adoriamo l’idea che stiamo per fare
ho auto iper connesse e amiamo
l’idea di Internet of Things
entrare a casa nostra aggiunge convenienza
ma voglio che tu ci pensi pure
che quando aggiungi software a qualcosa
lo rendi hackerabile non c’è umano
che può scrivere il codice non infrangibile più
codice hai più problemi così è
più di un trade-off e ho iniziato
pensando alla migliore metafora per
questa non è ancora la migliore metafora
ma metallo quando hai galvanizzato l’acciaio
lo stai rendendo resistente alla ruggine quindi puoi
usalo all’aperto, ma quello che succede è il
atto di renderlo galvanizzato che è a
il vantaggio della prova di ruggine è un vantaggio
lo rende fragile quindi tendono a queste cose
rompere più facilmente o piegarsi più facilmente
e penso che a un certo punto lo faremo
guarda il software in questo modo e
connettività in quel modo quando arriviamo
i benefici che vogliamo e possiamo accettare
il compromesso lo facciamo e quando il
i trade-off sono inaccettabili che non facciamo
ma non siamo ancora abbastanza maturi
Infatti a volte ho chiamato Internet di
cose come l’amianto o l’amianto cyber
giusto era ignifugo era
leggero sei stato un idiota a non farlo
costruisci edifici come questo usando l’amianto
ma poi abbiamo notato che stava causando
enormi quantità di cancro ed è molto
pulizia costosa e abbiamo dovuto condannare
edifici perché stavamo usando quello
materiale in un modo pericoloso, così comincio
pensando ai materiali da costruzione e
poi guardo cose come il cuore
piatto ognuno di voi
colpiti dal cuore sanguinano solo alcuni di voi
nei tuoi account di social media o nel tuo
bancario hai dovuto rotolare le password
di nuovo forse o forse se sei al comando
di un sito dovevi rifare tutto il tuo
le chiavi ma se sei un programmatore per questo
questo non era un problema di sicurezza per te
essi
non era programmato sul lavoro pianificato
si doveva fermare quello che stavi facendo
Saresti in ritardo per il tuo impegno
il tuo stand-up o il tuo sprint e hai avuto
rifare ora una delle cose che
mi ha infastidito per il fatto che il cuore fosse io
penso che sia stato un vero campanello d’allarme per
persone abbiamo questa convinzione di lunga data
che l’open source è più sicuro di
fonte chiusa ed è principalmente a
credo religioso e la verità è questa
mentre potrebbero esserci molti bulbi oculari
noterete tutti i bug e tutti i bug saranno
superficialmente è apparentemente nessuno era
sembra giusto così o non lo erano
incentivare i bulbi oculari che non erano
bulbi oculari qualificati ma persone davvero
non stavano guardando queste librerie principali
come openssl openssh e TP alcuni dei
davvero fondamentale bit e appena
un piccolo insetto è stato trovato ciò che la gente ha ottenuto
pochissimi discorsi sono stati altri 31
vedere le api in quell’anno solare così a
poca goccia di sangue di wat nell’acqua
e tutti gli squali circondano e cosa siamo
la scoperta è che ci sono tonnellate e tonnellate e
tonnellate di difetti sfruttabili a distanza e a
molte di queste librerie principali ma il
l’altra cosa che abbiamo trovato è solo quella
circa la metà di loro è stata patchata così dentro
il primo mese circa il cinquanta per cento di
Internet esposto esposto è stato riparato
è stato abbastanza veloce ma l’ultimo lungo
la coda non è stata riparata e in effetti la
il numero sta salendo su sistemi senza patch
perché i nuovi sistemi embedded sono
spedizione con la vecchia libreria openssl così
che la popolazione esposta ai nodi è
in crescita è finita 600.000 ultima volta che ho
controllato con Rob Graham ma è quando noi
guarda quali sistemi non sono
patchato molti di loro sono integrati
Dispositivi IOT o controllo industriale
sistemi così controllo industriale Siemens
sistemi come quelli che Stuxnet
attaccati erano bravi perché loro
hanno ammesso che erano vulnerabili e loro
può emettere una patch che i nostri clienti, ma
molti dei loro concorrenti erano anche
vulnerabile e non può essere riparato così se
non sei in sistemi embedded o cyber
i sistemi fisici forse no
importante per te ma cosa dovresti
iniziare a realizzare è come aggiungere software
le tue macchine e i tuoi dispositivi medici e
le tue centrali elettriche non lo siamo
scrivere un nuovo software per quello
stiamo prendendo principalmente codice open source e
spostandolo così se queste cose sono
sia esposto che non passibile è a
cosa abbastanza terrificante e se non lo è
cuore sanguinante sarà baco o
scossa shell o Apache Commons
collezioni
se hai visto l’ospedale ransomware
ha preso cura del paziente in California
era solo un tipico crimine in cui
ma hanno dovuto spostare i pazienti da uno
l’ospedale ad un altro immagina di entrare
l’ambulanza e stai sanguinando e
ti hanno detto che devi andare in un altro
ospedale perché c’è un pezzo di
ransomware che era un difetto in jboss it
era un noto difetto e jboss che nessuno
sapeva o rattoppato così ho iniziato
pensando a questo in termini di tuo
la vita e la migliore analogia e poi lo farò
passare al robusto e nel software
catene di approvvigionamento siete voi ragazzi ricordate il
terremoto di haiti in haiti
ha ucciso 270.000 persone è stato molto
devastante e c’è molto
aiuti umanitari in realtà 230.000
la gente era un richter di sette punti 0
terremoto in scala e sei settimane dopo
che quasi non ha copertura nessuna notizia no
la fanfara era molto più forte
il terremoto nel Cile ha ucciso 279 persone
hai una scala di richiamo a sette punti
uccidendo 230.000 persone un 8,8 richter
scala solo uccidendo 279 persone così quando
tutto questo gli scienziati e il e il
sismologo e tutti hanno guardato al perché
diamine dove ce ne sono così tanti in meno
le morti erano un terremoto così grande
c’erano molti fattori coinvolti ma
il contributore numero uno stava costruendo
i codici qi lai avevano codici di costruzione moderni
haiti non ha fatto così i terremoti
ha scosso gli edifici nel Cile appiattito
gli edifici di Haiti e uno dei
ragazzi del governo americano hanno detto bene
non hanno codici di costruzione per la costruzione
codice e non voglio avviare la licenza
ognuno di voi, ma davvero non lo reggeremo
noi stessi a qualsiasi tipo di standard quando
stiamo ponendo vite e sicurezza pubblica
la base del software è così tanti anni
fa ho scritto il software robusto
manifesto prima ancora che fossi davvero
preoccupato per l’Internet of Things I
non credo che lo stessimo usando
frase ma ho intenzione di leggere due righe
da quello per le persone di sicurezza e
quelli per gli sviluppatori persone quindi uno di
cose che vuoi fare e ancora quasi
pensa a questo come a un giuramento di Ippocrate
la tua professione è secondo me la mia
il codice sarà attaccato da talentuosi e
avversari persistenti che minacciano il nostro
fisica economica e sicurezza nazionale
quelli a cui Vela fa le fusa è giusto
prima che riconosca il mio co
in modi che non posso prevedere in che modo
non è stato progettato e per più di
mai inteso in effetti se ci pensi
il ragazzo che ha introdotto il heartbleed
difetto ci sono due lezioni uno sono io qui
piacerebbe incontrare il ragazzo ma ho sentito
ora è come depresso in maniera massiccia
perché sa che il suo unico codice
commettere ha causato danni significativi e in
in realtà, mi sento davvero male per il
sviluppatore il cui codice causa il primo
fatalità sai che non voglio spaventare
le persone lontano dal fare la professione se
sei un buon programmatore, voglio che tu lo faccia
rimani, voglio solo che te ne renda conto
a seconda di cosa stai facendo il tuo codice
può essere usato in un posto che vorresti
mai pensato prima ma all’altro
la lezione è che assomiglia al commit
era come le quattro del mattino su New
Anno dell’anno quindi mi piace dire che amici
non lasciare che gli amici bevano in codice così uno
delle cose che sono naturali
estensione del software rugged
manifesto se questo stava cercando di ispirare
che forse le cose che stai facendo
importa più di quanto tu abbia capito è ora
che le cose stanno diventando più intense noi
ha iniziato un diverso gruppo riconoscendo
che nessuno verrà a salvarci
problemi di sicurezza pubblica se la cavalleria
non viene, quindi sei la cavalleria così
l’io sono la cavalleria era un personale
impegno che ciascuno di voi può fare e io
solo bloccato questa diapositiva qui a causa di
il keynote di stamattina, ma lo siamo stati
lavorando per alcuni anni su 3.com
sarà il nostro terzo compleanno per la nostra prima volta
compleanno abbiamo pubblicato un cyber a cinque stelle
quadro di sicurezza per i veicoli collegati
e stiamo cercando di prendere il meglio
ricercatori e i migliori programmatori e
assicurati che funzionino con queste macchine
aziende o con queste compagnie automobilistiche
che dal momento che tutti i sistemi falliscono, vogliamo farlo
essere preparati per il fallimento così in a
giorno diverso in un posto diverso che
possiamo immergerci in questo, ma in generale a
legatelo se tutti i sistemi falliscono e il
l’oratore principale alludeva a ciò che vogliamo
sei pronto per il fallimento, quindi quando lo sono
spiegando questo al mio vicino di base
Dì ai tuoi clienti come eviti
fallimento dire ai ricercatori che non faranno causa
loro se ti aiutano a evitare il fallimento come
catturi studio e apprendi da
fallimento siamo molto male strumentati
come hai un prompt un agile
risposta al fallimento e come si contengono
un guasto isolato quindi il fatto che la jeep
Cherokee è stata hackerata l’estate scorsa da Chris
e Charlie non è il problema, il fatto
che potrebbe anche spegnere i freni
o o uccidere il motore in alto
è il problema quindi abbiamo molto poveri
preparazione per il fallimento e da allora
stai per scrivere il digitale
infrastruttura che va nel prossimo
auto I Drive Volevo che tu conoscessi il
responsabilità che hai ma di nuovo
DevOps robusti va bene così chiunque qui dentro
autoidentificarsi come un ragazzo di sicurezza no
vedere le felpe con cappuccio quindi non ci deve essere
hacker perché gli unici hacker indossano
Felpe con cappuccio ok va bene ce n’è uno che penso
c’è un’enorme quantità di cose comuni
terra e senza ottenerlo c’è un
presentazione completamente diversa qui ma
ci sono cinque cose che voglio che tu pensi
che abbiamo tonnellate di terreno comune
tra la professione di sicurezza e il
la professione sviluppatore e DevOps credo
il numero uno è quello che ci piace
strumento tutto così il fatto che
DevOps si occupa di misurare qualsiasi cosa e
tutto dà una straordinaria visibilità
in telemetria e informazioni utilizzabili
per l’apprendimento automatico quando ero a
Akamai era un direttore della sicurezza
l’intelligenza e il fatto che potremmo
avere la strumentazione del ventilatore
velocità su un server o la temperatura della CPU
significava che se avessimo visto un leggero picco cinque
la variazione percentuale della velocità della ventola è stata ipotizzata
ci sono stati compromessi e possiamo usare quella
come un evento di sicurezza utilizzabile così io
pensa al fatto che la strumentazione
l’istinto è lì per DevOps è davvero
buono per la sicurezza numero due che ci piace
essere cattivo con il nostro codice così l’invenzione e
il precedente di cose come il caos
scimmia nell’armata di Simian da Netflix
l’idea che vuoi essere testato jazz
ha questa grande linea che è l’unico modo per
evitare il fallimento è fallire tutto il tempo o
se fa male fallo molto, credo
in realtà è venuto il primo
netflix e l’idea che c’è crea
spazio per cose come guanto di sfida e pausa
uomo e molti strumenti di sicurezza
stiamo costruendo per fare unità automatizzata
test per stringere i loop di feedback e dare
voi ragazzi rispondete il secondo voi
introdurre fallimento invece di tre
mesi dopo che ti sei trasferito sul
il terzo è che entrambi odiamo la complessità
la complessità è il nemico della stabilità
è il nemico della disponibilità è il
eventi il nemico della sicurezza il quarto
uno è che abbiamo un cambiamento accidentale
gestione che è davvero molto buona
per sicurezza mentre usi l’automazione e
strumenti di orchestrazione come chef e burattini
ed esegui mazzo e ansible e quant’altro
finire con un cambiamento rigoroso davvero buono
nei registri di audit che è eccellente per
sicurezza così tutto
persone nella sicurezza che pensano questo
stanno pulendo la cacca di unicorno
dimenticando queste cose incredibili e il
l’ultimo è che penso solo all’atteggiamento di
DevOps parla di empatia e abbattimento
muri e quello che ho notato è se un nuovo
il gruppo può dare qualcosa ai DevOps
comunità come la catena di approvvigionamento del software
igiene che sto per dimostrare che lo faranno
tornare a picche perché il
sviluppatori e dire come posso fare il tuo
lavoro più facile hai reso più facile il mio lavoro
come posso rendere il tuo più facile così indietro
al punto di complessità questo è un cablaggio
lavoro non so spero non sia troppo
buio e parliamo di debito tecnico
tutto il tempo ma c’è anche sicurezza
quello che cresce lo stesso tasso e il
l’idea è quella tecnica ma il debito diventa
peggiorare nel tempo e siamo arrivati al
punto in cui i nostri sistemi sono così complessi
che non possiamo nemmeno eseguirne il debugging più
il motivo per cui mi piace il micro servizio è
Tieni traccia della tendenza di ieri che siamo
prendendo questi grandi software monolitici
oggetti che non possiamo eseguire il debug o proteggere
e li stiamo rendendo più piccoli e più
gestibile okay la mia batteria non è morta
ok, ma la complessità sta davvero uccidendo
l’industria del software questo è un
rappresentazione grafica di Maven
centrale quindi in sonatype ero il
custode la più grande fonte aperta
repository nel mondo quindi se tu
conosci il sonatipo o no se lo hai
hai mai fatto qualcosa con Java sei
afferrando roba da Maven centrale e
le dipendenze e le dipendenze
cima delle dipendenze e del transitivo
dipendenze è un disastro il numero di
pezzi di codice per cui devi tirare
la più piccola funzione di base è
arrivare ad essere pazzo così ad un certo punto
quella complessità anche se lo siamo
ottenere un sacco di codice gratuito e un sacco di
funzionalità davvero buona e dobbiamo
reinventare la ruota ad un certo punto noi
fibbia sotto il peso del nostro
la complessità bene lo stesso tipo di cosa
capita in produzione da molto tempo
fa così gran parte del software moderno
i principi che ottieni provengono da questo ragazzo
questo è il deming di Edwards a cui ha cercato di andare
Detroit all’industria automobilistica di
noi lo ignorammo e così andò in Giappone
dopo la seconda guerra mondiale ha detto se tu
segui il mio esempio ti farò diventare un
nazione prospera e redditizia
economia in cinque anni così è andato a
Toyota che ora conosciamo come un’auto
compagnia ma al tempo era a
produttore di tessuti e li ha trasformati
nel più riuscito e più
società automobilistica redditizia nel mondo
e avevano un vantaggio dominante per 30
anni prima che qualcun altro lo capisse
come copiarlo così per lui ha appena detto
guarda dobbiamo trovare modi migliori per
gestire la complessità ci sono molte cose
lo ha fatto, ma se pensi a quelli
le motivazioni che ho accennato all’inizio
gli sviluppatori che vogliono essere in orario
budget con qualità e rischio accettabili
probabilmente in quell’ordine giusto e cosa fare
facciamo all’inizio con cui abbiamo iniziato
cascata e questo è dove ho iniziato se
Non sono riuscito a ottenere un bug risolto
essere due anni prima che ho avuto la sua occasione
per ottenere un bug corretto, siamo passati all’agile
e non c’è niente di più agile di
capre apparentemente un agile davvero
compresso il tempo di sviluppo e il test
tempo e ha reso più iterativo ed è
ci ha resi più veloci ma non necessariamente
più alta qualità quindi se guardi l’annuncio
jelyn integrazione continua contro
quelle tre motivazioni hai fatto davvero
buon lavoro di essere in orario ora alcuni
la gente dice che i DevOps erano veramente agili
per tutti gli altri tutti hanno un
diversa definizione per DevOps quindi
davvero esteso la promessa di agile
con consegna continua e ora hai avuto
agile con le operazioni e hai avuto in tempo
budget ma ciò che non abbiamo pagato
l’attenzione è nella nostra velocità e in una gara
per fare questo abbiamo introdotto significativi
complessità stiamo avendo molto più freno
corregge molte più interruzioni di servizio a
molto di più non pianificato sul lavoro programmato e
se sei un fan di lean e l’otto
tipi di rifiuti abbiamo essenzialmente aggiunto a
9 ° tipo di rifiuti in muda che è il
impiantato sul lavoro programmato che viene
con troppa complessità nel nostro software
supply chain quindi se vuoi prendere un
più pieno abbraccio di deming andiamo a Toyota
catene di approvvigionamento e ha rivoluzionato il
modo in cui lo fai con un paio p
i principi e la teoria qui è se noi
aggiungere catene di approvvigionamento software o robusti
Devops possiamo andare più veloce in tempo
budget con qualità e rischio accettabili
quindi ecco due diverse auto ibride quindi
ha mostrato un po ‘di Tesla l’altro giorno
voglio vedere come fa il Tesla
parti ma prima le auto elettriche
è uscito che dovevi Toyota Prius e te
aveva la Chevy Volt della Toyota un costo
significativamente meno quindi era del 61 percento
del costo hanno venduto 23 mila unità
invece del 1700 hanno venduto molto di più
hanno fatto solo il ventisette percento di
la propria auto contro Chevy doveva fare
più della metà della propria auto e te
penserei che se ne facessero meno
loro auto devono aver fatto affidamento su
più fornitori hanno ragione, ma in realtà
l’esatto opposto hanno fatto 27 ma
un’altra auto del senatore con solo 125
i fornitori Chevy hanno fatto molto di più
quindi con molti meno fornitori che hanno fatto
dieci volte meglio utilizzare ciascuno di essi
e quello che è successo è stato loro
dominato la concorrenza e il prezzo
il punto era più basso la loro qualità era più alta
che sai che la Chevy Volt è stata tormentata
con problemi tra cui la cattura delle batterie
in fiamme che è ancora un errore in
una catena di approvvigionamento così quando studi questi
le cose in pratica ne prendi tre
principi e stanno per venire
nella mia visualizzazione dei dati numero uno tu
voglio usare un numero minore e migliore di fornitori
quindi non scegli ogni registrazione
quadro nel mondo ne scegli uno o
due non si sceglie ogni compagnia di airbag
per la tua auto scegli un livello elevato
società di airbag di qualità quindi si utilizza il
parti di altissima qualità da quello
produttore quindi non scegliere un
versione vulnerabile di cinque anni di
log4j sceglie la versione meno vulnerabile
nella metafora della macchina tu non scegli il
gruppo difettoso di air bag di Takata che era
difettoso andresti in prigione se tu
usato una cattiva versione o un brutto lotto
voglio usare il più fresco degli ingredienti
e infine tracciare quale parte è andata
dove durante la produzione così
quando c’è un nuovo richiamo non lo fai
devo avere un richiamo per ogni singolo
auto nelle tue flotte da cui usciresti
affari che hai appena chiamato persone che hanno ottenuto
il lotto sbagliato in modo da monitorare quale versione
dell’airbag è andato in quale veicolo
consente un prompt un agile e
risposta efficiente in termini di software se
hai tremila domande
e tu non sai quali stanno usando
quale versione di openssl quando c’è un
attacco di cuore sanguinante che devi testare
ognuno di loro o spero se tu
ho rintracciato quali parti sono andate dov’è
davvero le migliori pratiche per la fabbricazione
okay, com’è andata la mia ora?
va bene
qualcuno mi dà alcuni segnali a mano così
quando guardi alla nostra dipendenza dall’open
fonte in realtà non mi sto lamentando
su questo abbiamo ottenuto molto di più
fatto perché non dobbiamo scrivere il nostro
proprio framework di registrazione o sono attivi
libreria di autenticazione o su Krypto
siamo in grado di usare davvero bene per te
materiale disponibile quindi abbiamo chiuso il 2014
con 17 miliardi penso che abbiamo chiuso il 2015
con 30 miliardi di download unici
da Maven centrale e ho avuto un unico
competenza in quel consumo ma il
la sfida non era tanto quella che abbiamo usato
l’open source è quello degli aggressori
notato così era quello che se io
volevo trovare un difetto in una banca tu
Conoscere ABN amro Voglio trovare un difetto in
il loro sito web della banca ne farei alcuni
Ricognizione, troverei un bug e io
attaccherebbe un’ape e io non sono amro
personalmente, naturalmente, ma ora quello che io
capirlo è aspettare un secondo che sono
tutto usando puntoni2 quindi se attacco un difetto
e gli apache puntano su ogni banca
giusto quindi è davvero un’amplificazione
con quella dipendenza condivisa arriva a
superficie d’attacco condivisa e si amplifica
il ritorno sul mio investimento per così dire
quindi un solo difetto può avere un impatto enorme
infatti è peggio di così perché quando io
so che kak chua Lee può attaccare una banca
sta usando i puntini apache anche se
se lo trovano, lo so
un altro bug in Apache strats per posso andare
torna a quella Banca ancora e ancora e ancora
perché è improbabile che tu stia andando
strappalo in modo che arrivi la dipendenza
con i rischi e i trade-off in effetti esso
era esattamente quel progetto che ha abbattuto
quasi tutte le banche quando ero ad Akamai
in effetti questo è uno dei motivi per cui io
deciso di andare nella fornitura di software
il business a catena stava cercando di farlo
proteggerli da attacchi DDoS anonimi
o dall’esercito elettronico siriano o da
iniezione sequel e cross site
scripting e molte delle cose che vedi
nella top 10 dei ojas ma non stavo pagando
attenzione al fatto che quasi tutti
gli attacchi erano ora contro difetti noti
nelle librerie open source che tutti
stava usando così penso davvero che sia quando
le cose sono cambiate infatti mi sono detto
perché stanno iniziando a scegliere come target SSL aperto
o in questo caso anche i puntini apache così io
mappato ogni singola vulnerabilità nota
per il punteggio della CBS da 1 a 10
la storia il progetto di puntoni e questo
uno era il cattivo in quel particolare
bug era lì da 11 anni quindi no
uno stava guardando indietro a molti
fallacia bulbi oculari ma cosa si può dire
è che il numero di leggi e il
la gravità dei difetti sta crescendo in
il
in alto a destra e non va bene così
è open season su open source
questo mi fa davvero schifo e gran parte del tuo
usando questo anche se non ti conosci
sono un castello gonfiabile come una crittografia
libreria destra in realtà è chiamato il
Legione della crittografia del castello gonfiabile
AP è per Java ma lo chiameremo semplicemente
castello gonfiabile nel 2007 aveva un noto
difetto di esecuzione di codice remoto completo è a
progetto di sicurezza scritto da sicurezza
professionisti per casi d’uso di sicurezza
si preoccupano un sacco di sicurezza loro
non hanno bisogno del manifesto robusto loro
profondamente a cuore la sicurezza ma tutti
ha una brutta giornata perché tutto il software ha
difetti c’è un certo tasso di difetto per
migliaia di righe di codice ce ne sono molte
codice in là in modo da ripararlo correttamente
hanno rilasciato un aggiornamento e nonostante
di loro con un aggiornamento immediatamente in
2007 abbiamo continuato a guardare chi è ancora
usando la versione vulnerabile ed è stato
migliaia e migliaia di organizzazioni
ce n’erano quattromila unici
aziende per scaricarlo a venti
mille volte e metterlo in 650.000
applicazioni alcune delle quali stai usando
adesso sul tuo iPhone o sul tuo
Android quindi questi sono davvero terribili
errori evitabili giusto e c’è st.
stessa cosa per h2b client ecc. e questi
le cose si stanno facendo strada nelle auto
e non possono essere patchati così alcuni dei
interfacce remote in questi veicoli
stanno usando difetti noti in molto vecchi
versioni di librerie e anche se loro
volevo aggiustarli non possono quindi sono un
un po ‘meno preoccupato per la matematica
essere in errore con le lettere greche da
la nota dominante e molta più preoccupazione
qualcuno che usa un bambino di dieci anni conosciuto
vulnerabilità a ferire te e il tuo
famiglia così da consumare queste parti
il cloud non stiamo davvero filtrando
le cose cattive quello che vediamo è
il settantacinque per cento delle cose
scaricato aveva una vulnerabilità nota in
quando lo metti nel tuo Nexus o nel tuo
l’artefatto che abbiamo visto quando fai il tuo
build automatizzati con Jenkins e altri
cose che stanno arrivando molti bug
lì e sto per saltare
questo perché ti mostrerò un dato
visualizzazione invece va bene a chi piace
diapositive quando puoi fare dati okay spero
puoi leggerlo bene così indietro
quell’aereo che il software sta mangiando
mondo quindi ecco un pezzo di software
destra
grande pezzo di software verde che mangia il
il mondo il problema è che non scriviamo
software più giusto, lo assembliamo
da terze parti e open-source
qualcuno è audace e dimmi quanti
pezzi di open-source che pensi siano in a
pezzo di software moderno nessuno Martin
qualcuno dice 100 buone ipotesi quindi ecco a
cento pezzi la maggior parte delle persone indovina 50 e
la verità è che probabilmente hai scelto 50 ma
il software che scegli foto altre cose
proprio qui c’è il transito nelle tendenze
la media è in realtà 106 abbiamo studiato
migliaia e migliaia o nel primo
sempre stato della catena di fornitura del software
riferire l’anno scorso i nuovi su
vieni fuori così ce ne sono centosei
unici progetti open source di varia natura
dimensioni nel tuo codice ora se si tratta di un cellulare
l’app sarà meno se è grande
l’applicazione sarà più ma
questo è un sacco di bit e parti del software
giusto così indietro all’idea della supply chain
da Deming abbiamo una catena di fornitura noi
solo non gestirlo come uno ora chi
pensa che siano tutti verdi e
Sano bene c’era un ragazzo a
Microsoft che una volta disse quel software
età come il latte non piace il vino vero
si fa male abbastanza velocemente così si scopre
quel 23% come rapporto ha una sorta di
vulnerabilità nota in loro e chi
si preoccupa della sicurezza se vuoi solo
essere puntuale sul budget, ma ho intenzione di farlo
inquadrare questo in termini di impatto che ha
sui team di sviluppo software quindi alcuni di
saranno bassi medi e alti
non tutti quelli super serie come
sconvolto ma dentro a circa
quarto delle parti che stai utilizzando
avere rischi evitabili in loro che lo faranno
causa il lavoro non programmato non pianificato, lo farai
devi fermare quello che stai facendo tornare indietro
ad un vecchio progetto scarica il nuovo
versione che fai un altro build di Jenkins
un altro test unitario lo spinge alla produzione
allora puoi tornare a quello che sei
così facendo nessuno vuole farlo e se
è stato male il giorno si è scelto in modo che di
è completamente evitabile, quindi senza
prestando attenzione all’igiene su a
quarto dei componenti abbiamo a
vulnerabilità nota e questo potrebbe essere
più difficile da vedere ma non dobbiamo solo
temiamo che gli hacker malvagi dobbiamo anche temere
avvocati diabolici quindi questi piccoli viola
suona è l’otto per cento di quelli che noi
scelto vengono usati contro i loro
licenza quindi è illegale utilizzarlo e
tu
apri la tua azienda alla causa che cerco di fare
spiegare alla gente perché è questo che dicono
perché questo è un grosso problema, nessuno lo farà
Sue noi ero solito fare acquisizioni per IBM
e se guardi quanti soldi nidificano
fatto quando google li ha comprati penso
cos’avevano quattro miliardi di dollari se
avevano avuto cattive licenze nella loro
software basato non sarebbe stato
comprato giusto a seconda di quanto serio
le licenze sono così a volte c’è
accidentalmente usando una risata copia e a
GPL può farti denunciare come Cisco è stato citato in giudizio
quando hanno comprato linksys o potrebbero ottenere
tu a me non acquisito se ci stai provando
avere una buona uscita quindi questo è il
igiene media di una normale applicazione
e quando pensi a questo non è così
quel grosso di un affare perché non tutti
un singolo difetto ti farà diventare un cappello
giusto ma se vai giù in fondo
qui posso vedere quello che sto fondamentalmente dicendo
è se solo il dieci percento di questi in a
anno dato ti ferisco e ci vuole forse a
cento dollari l’ora per il tuo libro paga
e ci vogliono 10 ore per fermare cosa
stai facendo andare a prendere la nuova versione
un’altra build torna in pista
sono stime piuttosto prudenti ma
quello con cui finisci è con quelli
stime davvero conservatrice che uno
l’applicazione ti costerà trenta
ore di inattività e costerà
hai tremila dollari sprecati
libro paga e stai andando a dire bene
josh a chi importa di quello non lo è
questo molto ma questo è il modello base e
quando vai in scala, dai
nessuno sta lavorando su una singola applicazione
probabilmente stai toccando 10 e la squadra
sei su sta toccando un centinaio e quando
si arriva semplicemente a solo un centinaio di
queste cose ora sei fino a un quarto
di un milione e la vita solo per l’utilizzo
qualcosa che è stato male il giorno che hai scelto
completamente evitabile e dieci percento
è una stima molto modesta per la maggior parte di voi
l’anno scorso ha dovuto correggere almeno openssl a
almeno scossa shell almeno Apache
Collezioni di Commons almeno jboss forse
tempi plurali per ciascuno di quei progetti
perché come stanno facendo gli attaccanti
più così tre sono tutto ciò che serve per arrivare
questi numeri tre per domanda così
per me questo è uno spreco enorme del nostro
tempo e fatica e questo è qualcosa
che inizia a catturare l’attenzione del tuo capo
ora anche se non ti piacciono quei numeri
una volta che inizi a diventare dimensioni reali
come io lavoro con alcune delle fortune 50
le aziende hanno 6500 applicazioni
questo è 17 17 milioni di dollari americani
tempo di sviluppo sprecato è serio
soldi quindi non li convinco a fare
migliori catene di approvvigionamento del software perché
vogliono farti conoscere un codice più sicuro
è arrivato in alcune nuove catene di approvvigionamento del software
perché a loro piacciono i soldi proprio così miei
asserzione in cui tornerò
le diapositive qui la mia affermazione è che se
usi pochi e migliori fornitori
parti di qualità superiore e tieni traccia di quali
le parti vanno dove andrai a finire
riduzione materiale in non pianificato
lavoro non pianificato per gli sviluppatori che farai
finire con un minor numero di correzioni per
operazioni che sono misurate su cinque
nove di disponibilità e vas mttr o
tempo medio per riparare o recuperare e
finirai per avere significativamente
superficie di attacco ridotta pure e
non si tratta di dover imparare come
lavori di contraffazione di richiesta cross-site che
è anche importante è davvero solo
utilizzare gli ingredienti più freschi che abbiamo avuto
un sito web del governo che utilizza 11
diversi quadri di login nello stesso
sito web quindi se avete sentito notizie
domani c’è un attacco sfruttabile
e una struttura di registrazione che potresti dire
beh, ce ne sono solo 20 di quelli che ho
una possibilità su 20 di essere colpiti ma se
stai usando 11 di loro che hai appena finito
le tue probabilità di essere colpito così quando ho iniziato
analizzare, cercare, guardare
all’igiene open source stessa e
Farò solo questo punto molto brevemente
puoi leggere questo se vuoi più dati
abbiamo detto quanto è buono sono open source
progetti a fissare i loro difetti perché
questo è il software in voga
software in cima al software e quando noi
ha esaminato tutti i progetti Java in
Maven centrale quello che abbiamo trovato è quando loro
avere una vulnerabilità cve o nota in uno
delle loro dipendenze dirette solo loro
risolverli per il 41% delle volte
mai ho fatto due domande quante volte
li aggiustano e quanto velocemente li fanno
fissarli MTTR in modo da risolvere solo
meno della metà della sicurezza
vulnerabilità quindi anche se stai mantenendo
attuale sulla loro versione ha ancora
meno della metà dei suoi bug risolti e
quando lo risolvono erano 390 giorni
media così in un anno solare ci sono voluti
circa un paio d’ore per alcuni di questi
CVE noti per iniziare a essere sfruttati
in tutto il mondo e la migliore risposta
alcuni di questi ragazzi fanno un over a
anno civile e oltre a quello se
non stai nemmeno prendendo quelle correzioni come
castello gonfiabile dal 2007 non c’è da stupirsi
avere un’infrastruttura indifendibile e no
Mi chiedo se sono così preoccupato per la mia macchina e
i miei dispositivi medici e i miei ospedali e
per ricordarti l’ospedale che doveva
spegnere l’assistenza al paziente era a causa di
un difetto noto in jboss in una libreria
solo uno era essenzialmente lo stesso
problema di serializzatore deserializzatore come te
visto con le collezioni di Apache Commons da
Fox Club quindi direi che abbiamo un pubblico
problema di salute ho cercato di essere un po ‘
generoso e dire che forse aggiustano il
livello decine più veloce e lo fanno è 224
giorni non molto meglio ora anche questo è il
popolazione generale se si guarda
progetti individuali alcuni di questi
i progetti si preoccupano profondamente della sicurezza
risolvono la maggior parte dei bug e si risolvono
loro entro 90 giorni o giù di lì, ma il prossimo
tempo per andare a scegliere un framework di registrazione
non ti piacerebbe sapere la percentuale
di bug che risolvono quanto velocemente risolvono
loro quanto si preoccupano della sicurezza
perché se pensi alla funzionalità
è fondamentalmente uguale a quello che è sorprendente
igiene e uno ha un’igiene terribile
questa è una soluzione piuttosto facile per noi
incorporare nella nostra professione e se
così facemmo iniziare a ridurre in maniera massiccia
sul piano di lavoro a rischio
okay, ho intenzione di saltare questo in modo speciale
perché nessuno qui si preoccupa degli Stati Uniti
Il Congresso non è altro che dirlo
c’è azione in atto in diversi
parti del settore privato regolamentare
e settore pubblico e l’idea era
c’è in realtà una spinta per fare qualcosa
chiamato la catena di approvvigionamento cyber
trasparenza e l’idea è volontà
corporazioni o persone che producono
software e beni iniziano a pubblicare a
elenco degli ingredienti proprio come c’è
sul cibo quindi l’ idea era qualsiasi cosa venduta a
il governo degli Stati Uniti in questo particolare
caso ma molti dei vostri governi hanno
incontrato negli ultimi 48 anni
ore per dire che devi fornire un software
distinta materiali di terzi e
librerie open-source utilizzate in a
numero di moda leggibile dalla macchina a quella
la lista non dovrebbe avere alcuna sicurezza conosciuta
vulnerabilità o CVE nel National
database di vulnerabilità e numero tre
perché le future vulnerabilità stanno andando
succedere se hai un prodotto che è
non è patchable , non vogliamo comprarlo
più così dicci gli ingredienti loro
non può essere conosciuto difettoso senza un bene
ragione e devono essere patchable e
quelle tre cose stanno iniziando a mostrare
su altrove tutte le grandi banche a livello globale
attraverso i servizi finanziari io sacco
averlo inserito nell’approvvigionamento standard
lingua almeno numero uno di loro
voglio un software leggibile dalla macchina
materiali da costruzione da altri software
fornitori e poi hanno intenzione di
riferimento incrociato per vulnerabilità
stato in un dato momento in modo che ignorino
gli ultimi due laboratori di underwriters
è molto di recente negli ultimi due mesi
mettere fuori un programma di assicurazione cibernetica
certificazione per dispositivi medici e
dispositivi di controllo industriale e quindi
richiedere una distinta base non conosciuta
difetti senza una strategia di mitigazione
devi essere patchable e ne aggiungono alcuni
più devi fare un’analisi statica
devi fare un pen-test e devi farlo
fuzzing quindi se fai quelle sei cose
puoi prendere i sottoscrittori
i laboratori sigillano anche tu vedi grandi
le società di revisione a livello globale iniziano a chiedere
forse questa è la definizione di fare attenzione
quindi se una società è hackerata o un pezzo di
il software viene violato a causa di un noto
vulnerabilità che è negligenza ma se
c’è un esotico giorno zero dalla Cina
va bene
sai che nessuno potrebbe biasimarti
così che stai iniziando a metterli
le cose nel loro contesto e se torni indietro
al mio caso castello gonfiabile che è dove
finiremo se quelle 4.000 organizzazioni
dovuto fornire una fattura software di
materiali e certificare che c’erano no
vulnerabilità note ognuno
di loro avrebbero detto oh c’è un
livello 10 difetto in questo castello gonfiabile
libreria c’è un altro e
vedrebbero che sì è stato risolto
per sette anni effettivamente a questo punto
sono nove anni e ci vorrebbe il
alternativo che è API stabile
le build coerenti sono buone e si muoveranno
ed è così che inizieremo a drenare
la palude quindi voglio lasciarti con
questa idea che queste due piccole parole di
vulnerabilità conosciute non solo è la
cosa giusta da fare per la sicurezza e il
è anche la cosa giusta da fare per la sicurezza
la cosa giusta da fare per non pianificato
pianificare il lavoro per le correzioni e
questo è un rapporto di un anno, ma
verizon fa il rapporto annuale su come
le persone vengono violate e compromesse
principalmente per carte di credito e banche
fatto questo grafico con uno scienziato dei dati
hanno detto se guardi tutto il
exploit di successo nell’anno precedente
lo hanno rintracciato solo 10 SI VES 10 noti
vulnerabilità conosciute quindi a novantasette
per cento degli attacchi ce ne sono stati alcuni
disputa su questo stat ma il generale
la regola tiene così il 97% non la regola 8020 come la
keynote ha detto che dieci difetti sono stati costituiti
novantasette percento del globale
attacchi e quando guardi le età di
quei difetti otto di loro avevano avuto un
patch disponibile per più di un decennio
così mentre mi preoccupo degli attaccanti esotici
e attaccanti sofisticati perché mentre io
sono preoccupato per gli stati nazione mentre io
Sono preoccupato per la top ten del sistema operativo I
penso che questo sia molto molto risolvibile
problema usare il più fresco degli ingredienti
dai fornitori conosciuti che stai utilizzando
e avrebbe un impatto incredibilmente enorme
su come i sistemi sono effettivamente
compromesso in questo momento così indietro al
Deming cosa di lavorare in modo più intelligente non
più duro, okay, sono in ritardo
solo andando a concludere ricordandoci che
penso sia molto facile prendere un po ‘
più pieno abbraccio di deming
è un numero minore e migliore di progetti open source
utilizzare le parti di alta qualità da quelle
progetti open source e traccia dove
loro vanno essenzialmente i benefici
meno tempo di lavoro non pianificato più veloce
tempo medio per riparare quando le cose vanno
sbagliato ecc. e cosa abbiamo misurato
almeno nell’ultimo anno e mezzo di
questo esperimento è che il
organizzazioni che hanno ottenuto questo
Incremento e sviluppatore del 30 percento
produttività semplicemente provando il loro primo
anno e non credetemi sulla parola
l’igiene prende solo una salute gratuita
controllare da AppScan o qual è il
correttore di dipendenza o c’è un libero
controllo sanitario dallo stand del summit
qualunque cosa tu abbia intenzione di cercare, trova
fuori ciò che la tua igiene è e potresti
essere in grado di salvare te stesso significativo
tempo sprecato e questo non è solo circa
il tuo lavoro giorno giusto dipende da noi se
i nostri grandi terremoti cibernetici non è così
la presenza del terremoto o il
terremoto di magnitudo era eravamo noi
pronto per questo con una costruzione sufficiente
materiali e codici di costruzione sufficienti
così si arriva a scegliere se stiamo andando a
essere più come Haiti o più come il Cile
e spero che la risposta sia chiara, quindi io
non so come sei motivato ma io
spero almeno dopo questo pezzo iniziale
della robusta traccia DevOps con grande
contenuto per seguire che sei motivato
quindi grazie per il tuo tempo, ok, super
ci sono strumenti disponibili che posso
utilizzare per rimandare le mie dipendenze
contro i rapporti CVE sì, c’è un
numero di quelli commerciali e gratuiti quindi io
appena accidentalmente menzionato, ne conosco alcuni
c’è un progetto gratuito per una maschera chiamata
controllore di dipendenza loro commerciale
strumenti dal dock nero da sonatype da
ce n’è un po ‘in codice
è come rispondere principalmente al cliente
sinossi di pressione / codice nomicon ha uno
e la fonte è chiara, quindi c’è un
crescente numero di persone che guarderanno
alle impronte digitali dell’open source sei
utilizzando e a diversi livelli di qualità
a causa della mappatura delle dipendenze c’è un libero
uno da così nessun tipo chiamato salute app
controlla in modo che sia gratuito ma se lo desideri
farlo scala di solito devono finire
facendo una sorta di soluzione commerciale
ma per avere un’idea della tua igiene no
pagare un centesimo da qualsiasi
solo ci sono un sacco di modi gratuiti per ottenere
un’istantanea della tua igiene va bene se
tutti usano librerie comprovate o
le versioni delle librerie non lo fanno
soffocare l’innovazione e lo sviluppo di
nuove biblioteche penso che il tuo generale
l’economia della vostra scelta è certa
utilizzare casi in cui la sicurezza pubblica o umana
la vita ci sono, dovremmo trattenerci
ad alta qualità incredibilmente alta
garanzia di librerie ad alta sicurezza e
questo accadrà preferibilmente in misura minore
quelli complessi e uno dei più miei
cose preferite che sono successe dopo
openssl hai visto libri SSL noiosi come
una serie di celle 2 na alternativa
librerie che sono più piccole perché quando
guardi veramente il prodotto openssl
è troppo grande per mai aggiustarlo
tenta di risolvere oh ci sono milioni di
dollari gettati a fissarlo ma io
come l’idea che alcune cose possono solo
essere come un’istanza di wordpress che dà un
merda non ha intenzione di uccidere
qualcuno che alcune cose richiedono e comandano
superiore quindi se si guarda a che, come
soffocante innovazione chiunque può fare qualsiasi
progetto che vogliono ma io credo come noi
iniziare a pubblicare statistiche sull’igiene e
caratteristiche di sicurezza la gente lo farà
gravitare verso una maggiore sicurezza
quelli di qualità superiore dove è importante
okay, come valuti open-source?
librerie oltre a CVE oh, ho avuto questo
quadro veramente elaborato e chiunque
ho fatto questa domanda, trovami solo noi
guardato il numero di attributi come
numero di committer sono attivi
quantificatori ammettono la densità di migliaia
linee di codice correggono i tassi di recidiva
così succede quando aggiusti qualcosa come come
quanti tentativi ci vuole per ottenerlo
giusto guardiamo alla licenza dichiarata
licenza osservabile che guarderemmo
adozione attraverso la fortuna 100 fortuna
500 45.000 vedremmo chi ha un
contributore aziendale abbiamo avuto decine di
attributi sorprendenti e potresti fare a
punteggio medio ponderato che stavamo chiamando
questa nozione è intesa come integrità del progetto, quindi quando
hai un progetto che ha come un IBM
mettendo il libro paga sul progetto
il progetto andrà bene anche se lo fosse
non grande igiene non sarà
orfani abbiamo visto alcuni dei più
dipende da progetti sulla terra
zero commit
erano progetti morti quindi anche se tu
ho trovato davvero una cosa davvero brutta
qualcuno potrebbe andare a ripararlo ma i progetti
erano morti e non credo che siamo stati
guardando questi attributi ma quelli
sono solo alcuni che potresti sfruttare
decidere quali progetti sono strategici
e quali non sono a posto così prima
scegliendo la libreria dovrei controllare quanti
Qubit che è un indicatore uno e
quegli indicatori non sono uguali
importante per tutti, ma lo sono
sono osservabili e loro
le rappresentazioni su di loro forse ok io
penso che possiamo fare forse uno o due di più
domande a chiunque sì per quanto riguarda il
verifica di librerie open-source
hai menzionato tutti questi diversi
proprietà e tributi c’è a
modo relativamente semplice per ottenerli o
perché hai detto all’IBM che hai avuto questo
progetto che non ho avuto in IBM ma
sì, è fantastico ma suona come un
molta mano d’opera e tempo per investire
qualcosa che le grandi aziende possono fare
ma le aziende più piccole sono in grado di farlo
dei motivi per cui io sono abituato al cv è così
non è il fattore determinante ma è un
un indicatore di quanta attenzione vada a finire
il progetto per me è il committer
abbastanza facile vedere le linee di codice
linee totali di codice e il tasso di bug bug
e fissa il tasso che non devi fare tutto
quelli, ma quelli sono abbastanza facili da spigolare
in effetti ero incoraggiante come sai
il mio ex dipendente ha iniziato a pubblicare
la loro paura era che fosse una bella paura
la loro paura era se pubblicassero delle persone
con una buona igiene avrebbero
l’ intera comunità open source odia
loro perché la maggior parte di noi sta facendo davvero
pessima igiene sui nostri progetti ma
il mio atteggiamento era leggermente diverso
ha detto cosa succede se abbiamo appena pubblicato il
persone al di sopra di un certo livello di qualità e
dai loro una stella d’oro e noi no
di ‘chi sono i cattivi quanto sono cattivi
sono ma chiaramente non sono una stella d’oro
quindi mi piacerebbe un’alternativa
descrizione che non porterà a tutti
odiare il mio ex datore di lavoro, ma penso che una volta
tu definisci ciò che è bello come le persone
potrebbe voler essere migliore e voler essere
in quella buona classe e potresti vedere
comportamento del mercato
cambia pure così se lo sai solo
alle strutture di registrazione ha una stella d’oro
si potrebbe vedere un sacco di drop off sul
altri più vecchi e molta migrazione
compresi i committer per un progetto migliore
quindi penso che abbiamo appena iniziato a decidere
per giocare con questo come una comunità intendo
questa potrebbe essere la prima volta che lo fai
sentito parlare di queste cose, ma penso
c’è molto spazio per il cambiamento
il problema della salute pubblica a qualcosa
più sostenibile ok un’ultima domanda No
ok grazie mille grazie
prima di quanti di voi hanno visto un robusto
parla prima di sapere che hai tutto bene
ok
okay, quindi di solito mi piace iniziare con come
Sto per finire penso che stiamo facendo
un terribile terribile lavoro
facendo software non significa che noi
non stanno facendo il nostro lavoro, no
significa che non stiamo guidando con successo
profitti o creazione di qualsiasi valore, ma noi
non ho davvero capito quanto sia importante
il software è e quanto è importante il tuo ruolo
sono architetti e ingegneri del software
sono diventati se ci pensi
fino al soffitto, nessuno di noi SAT
qui in perenne paura che questo
l’edificio stava per schiacciarci proprio noi
avere mattoni abbiamo l’acciaio che abbiamo
concreto per cui prendiamo queste cose
concesso perché sono affidabili
i ponti camminiamo sopra gli edifici
dormi sai che è affidabile
infrastruttura il problema è diventato
e questo è uno dei fondatori
i principi dietro robusto è quello nostro
la dipendenza dal software sta diventando come
grande come la nostra dipendenza dall’acciaio e
concreto ma non è altrettanto affidabile
in effetti vengo dalla cultura hacker
e tutto è hackerabile a patto che
qualcuno ha il mezzo significa e
opportunità a cui possono infliggere danno
altri che dipendono da quel digitale
infrastruttura ora la sfida siamo noi
non ho usato per avere tante opportunità
ma ora che stiamo inserendo il software
tutto bene ci arriveremo ma
quello che mi piace fare è invece di dire
gli sviluppatori che sono pigri o
irresponsabile o stanno mettendo
tutti in pericolo non è un bene
strategia che mi piacerebbe fare perché io
rispettare il college di sviluppo del software
così è dove ho iniziato il mio primo
la carriera era nello sviluppo del software 20
anni fa è che tendiamo a pensare
come cose e innovazioni come andare
da cascata ad agile o da agile a
dev ops o DevOps alla consegna continua
e tutto continua e un sacco di
le cose che abbiamo preso abbiamo preso da
altre discipline quindi sono un grande fan di
Deming Edwards Deming ha rivoluzionato
Principi della catena di fornitura Toyota nel
Anni ’40 nella seconda guerra mondiale in Giappone uno dei
solo cose da cui non abbiamo rubato
Deming è l’effettivo bit della catena di fornitura
così ho intenzione di affermare che, se rubiamo
alcuni di questi principi della catena di fornitura
e metterli in un moderno software
sviluppo non solo ne avrai di meno
il lavoro non programmato non pianificato non solo lo farà
sei puntuale sul budget non solo con
le tue operazioni le persone hanno meno interruzioni
correzioni
ma avrai anche un tempo medio più veloce
identificare e riparare se posso fare ricorso
alle cose che sei già
misurato in bonus Don e
incentivato e capita anche a
rendere l’infrastruttura digitale più sicura
una cosa davvero buona quindi non è così
molto un discorso sulla sicurezza ma per il primo
tempo nella storia penso di fare la cassaforte
cosa succede anche a fare il
cosa redditizia quindi ho intenzione di farlo
dimostrare alcuni di questi principi in
azione e perché questo è uno sviluppatore
conferenza voglio mostrarne alcuni veramente
dati sexy in una visualizzazione dei dati quindi sono
andando rapidamente a quello che devo
chiarire il mio titolo così sono Josh Gorman
uno dei fondatori del robusto
movimento del software e autori robusti
il manifesto del software e l’occhio
il movimento di cavalleria ma tra eccetto
essere accettato qui e oggi io
in realtà lasciato il settore privato così io
lascia il mio lavoro come CTO di sonatype che sono
in realtà in periodo sabbatico e ora sono a un
focalizzato sul think tank della politica internazionale
sulla sicurezza informatica almeno per il
futuro prevedibile fino a quando non potremo averne un po ‘
sanità mentale avvolta in auto e medica
dispositivi quindi sono ancora un consulente per
sonatype ma non sono qui in rappresentanza
qualsiasi interesse commerciale e amo
zombie tra l’altro una delle cose che ho
Mi piace iniziare con è perché fai cosa
lo fai se sei con un hacker
o conferenza per sviluppatori c’è
qualcosa che ti motiva come persona
e quello che ho capito troppo tardi
10 anni di tentativi di dirlo agli sviluppatori
come fare meglio la sicurezza è questo
strategia che mi costringe a cambiare
quello che ti interessa è una strategia è
andando a fallire le persone giuste si preoccupano
a cosa importa e ho bisogno di incontrarmi
li e li abbraccio li mi sveglio
ogni giorno e voglio rendere il mondo un
posto più sicuro sono un mio protettore
gli amici hacker non sono i loro protettori
i rompicapo vogliono capire bene
problemi che alcuni di loro vogliono diventare
famoso quindi si tratta di prestigio quindi io
davvero non so cosa ti motiva ma
qualcosa ti ha fatto scegliere di entrare
software qualcosa ti fa scegliere
rimani al lavoro che sei in questo modo
qualunque cosa ti motiva spero
che c’è qualcosa qui che può
aiutarti a fare un lavoro migliore in quello che tu
mi interessa già così se non lo sai
questo ragazzo e tu non hai letto il
Progetto Phoenix, questo è Jean Kim
uno dei miei fratelli di un’altra madre I
indovina e quando viene dal
l’industria della sicurezza è stato l’inventore
filo di viaggio che è davvero davvero
importante
per la gestione delle modifiche nei server e per
integrità del sistema ma ha rinunciato
sulla sicurezza perché quello che realizza
stiamo lavorando davvero molto duramente
per proteggere le cose ma le cose che siamo
cercare di proteggere non può essere difeso
il loro indifendibile e una delle cose
era attratto dalle prestazioni IT
e ha fatto questo studio davvero sorprendente
chiamato operazioni visibili che guardavano il
le migliori aziende IT nel mondo
e ho capito cosa li rendeva bravi in
il loro lavoro ma la prossima cosa che lui
inciampato era questa roba di dev ops
e quando ha iniziato a spiegarmelo
Ho iniziato a sentire le palpitazioni cardiache
Ho detto che è terribile come non possiamo
anche sicuro un ambiente agile esso
si muove troppo velocemente come stiamo andando
per fare questo con DevOps, quindi abbiamo tipo di mettere
insieme le nostre teste e ci hanno detto che
la sicurezza DevOps era davvero la fine
sicurezza come la conosciamo perché c’è
davvero nessun modo con quei tempi di ciclo per
davvero fare un sacco di cose che noi
era solita fare ma sai che mi sono fermato per un
secondo, forse è una buona cosa
e non mi scuso per il mio sistema operativo
fratello nella stanza ma tu lo sai
guardato le cose e ho detto che lo sappiamo
fare un lavoro davvero terribile all’applicazione
sicurezza quindi perché stiamo cercando di combattere
fino alla morte per mantenere qualcosa che
non funziona molto bene ne abbiamo molti
buona tecnologia e ne abbiamo molte
buoni strumenti e molti di loro sono gratuiti
e abbiamo un sacco di allenamento ma il
l’adozione è stata molto molto scarsa, quindi io
detto forse non è una brutta cosa che è
la fine della sicurezza come la conosciamo e noi
detto proviamo a invece di essere
paura di DevOps cerchiamo il
terreno comune potremmo avere ora sicurezza
le persone hanno un atteggiamento piuttosto terribile
questo è il modo in cui visualizziamo DevOps I’m not the
uno che ha fatto questo scivolo ma io amo
in qualche modo tendiamo ad ereditare
tutto ciò che è accaduto prima di noi e
lo sdl e proviamo a ripulire il casino
dopo, ma non è proprio il massimo
atteggiamento quindi ciò che realizziamo è che siamo
avremo bisogno di una barca più grande e noi
non avremmo potuto farlo con
Il gene Justin e io ci mettiamo le mani
insieme se non hai letto la sua Fenice
progetto è essenzialmente la Bibbia per
DevOps quindi abbiamo iniziato a crescere la tribù
e se riconosci questo ragazzo, è di Jed
umile uno dei co-autori di
consegna continua e impresa snella
e abbiamo iniziato a incontrare persone come John
Willis dal docker e i ragazzi che corrono
DevOps days e abbiamo detto prendiamo il
migliore e più brillante della tribù DevOps
e il migliore e il più brillante dal
tribù della sicurezza hanno buoni atteggiamenti
troviamo un modo per averne un po ‘
collaborare
insieme e lei ancora non sa cosa
è entrato ma noi fondamentalmente abbiamo iniziato
emergendo queste tribù e siamo stati
eseguendo questi robusti giorni DevOps o
robusti brani DevOps in vari modi
conferenze gratis perché pensiamo
c’è una scelta naturale per noi di lavorare
insieme ora chi ha sentito il Marc
Andreessen afferma che il software è pari
il mondo giusto significa praticamente chiunque
tutti stanno diventando un software
azienda come un hacker non posso fare a meno di
pensa che sta infettando il mondo giusto
stiamo mettendo il software in tutto
quando vedo software so che c’è un
tasso di difetto per mille righe di codice
e per questo ogni pezzo di
il software che aggiungi è rendere quel prodotto
più debole ora chiaramente non lo guardi
In questo modo adoriamo l’idea che stiamo per fare
ho auto iper connesse e amiamo
l’idea di Internet of Things
entrare a casa nostra aggiunge convenienza
ma voglio che tu ci pensi pure
che quando aggiungi software a qualcosa
lo rendi hackerabile non c’è umano
che può scrivere il codice non infrangibile più
codice hai più problemi così è
più di un trade-off e ho iniziato
pensando alla migliore metafora per
questa non è ancora la migliore metafora
ma metallo quando hai galvanizzato l’acciaio
lo stai rendendo resistente alla ruggine quindi puoi
usalo all’aperto, ma quello che succede è il
atto di renderlo galvanizzato che è a
il vantaggio della prova di ruggine è un vantaggio
lo rende fragile quindi tendono a queste cose
rompere più facilmente o piegarsi più facilmente
e penso che a un certo punto lo faremo
guarda il software in questo modo e
connettività in quel modo quando arriviamo
i benefici che vogliamo e possiamo accettare
il compromesso lo facciamo e quando il
i trade-off sono inaccettabili che non facciamo
ma non siamo ancora abbastanza maturi
Infatti a volte ho chiamato Internet di
cose come l’amianto o l’amianto cyber
giusto era ignifugo era
leggero sei stato un idiota a non farlo
costruisci edifici come questo usando l’amianto
ma poi abbiamo notato che stava causando
enormi quantità di cancro ed è molto
pulizia costosa e abbiamo dovuto condannare
edifici perché stavamo usando quello
materiale in un modo pericoloso, così comincio
pensando ai materiali da costruzione e
poi guardo cose come il cuore
piatto ognuno di voi
colpiti dal cuore sanguinano solo alcuni di voi
nei tuoi account di social media o nel tuo
bancario hai dovuto rotolare le password
di nuovo forse o forse se sei al comando
di un sito dovevi rifare tutto il tuo
le chiavi ma se sei un programmatore per questo
questo non era un problema di sicurezza per te
essi
non era programmato sul lavoro pianificato
si doveva fermare quello che stavi facendo
Saresti in ritardo per il tuo impegno
il tuo stand-up o il tuo sprint e hai avuto
rifare ora una delle cose che
mi ha infastidito per il fatto che il cuore fosse io
penso che sia stato un vero campanello d’allarme per
persone abbiamo questa convinzione di lunga data
che l’open source è più sicuro di
fonte chiusa ed è principalmente a
credo religioso e la verità è questa
mentre potrebbero esserci molti bulbi oculari
noterete tutti i bug e tutti i bug saranno
superficialmente è apparentemente nessuno era
sembra giusto così o non lo erano
incentivare i bulbi oculari che non erano
bulbi oculari qualificati ma persone davvero
non stavano guardando queste librerie principali
come openssl openssh e TP alcuni dei
davvero fondamentale bit e appena
un piccolo insetto è stato trovato ciò che la gente ha ottenuto
pochissimi discorsi sono stati altri 31
vedere le api in quell’anno solare così a
poca goccia di sangue di wat nell’acqua
e tutti gli squali circondano e cosa siamo
la scoperta è che ci sono tonnellate e tonnellate e
tonnellate di difetti sfruttabili a distanza e a
molte di queste librerie principali ma il
l’altra cosa che abbiamo trovato è solo quella
circa la metà di loro è stata patchata così dentro
il primo mese circa il cinquanta per cento di
Internet esposto esposto è stato riparato
è stato abbastanza veloce ma l’ultimo lungo
la coda non è stata riparata e in effetti la
il numero sta salendo su sistemi senza patch
perché i nuovi sistemi embedded sono
spedizione con la vecchia libreria openssl così
che la popolazione esposta ai nodi è
in crescita è finita 600.000 ultima volta che ho
controllato con Rob Graham ma è quando noi
guarda quali sistemi non sono
patchato molti di loro sono integrati
Dispositivi IOT o controllo industriale
sistemi così controllo industriale Siemens
sistemi come quelli che Stuxnet
attaccati erano bravi perché loro
hanno ammesso che erano vulnerabili e loro
può emettere una patch che i nostri clienti, ma
molti dei loro concorrenti erano anche
vulnerabile e non può essere riparato così se
non sei in sistemi embedded o cyber
i sistemi fisici forse no
importante per te ma cosa dovresti
iniziare a realizzare è come aggiungere software
le tue macchine e i tuoi dispositivi medici e
le tue centrali elettriche non lo siamo
scrivere un nuovo software per quello
stiamo prendendo principalmente codice open source e
spostandolo così se queste cose sono
sia esposto che non passibile è a
cosa abbastanza terrificante e se non lo è
cuore sanguinante sarà baco o
scossa shell o Apache Commons
collezioni
se hai visto l’ospedale ransomware
ha preso cura del paziente in California
era solo un tipico crimine in cui
ma hanno dovuto spostare i pazienti da uno
l’ospedale ad un altro immagina di entrare
l’ambulanza e stai sanguinando e
ti hanno detto che devi andare in un altro
ospedale perché c’è un pezzo di
ransomware che era un difetto in jboss it
era un noto difetto e jboss che nessuno
sapeva o rattoppato così ho iniziato
pensando a questo in termini di tuo
la vita e la migliore analogia e poi lo farò
passare al robusto e nel software
catene di approvvigionamento siete voi ragazzi ricordate il
terremoto di haiti in haiti
ha ucciso 270.000 persone è stato molto
devastante e c’è molto
aiuti umanitari in realtà 230.000
la gente era un richter di sette punti 0
terremoto in scala e sei settimane dopo
che quasi non ha copertura nessuna notizia no
la fanfara era molto più forte
il terremoto nel Cile ha ucciso 279 persone
hai una scala di richiamo a sette punti
uccidendo 230.000 persone un 8,8 richter
scala solo uccidendo 279 persone così quando
tutto questo gli scienziati e il e il
sismologo e tutti hanno guardato al perché
diamine dove ce ne sono così tanti in meno
le morti erano un terremoto così grande
c’erano molti fattori coinvolti ma
il contributore numero uno stava costruendo
i codici qi lai avevano codici di costruzione moderni
haiti non ha fatto così i terremoti
ha scosso gli edifici nel Cile appiattito
gli edifici di Haiti e uno dei
ragazzi del governo americano hanno detto bene
non hanno codici di costruzione per la costruzione
codice e non voglio avviare la licenza
ognuno di voi, ma davvero non lo reggeremo
noi stessi a qualsiasi tipo di standard quando
stiamo ponendo vite e sicurezza pubblica
la base del software è così tanti anni
fa ho scritto il software robusto
manifesto prima ancora che fossi davvero
preoccupato per l’Internet of Things I
non credo che lo stessimo usando
frase ma ho intenzione di leggere due righe
da quello per le persone di sicurezza e
quelli per gli sviluppatori persone quindi uno di
cose che vuoi fare e ancora quasi
pensa a questo come a un giuramento di Ippocrate
la tua professione è secondo me la mia
il codice sarà attaccato da talentuosi e
avversari persistenti che minacciano il nostro
fisica economica e sicurezza nazionale
quelli a cui Vela fa le fusa è giusto
prima che riconosca il mio co
in modi che non posso prevedere in che modo
non è stato progettato e per più di
mai inteso in effetti se ci pensi
il ragazzo che ha introdotto il heartbleed
difetto ci sono due lezioni uno sono io qui
piacerebbe incontrare il ragazzo ma ho sentito
ora è come depresso in maniera massiccia
perché sa che il suo unico codice
commettere ha causato danni significativi e in
in realtà, mi sento davvero male per il
sviluppatore il cui codice causa il primo
fatalità sai che non voglio spaventare
le persone lontano dal fare la professione se
sei un buon programmatore, voglio che tu lo faccia
rimani, voglio solo che te ne renda conto
a seconda di cosa stai facendo il tuo codice
può essere usato in un posto che vorresti
mai pensato prima ma all’altro
la lezione è che assomiglia al commit
era come le quattro del mattino su New
Anno dell’anno quindi mi piace dire che amici
non lasciare che gli amici bevano in codice così uno
delle cose che sono naturali
estensione del software rugged
manifesto se questo stava cercando di ispirare
che forse le cose che stai facendo
importa più di quanto tu abbia capito è ora
che le cose stanno diventando più intense noi
ha iniziato un diverso gruppo riconoscendo
che nessuno verrà a salvarci
problemi di sicurezza pubblica se la cavalleria
non viene, quindi sei la cavalleria così
l’io sono la cavalleria era un personale
impegno che ciascuno di voi può fare e io
solo bloccato questa diapositiva qui a causa di
il keynote di stamattina, ma lo siamo stati
lavorando per alcuni anni su 3.com
sarà il nostro terzo compleanno per la nostra prima volta
compleanno abbiamo pubblicato un cyber a cinque stelle
quadro di sicurezza per i veicoli collegati
e stiamo cercando di prendere il meglio
ricercatori e i migliori programmatori e
assicurati che funzionino con queste macchine
aziende o con queste compagnie automobilistiche
che dal momento che tutti i sistemi falliscono, vogliamo farlo
essere preparati per il fallimento così in a
giorno diverso in un posto diverso che
possiamo immergerci in questo, ma in generale a
legatelo se tutti i sistemi falliscono e il
l’oratore principale alludeva a ciò che vogliamo
sei pronto per il fallimento, quindi quando lo sono
spiegando questo al mio vicino di base
Dì ai tuoi clienti come eviti
fallimento dire ai ricercatori che non faranno causa
loro se ti aiutano a evitare il fallimento come
catturi studio e apprendi da
fallimento siamo molto male strumentati
come hai un prompt un agile
risposta al fallimento e come si contengono
un guasto isolato quindi il fatto che la jeep
Cherokee è stata hackerata l’estate scorsa da Chris
e Charlie non è il problema, il fatto
che potrebbe anche spegnere i freni
o o uccidere il motore in alto
è il problema quindi abbiamo molto poveri
preparazione per il fallimento e da allora
stai per scrivere il digitale
infrastruttura che va nel prossimo
auto I Drive Volevo che tu conoscessi il
responsabilità che hai ma di nuovo
DevOps robusti va bene così chiunque qui dentro
autoidentificarsi come un ragazzo di sicurezza no
vedere le felpe con cappuccio quindi non ci deve essere
hacker perché gli unici hacker indossano
Felpe con cappuccio ok va bene ce n’è uno che penso
c’è un’enorme quantità di cose comuni
terra e senza ottenerlo c’è un
presentazione completamente diversa qui ma
ci sono cinque cose che voglio che tu pensi
che abbiamo tonnellate di terreno comune
tra la professione di sicurezza e il
la professione sviluppatore e DevOps credo
il numero uno è quello che ci piace
strumento tutto così il fatto che
DevOps si occupa di misurare qualsiasi cosa e
tutto dà una straordinaria visibilità
in telemetria e informazioni utilizzabili
per l’apprendimento automatico quando ero a
Akamai era un direttore della sicurezza
l’intelligenza e il fatto che potremmo
avere la strumentazione del ventilatore
velocità su un server o la temperatura della CPU
significava che se avessimo visto un leggero picco cinque
la variazione percentuale della velocità della ventola è stata ipotizzata
ci sono stati compromessi e possiamo usare quella
come un evento di sicurezza utilizzabile così io
pensa al fatto che la strumentazione
l’istinto è lì per DevOps è davvero
buono per la sicurezza numero due che ci piace
essere cattivo con il nostro codice così l’invenzione e
il precedente di cose come il caos
scimmia nell’armata di Simian da Netflix
l’idea che vuoi essere testato jazz
ha questa grande linea che è l’unico modo per
evitare il fallimento è fallire tutto il tempo o
se fa male fallo molto, credo
in realtà è venuto il primo
netflix e l’idea che c’è crea
spazio per cose come guanto di sfida e pausa
uomo e molti strumenti di sicurezza
stiamo costruendo per fare unità automatizzata
test per stringere i loop di feedback e dare
voi ragazzi rispondete il secondo voi
introdurre fallimento invece di tre
mesi dopo che ti sei trasferito sul
il terzo è che entrambi odiamo la complessità
la complessità è il nemico della stabilità
è il nemico della disponibilità è il
eventi il nemico della sicurezza il quarto
uno è che abbiamo un cambiamento accidentale
gestione che è davvero molto buona
per sicurezza mentre usi l’automazione e
strumenti di orchestrazione come chef e burattini
ed esegui mazzo e ansible e quant’altro
finire con un cambiamento rigoroso davvero buono
nei registri di audit che è eccellente per
sicurezza così tutto
persone nella sicurezza che pensano questo
stanno pulendo la cacca di unicorno
dimenticando queste cose incredibili e il
l’ultimo è che penso solo all’atteggiamento di
DevOps parla di empatia e abbattimento
muri e quello che ho notato è se un nuovo
il gruppo può dare qualcosa ai DevOps
comunità come la catena di approvvigionamento del software
igiene che sto per dimostrare che lo faranno
tornare a picche perché il
sviluppatori e dire come posso fare il tuo
lavoro più facile hai reso più facile il mio lavoro
come posso rendere il tuo più facile così indietro
al punto di complessità questo è un cablaggio
lavoro non so spero non sia troppo
buio e parliamo di debito tecnico
tutto il tempo ma c’è anche sicurezza
quello che cresce lo stesso tasso e il
l’idea è quella tecnica ma il debito diventa
peggiorare nel tempo e siamo arrivati al
punto in cui i nostri sistemi sono così complessi
che non possiamo nemmeno eseguirne il debugging più
il motivo per cui mi piace il micro servizio è
Tieni traccia della tendenza di ieri che siamo
prendendo questi grandi software monolitici
oggetti che non possiamo eseguire il debug o proteggere
e li stiamo rendendo più piccoli e più
gestibile okay la mia batteria non è morta
ok, ma la complessità sta davvero uccidendo
l’industria del software questo è un
rappresentazione grafica di Maven
centrale quindi in sonatype ero il
custode la più grande fonte aperta
repository nel mondo quindi se tu
conosci il sonatipo o no se lo hai
hai mai fatto qualcosa con Java sei
afferrando roba da Maven centrale e
le dipendenze e le dipendenze
cima delle dipendenze e del transitivo
dipendenze è un disastro il numero di
pezzi di codice per cui devi tirare
la più piccola funzione di base è
arrivare ad essere pazzo così ad un certo punto
quella complessità anche se lo siamo
ottenere un sacco di codice gratuito e un sacco di
funzionalità davvero buona e dobbiamo
reinventare la ruota ad un certo punto noi
fibbia sotto il peso del nostro
la complessità bene lo stesso tipo di cosa
capita in produzione da molto tempo
fa così gran parte del software moderno
i principi che ottieni provengono da questo ragazzo
questo è il deming di Edwards a cui ha cercato di andare
Detroit all’industria automobilistica di
noi lo ignorammo e così andò in Giappone
dopo la seconda guerra mondiale ha detto se tu
segui il mio esempio ti farò diventare un
nazione prospera e redditizia
economia in cinque anni così è andato a
Toyota che ora conosciamo come un’auto
compagnia ma al tempo era a
produttore di tessuti e li ha trasformati
nel più riuscito e più
società automobilistica redditizia nel mondo
e avevano un vantaggio dominante per 30
anni prima che qualcun altro lo capisse
come copiarlo così per lui ha appena detto
guarda dobbiamo trovare modi migliori per
gestire la complessità ci sono molte cose
lo ha fatto, ma se pensi a quelli
le motivazioni che ho accennato all’inizio
gli sviluppatori che vogliono essere in orario
budget con qualità e rischio accettabili
probabilmente in quell’ordine giusto e cosa fare
facciamo all’inizio con cui abbiamo iniziato
cascata e questo è dove ho iniziato se
Non sono riuscito a ottenere un bug risolto
essere due anni prima che ho avuto la sua occasione
per ottenere un bug corretto, siamo passati all’agile
e non c’è niente di più agile di
capre apparentemente un agile davvero
compresso il tempo di sviluppo e il test
tempo e ha reso più iterativo ed è
ci ha resi più veloci ma non necessariamente
più alta qualità quindi se guardi l’annuncio
jelyn integrazione continua contro
quelle tre motivazioni hai fatto davvero
buon lavoro di essere in orario ora alcuni
la gente dice che i DevOps erano veramente agili
per tutti gli altri tutti hanno un
diversa definizione per DevOps quindi
davvero esteso la promessa di agile
con consegna continua e ora hai avuto
agile con le operazioni e hai avuto in tempo
budget ma ciò che non abbiamo pagato
l’attenzione è nella nostra velocità e in una gara
per fare questo abbiamo introdotto significativi
complessità stiamo avendo molto più freno
corregge molte più interruzioni di servizio a
molto di più non pianificato sul lavoro programmato e
se sei un fan di lean e l’otto
tipi di rifiuti abbiamo essenzialmente aggiunto a
9 ° tipo di rifiuti in muda che è il
impiantato sul lavoro programmato che viene
con troppa complessità nel nostro software
supply chain quindi se vuoi prendere un
più pieno abbraccio di deming andiamo a Toyota
catene di approvvigionamento e ha rivoluzionato il
modo in cui lo fai con un paio p
i principi e la teoria qui è se noi
aggiungere catene di approvvigionamento software o robusti
Devops possiamo andare più veloce in tempo
budget con qualità e rischio accettabili
quindi ecco due diverse auto ibride quindi
ha mostrato un po ‘di Tesla l’altro giorno
voglio vedere come fa il Tesla
parti ma prima le auto elettriche
è uscito che dovevi Toyota Prius e te
aveva la Chevy Volt della Toyota un costo
significativamente meno quindi era del 61 percento
del costo hanno venduto 23 mila unità
invece del 1700 hanno venduto molto di più
hanno fatto solo il ventisette percento di
la propria auto contro Chevy doveva fare
più della metà della propria auto e te
penserei che se ne facessero meno
loro auto devono aver fatto affidamento su
più fornitori hanno ragione, ma in realtà
l’esatto opposto hanno fatto 27 ma
un’altra auto del senatore con solo 125
i fornitori Chevy hanno fatto molto di più
quindi con molti meno fornitori che hanno fatto
dieci volte meglio utilizzare ciascuno di essi
e quello che è successo è stato loro
dominato la concorrenza e il prezzo
il punto era più basso la loro qualità era più alta
che sai che la Chevy Volt è stata tormentata
con problemi tra cui la cattura delle batterie
in fiamme che è ancora un errore in
una catena di approvvigionamento così quando studi questi
le cose in pratica ne prendi tre
principi e stanno per venire
nella mia visualizzazione dei dati numero uno tu
voglio usare un numero minore e migliore di fornitori
quindi non scegli ogni registrazione
quadro nel mondo ne scegli uno o
due non si sceglie ogni compagnia di airbag
per la tua auto scegli un livello elevato
società di airbag di qualità quindi si utilizza il
parti di altissima qualità da quello
produttore quindi non scegliere un
versione vulnerabile di cinque anni di
log4j sceglie la versione meno vulnerabile
nella metafora della macchina tu non scegli il
gruppo difettoso di air bag di Takata che era
difettoso andresti in prigione se tu
usato una cattiva versione o un brutto lotto
voglio usare il più fresco degli ingredienti
e infine tracciare quale parte è andata
dove durante la produzione così
quando c’è un nuovo richiamo non lo fai
devo avere un richiamo per ogni singolo
auto nelle tue flotte da cui usciresti
affari che hai appena chiamato persone che hanno ottenuto
il lotto sbagliato in modo da monitorare quale versione
dell’airbag è andato in quale veicolo
consente un prompt un agile e
risposta efficiente in termini di software se
hai tremila domande
e tu non sai quali stanno usando
quale versione di openssl quando c’è un
attacco di cuore sanguinante che devi testare
ognuno di loro o spero se tu
ho rintracciato quali parti sono andate dov’è
davvero le migliori pratiche per la fabbricazione
okay, com’è andata la mia ora?
va bene
qualcuno mi dà alcuni segnali a mano così
quando guardi alla nostra dipendenza dall’open
fonte in realtà non mi sto lamentando
su questo abbiamo ottenuto molto di più
fatto perché non dobbiamo scrivere il nostro
proprio framework di registrazione o sono attivi
libreria di autenticazione o su Krypto
siamo in grado di usare davvero bene per te
materiale disponibile quindi abbiamo chiuso il 2014
con 17 miliardi penso che abbiamo chiuso il 2015
con 30 miliardi di download unici
da Maven centrale e ho avuto un unico
competenza in quel consumo ma il
la sfida non era tanto quella che abbiamo usato
l’open source è quello degli aggressori
notato così era quello che se io
volevo trovare un difetto in una banca tu
Conoscere ABN amro Voglio trovare un difetto in
il loro sito web della banca ne farei alcuni
Ricognizione, troverei un bug e io
attaccherebbe un’ape e io non sono amro
personalmente, naturalmente, ma ora quello che io
capirlo è aspettare un secondo che sono
tutto usando puntoni2 quindi se attacco un difetto
e gli apache puntano su ogni banca
giusto quindi è davvero un’amplificazione
con quella dipendenza condivisa arriva a
superficie d’attacco condivisa e si amplifica
il ritorno sul mio investimento per così dire
quindi un solo difetto può avere un impatto enorme
infatti è peggio di così perché quando io
so che kak chua Lee può attaccare una banca
sta usando i puntini apache anche se
se lo trovano, lo so
un altro bug in Apache strats per posso andare
torna a quella Banca ancora e ancora e ancora
perché è improbabile che tu stia andando
strappalo in modo che arrivi la dipendenza
con i rischi e i trade-off in effetti esso
era esattamente quel progetto che ha abbattuto
quasi tutte le banche quando ero ad Akamai
in effetti questo è uno dei motivi per cui io
deciso di andare nella fornitura di software
il business a catena stava cercando di farlo
proteggerli da attacchi DDoS anonimi
o dall’esercito elettronico siriano o da
iniezione sequel e cross site
scripting e molte delle cose che vedi
nella top 10 dei ojas ma non stavo pagando
attenzione al fatto che quasi tutti
gli attacchi erano ora contro difetti noti
nelle librerie open source che tutti
stava usando così penso davvero che sia quando
le cose sono cambiate infatti mi sono detto
perché stanno iniziando a scegliere come target SSL aperto
o in questo caso anche i puntini apache così io
mappato ogni singola vulnerabilità nota
per il punteggio della CBS da 1 a 10
la storia il progetto di puntoni e questo
uno era il cattivo in quel particolare
bug era lì da 11 anni quindi no
uno stava guardando indietro a molti
fallacia bulbi oculari ma cosa si può dire
è che il numero di leggi e il
la gravità dei difetti sta crescendo in
il
in alto a destra e non va bene così
è open season su open source
questo mi fa davvero schifo e gran parte del tuo
usando questo anche se non ti conosci
sono un castello gonfiabile come una crittografia
libreria destra in realtà è chiamato il
Legione della crittografia del castello gonfiabile
AP è per Java ma lo chiameremo semplicemente
castello gonfiabile nel 2007 aveva un noto
difetto di esecuzione di codice remoto completo è a
progetto di sicurezza scritto da sicurezza
professionisti per casi d’uso di sicurezza
si preoccupano un sacco di sicurezza loro
non hanno bisogno del manifesto robusto loro
profondamente a cuore la sicurezza ma tutti
ha una brutta giornata perché tutto il software ha
difetti c’è un certo tasso di difetto per
migliaia di righe di codice ce ne sono molte
codice in là in modo da ripararlo correttamente
hanno rilasciato un aggiornamento e nonostante
di loro con un aggiornamento immediatamente in
2007 abbiamo continuato a guardare chi è ancora
usando la versione vulnerabile ed è stato
migliaia e migliaia di organizzazioni
ce n’erano quattromila unici
aziende per scaricarlo a venti
mille volte e metterlo in 650.000
applicazioni alcune delle quali stai usando
adesso sul tuo iPhone o sul tuo
Android quindi questi sono davvero terribili
errori evitabili giusto e c’è st.
stessa cosa per h2b client ecc. e questi
le cose si stanno facendo strada nelle auto
e non possono essere patchati così alcuni dei
interfacce remote in questi veicoli
stanno usando difetti noti in molto vecchi
versioni di librerie e anche se loro
volevo aggiustarli non possono quindi sono un
un po ‘meno preoccupato per la matematica
essere in errore con le lettere greche da
la nota dominante e molta più preoccupazione
qualcuno che usa un bambino di dieci anni conosciuto
vulnerabilità a ferire te e il tuo
famiglia così da consumare queste parti
il cloud non stiamo davvero filtrando
le cose cattive quello che vediamo è
il settantacinque per cento delle cose
scaricato aveva una vulnerabilità nota in
quando lo metti nel tuo Nexus o nel tuo
l’artefatto che abbiamo visto quando fai il tuo
build automatizzati con Jenkins e altri
cose che stanno arrivando molti bug
lì e sto per saltare
questo perché ti mostrerò un dato
visualizzazione invece va bene a chi piace
diapositive quando puoi fare dati okay spero
puoi leggerlo bene così indietro
quell’aereo che il software sta mangiando
mondo quindi ecco un pezzo di software
destra
grande pezzo di software verde che mangia il
il mondo il problema è che non scriviamo
software più giusto, lo assembliamo
da terze parti e open-source
qualcuno è audace e dimmi quanti
pezzi di open-source che pensi siano in a
pezzo di software moderno nessuno Martin
qualcuno dice 100 buone ipotesi quindi ecco a
cento pezzi la maggior parte delle persone indovina 50 e
la verità è che probabilmente hai scelto 50 ma
il software che scegli foto altre cose
proprio qui c’è il transito nelle tendenze
la media è in realtà 106 abbiamo studiato
migliaia e migliaia o nel primo
sempre stato della catena di fornitura del software
riferire l’anno scorso i nuovi su
vieni fuori così ce ne sono centosei
unici progetti open source di varia natura
dimensioni nel tuo codice ora se si tratta di un cellulare
l’app sarà meno se è grande
l’applicazione sarà più ma
questo è un sacco di bit e parti del software
giusto così indietro all’idea della supply chain
da Deming abbiamo una catena di fornitura noi
solo non gestirlo come uno ora chi
pensa che siano tutti verdi e
Sano bene c’era un ragazzo a
Microsoft che una volta disse quel software
età come il latte non piace il vino vero
si fa male abbastanza velocemente così si scopre
quel 23% come rapporto ha una sorta di
vulnerabilità nota in loro e chi
si preoccupa della sicurezza se vuoi solo
essere puntuale sul budget, ma ho intenzione di farlo
inquadrare questo in termini di impatto che ha
sui team di sviluppo software quindi alcuni di
saranno bassi medi e alti
non tutti quelli super serie come
sconvolto ma dentro a circa
quarto delle parti che stai utilizzando
avere rischi evitabili in loro che lo faranno
causa il lavoro non programmato non pianificato, lo farai
devi fermare quello che stai facendo tornare indietro
ad un vecchio progetto scarica il nuovo
versione che fai un altro build di Jenkins
un altro test unitario lo spinge alla produzione
allora puoi tornare a quello che sei
così facendo nessuno vuole farlo e se
è stato male il giorno si è scelto in modo che di
è completamente evitabile, quindi senza
prestando attenzione all’igiene su a
quarto dei componenti abbiamo a
vulnerabilità nota e questo potrebbe essere
più difficile da vedere ma non dobbiamo solo
temiamo che gli hacker malvagi dobbiamo anche temere
avvocati diabolici quindi questi piccoli viola
suona è l’otto per cento di quelli che noi
scelto vengono usati contro i loro
licenza quindi è illegale utilizzarlo e
tu
apri la tua azienda alla causa che cerco di fare
spiegare alla gente perché è questo che dicono
perché questo è un grosso problema, nessuno lo farà
Sue noi ero solito fare acquisizioni per IBM
e se guardi quanti soldi nidificano
fatto quando google li ha comprati penso
cos’avevano quattro miliardi di dollari se
avevano avuto cattive licenze nella loro
software basato non sarebbe stato
comprato giusto a seconda di quanto serio
le licenze sono così a volte c’è
accidentalmente usando una risata copia e a
GPL può farti denunciare come Cisco è stato citato in giudizio
quando hanno comprato linksys o potrebbero ottenere
tu a me non acquisito se ci stai provando
avere una buona uscita quindi questo è il
igiene media di una normale applicazione
e quando pensi a questo non è così
quel grosso di un affare perché non tutti
un singolo difetto ti farà diventare un cappello
giusto ma se vai giù in fondo
qui posso vedere quello che sto fondamentalmente dicendo
è se solo il dieci percento di questi in a
anno dato ti ferisco e ci vuole forse a
cento dollari l’ora per il tuo libro paga
e ci vogliono 10 ore per fermare cosa
stai facendo andare a prendere la nuova versione
un’altra build torna in pista
sono stime piuttosto prudenti ma
quello con cui finisci è con quelli
stime davvero conservatrice che uno
l’applicazione ti costerà trenta
ore di inattività e costerà
hai tremila dollari sprecati
libro paga e stai andando a dire bene
josh a chi importa di quello non lo è
questo molto ma questo è il modello base e
quando vai in scala, dai
nessuno sta lavorando su una singola applicazione
probabilmente stai toccando 10 e la squadra
sei su sta toccando un centinaio e quando
si arriva semplicemente a solo un centinaio di
queste cose ora sei fino a un quarto
di un milione e la vita solo per l’utilizzo
qualcosa che è stato male il giorno che hai scelto
completamente evitabile e dieci percento
è una stima molto modesta per la maggior parte di voi
l’anno scorso ha dovuto correggere almeno openssl a
almeno scossa shell almeno Apache
Collezioni di Commons almeno jboss forse
tempi plurali per ciascuno di quei progetti
perché come stanno facendo gli attaccanti
più così tre sono tutto ciò che serve per arrivare
questi numeri tre per domanda così
per me questo è uno spreco enorme del nostro
tempo e fatica e questo è qualcosa
che inizia a catturare l’attenzione del tuo capo
ora anche se non ti piacciono quei numeri
una volta che inizi a diventare dimensioni reali
come io lavoro con alcune delle fortune 50
le aziende hanno 6500 applicazioni
questo è 17 17 milioni di dollari americani
tempo di sviluppo sprecato è serio
soldi quindi non li convinco a fare
migliori catene di approvvigionamento del software perché
vogliono farti conoscere un codice più sicuro
è arrivato in alcune nuove catene di approvvigionamento del software
perché a loro piacciono i soldi proprio così miei
asserzione in cui tornerò
le diapositive qui la mia affermazione è che se
usi pochi e migliori fornitori
parti di qualità superiore e tieni traccia di quali
le parti vanno dove andrai a finire
riduzione materiale in non pianificato
lavoro non pianificato per gli sviluppatori che farai
finire con un minor numero di correzioni per
operazioni che sono misurate su cinque
nove di disponibilità e vas mttr o
tempo medio per riparare o recuperare e
finirai per avere significativamente
superficie di attacco ridotta pure e
non si tratta di dover imparare come
lavori di contraffazione di richiesta cross-site che
è anche importante è davvero solo
utilizzare gli ingredienti più freschi che abbiamo avuto
un sito web del governo che utilizza 11
diversi quadri di login nello stesso
sito web quindi se avete sentito notizie
domani c’è un attacco sfruttabile
e una struttura di registrazione che potresti dire
beh, ce ne sono solo 20 di quelli che ho
una possibilità su 20 di essere colpiti ma se
stai usando 11 di loro che hai appena finito
le tue probabilità di essere colpito così quando ho iniziato
analizzare, cercare, guardare
all’igiene open source stessa e
Farò solo questo punto molto brevemente
puoi leggere questo se vuoi più dati
abbiamo detto quanto è buono sono open source
progetti a fissare i loro difetti perché
questo è il software in voga
software in cima al software e quando noi
ha esaminato tutti i progetti Java in
Maven centrale quello che abbiamo trovato è quando loro
avere una vulnerabilità cve o nota in uno
delle loro dipendenze dirette solo loro
risolverli per il 41% delle volte
mai ho fatto due domande quante volte
li aggiustano e quanto velocemente li fanno
fissarli MTTR in modo da risolvere solo
meno della metà della sicurezza
vulnerabilità quindi anche se stai mantenendo
attuale sulla loro versione ha ancora
meno della metà dei suoi bug risolti e
quando lo risolvono erano 390 giorni
media così in un anno solare ci sono voluti
circa un paio d’ore per alcuni di questi
CVE noti per iniziare a essere sfruttati
in tutto il mondo e la migliore risposta
alcuni di questi ragazzi fanno un over a
anno civile e oltre a quello se
non stai nemmeno prendendo quelle correzioni come
castello gonfiabile dal 2007 non c’è da stupirsi
avere un’infrastruttura indifendibile e no
Mi chiedo se sono così preoccupato per la mia macchina e
i miei dispositivi medici e i miei ospedali e
per ricordarti l’ospedale che doveva
spegnere l’assistenza al paziente era a causa di
un difetto noto in jboss in una libreria
solo uno era essenzialmente lo stesso
problema di serializzatore deserializzatore come te
visto con le collezioni di Apache Commons da
Fox Club quindi direi che abbiamo un pubblico
problema di salute ho cercato di essere un po ‘
generoso e dire che forse aggiustano il
livello decine più veloce e lo fanno è 224
giorni non molto meglio ora anche questo è il
popolazione generale se si guarda
progetti individuali alcuni di questi
i progetti si preoccupano profondamente della sicurezza
risolvono la maggior parte dei bug e si risolvono
loro entro 90 giorni o giù di lì, ma il prossimo
tempo per andare a scegliere un framework di registrazione
non ti piacerebbe sapere la percentuale
di bug che risolvono quanto velocemente risolvono
loro quanto si preoccupano della sicurezza
perché se pensi alla funzionalità
è fondamentalmente uguale a quello che è sorprendente
igiene e uno ha un’igiene terribile
questa è una soluzione piuttosto facile per noi
incorporare nella nostra professione e se
così facemmo iniziare a ridurre in maniera massiccia
sul piano di lavoro a rischio
okay, ho intenzione di saltare questo in modo speciale
perché nessuno qui si preoccupa degli Stati Uniti
Il Congresso non è altro che dirlo
c’è azione in atto in diversi
parti del settore privato regolamentare
e settore pubblico e l’idea era
c’è in realtà una spinta per fare qualcosa
chiamato la catena di approvvigionamento cyber
trasparenza e l’idea è volontà
corporazioni o persone che producono
software e beni iniziano a pubblicare a
elenco degli ingredienti proprio come c’è
sul cibo quindi l’ idea era qualsiasi cosa venduta a
il governo degli Stati Uniti in questo particolare
caso ma molti dei vostri governi hanno
incontrato negli ultimi 48 anni
ore per dire che devi fornire un software
distinta materiali di terzi e
librerie open-source utilizzate in a
numero di moda leggibile dalla macchina a quella
la lista non dovrebbe avere alcuna sicurezza conosciuta
vulnerabilità o CVE nel National
database di vulnerabilità e numero tre
perché le future vulnerabilità stanno andando
succedere se hai un prodotto che è
non è patchable , non vogliamo comprarlo
più così dicci gli ingredienti loro
non può essere conosciuto difettoso senza un bene
ragione e devono essere patchable e
quelle tre cose stanno iniziando a mostrare
su altrove tutte le grandi banche a livello globale
attraverso i servizi finanziari io sacco
averlo inserito nell’approvvigionamento standard
lingua almeno numero uno di loro
voglio un software leggibile dalla macchina
materiali da costruzione da altri software
fornitori e poi hanno intenzione di
riferimento incrociato per vulnerabilità
stato in un dato momento in modo che ignorino
gli ultimi due laboratori di underwriters
è molto di recente negli ultimi due mesi
mettere fuori un programma di assicurazione cibernetica
certificazione per dispositivi medici e
dispositivi di controllo industriale e quindi
richiedere una distinta base non conosciuta
difetti senza una strategia di mitigazione
devi essere patchable e ne aggiungono alcuni
più devi fare un’analisi statica
devi fare un pen-test e devi farlo
fuzzing quindi se fai quelle sei cose
puoi prendere i sottoscrittori
i laboratori sigillano anche tu vedi grandi
le società di revisione a livello globale iniziano a chiedere
forse questa è la definizione di fare attenzione
quindi se una società è hackerata o un pezzo di
il software viene violato a causa di un noto
vulnerabilità che è negligenza ma se
c’è un esotico giorno zero dalla Cina
va bene
sai che nessuno potrebbe biasimarti
così che stai iniziando a metterli
le cose nel loro contesto e se torni indietro
al mio caso castello gonfiabile che è dove
finiremo se quelle 4.000 organizzazioni
dovuto fornire una fattura software di
materiali e certificare che c’erano no
vulnerabilità note ognuno
di loro avrebbero detto oh c’è un
livello 10 difetto in questo castello gonfiabile
libreria c’è un altro e
vedrebbero che sì è stato risolto
per sette anni effettivamente a questo punto
sono nove anni e ci vorrebbe il
alternativo che è API stabile
le build coerenti sono buone e si muoveranno
ed è così che inizieremo a drenare
la palude quindi voglio lasciarti con
questa idea che queste due piccole parole di
vulnerabilità conosciute non solo è la
cosa giusta da fare per la sicurezza e il
è anche la cosa giusta da fare per la sicurezza
la cosa giusta da fare per non pianificato
pianificare il lavoro per le correzioni e
questo è un rapporto di un anno, ma
verizon fa il rapporto annuale su come
le persone vengono violate e compromesse
principalmente per carte di credito e banche
fatto questo grafico con uno scienziato dei dati
hanno detto se guardi tutto il
exploit di successo nell’anno precedente
lo hanno rintracciato solo 10 SI VES 10 noti
vulnerabilità conosciute quindi a novantasette
per cento degli attacchi ce ne sono stati alcuni
disputa su questo stat ma il generale
la regola tiene così il 97% non la regola 8020 come la
keynote ha detto che dieci difetti sono stati costituiti
novantasette percento del globale
attacchi e quando guardi le età di
quei difetti otto di loro avevano avuto un
patch disponibile per più di un decennio
così mentre mi preoccupo degli attaccanti esotici
e attaccanti sofisticati perché mentre io
sono preoccupato per gli stati nazione mentre io
Sono preoccupato per la top ten del sistema operativo I
penso che questo sia molto molto risolvibile
problema usare il più fresco degli ingredienti
dai fornitori conosciuti che stai utilizzando
e avrebbe un impatto incredibilmente enorme
su come i sistemi sono effettivamente
compromesso in questo momento così indietro al
Deming cosa di lavorare in modo più intelligente non
più duro, okay, sono in ritardo
solo andando a concludere ricordandoci che
penso sia molto facile prendere un po ‘
più pieno abbraccio di deming
è un numero minore e migliore di progetti open source
utilizzare le parti di alta qualità da quelle
progetti open source e traccia dove
loro vanno essenzialmente i benefici
meno tempo di lavoro non pianificato più veloce
tempo medio per riparare quando le cose vanno
sbagliato ecc. e cosa abbiamo misurato
almeno nell’ultimo anno e mezzo di
questo esperimento è che il
organizzazioni che hanno ottenuto questo
Incremento e sviluppatore del 30 percento
produttività semplicemente provando il loro primo
anno e non credetemi sulla parola
l’igiene prende solo una salute gratuita
controllare da AppScan o qual è il
correttore di dipendenza o c’è un libero
controllo sanitario dallo stand del summit
qualunque cosa tu abbia intenzione di cercare, trova
fuori ciò che la tua igiene è e potresti
essere in grado di salvare te stesso significativo
tempo sprecato e questo non è solo circa
il tuo lavoro giorno giusto dipende da noi se
i nostri grandi terremoti cibernetici non è così
la presenza del terremoto o il
terremoto di magnitudo era eravamo noi
pronto per questo con una costruzione sufficiente
materiali e codici di costruzione sufficienti
così si arriva a scegliere se stiamo andando a
essere più come Haiti o più come il Cile
e spero che la risposta sia chiara, quindi io
non so come sei motivato ma io
spero almeno dopo questo pezzo iniziale
della robusta traccia DevOps con grande
contenuto per seguire che sei motivato
quindi grazie per il tuo tempo, ok, super
ci sono strumenti disponibili che posso
utilizzare per rimandare le mie dipendenze
contro i rapporti CVE sì, c’è un
numero di quelli commerciali e gratuiti quindi io
appena accidentalmente menzionato, ne conosco alcuni
c’è un progetto gratuito per una maschera chiamata
controllore di dipendenza loro commerciale
strumenti dal dock nero da sonatype da
ce n’è un po ‘in codice
è come rispondere principalmente al cliente
sinossi di pressione / codice nomicon ha uno
e la fonte è chiara, quindi c’è un
crescente numero di persone che guarderanno
alle impronte digitali dell’open source sei
utilizzando e a diversi livelli di qualità
a causa della mappatura delle dipendenze c’è un libero
uno da così nessun tipo chiamato salute app
controlla in modo che sia gratuito ma se lo desideri
farlo scala di solito devono finire
facendo una sorta di soluzione commerciale
ma per avere un’idea della tua igiene no
pagare un centesimo da qualsiasi
solo ci sono un sacco di modi gratuiti per ottenere
un’istantanea della tua igiene va bene se
tutti usano librerie comprovate o
le versioni delle librerie non lo fanno
soffocare l’innovazione e lo sviluppo di
nuove biblioteche penso che il tuo generale
l’economia della vostra scelta è certa
utilizzare casi in cui la sicurezza pubblica o umana
la vita ci sono, dovremmo trattenerci
ad alta qualità incredibilmente alta
garanzia di librerie ad alta sicurezza e
questo accadrà preferibilmente in misura minore
quelli complessi e uno dei più miei
cose preferite che sono successe dopo
openssl hai visto libri SSL noiosi come
una serie di celle 2 na alternativa
librerie che sono più piccole perché quando
guardi veramente il prodotto openssl
è troppo grande per mai aggiustarlo
tenta di risolvere oh ci sono milioni di
dollari gettati a fissarlo ma io
come l’idea che alcune cose possono solo
essere come un’istanza di wordpress che dà un
merda non ha intenzione di uccidere
qualcuno che alcune cose richiedono e comandano
superiore quindi se si guarda a che, come
soffocante innovazione chiunque può fare qualsiasi
progetto che vogliono ma io credo come noi
iniziare a pubblicare statistiche sull’igiene e
caratteristiche di sicurezza la gente lo farà
gravitare verso una maggiore sicurezza
quelli di qualità superiore dove è importante
okay, come valuti open-source?
librerie oltre a CVE oh, ho avuto questo
quadro veramente elaborato e chiunque
ho fatto questa domanda, trovami solo noi
guardato il numero di attributi come
numero di committer sono attivi
quantificatori ammettono la densità di migliaia
linee di codice correggono i tassi di recidiva
così succede quando aggiusti qualcosa come come
quanti tentativi ci vuole per ottenerlo
giusto guardiamo alla licenza dichiarata
licenza osservabile che guarderemmo
adozione attraverso la fortuna 100 fortuna
500 45.000 vedremmo chi ha un
contributore aziendale abbiamo avuto decine di
attributi sorprendenti e potresti fare a
punteggio medio ponderato che stavamo chiamando
questa nozione è intesa come integrità del progetto, quindi quando
hai un progetto che ha come un IBM
mettendo il libro paga sul progetto
il progetto andrà bene anche se lo fosse
non grande igiene non sarà
orfani abbiamo visto alcuni dei più
dipende da progetti sulla terra
zero commit
erano progetti morti quindi anche se tu
ho trovato davvero una cosa davvero brutta
qualcuno potrebbe andare a ripararlo ma i progetti
erano morti e non credo che siamo stati
guardando questi attributi ma quelli
sono solo alcuni che potresti sfruttare
decidere quali progetti sono strategici
e quali non sono a posto così prima
scegliendo la libreria dovrei controllare quanti
Qubit che è un indicatore uno e
quegli indicatori non sono uguali
importante per tutti, ma lo sono
sono osservabili e loro
le rappresentazioni su di loro forse ok io
penso che possiamo fare forse uno o due di più
domande a chiunque sì per quanto riguarda il
verifica di librerie open-source
hai menzionato tutti questi diversi
proprietà e tributi c’è a
modo relativamente semplice per ottenerli o
perché hai detto all’IBM che hai avuto questo
progetto che non ho avuto in IBM ma
sì, è fantastico ma suona come un
molta mano d’opera e tempo per investire
qualcosa che le grandi aziende possono fare
ma le aziende più piccole sono in grado di farlo
dei motivi per cui io sono abituato al cv è così
non è il fattore determinante ma è un
un indicatore di quanta attenzione vada a finire
il progetto per me è il committer
abbastanza facile vedere le linee di codice
linee totali di codice e il tasso di bug bug
e fissa il tasso che non devi fare tutto
quelli, ma quelli sono abbastanza facili da spigolare
in effetti ero incoraggiante come sai
il mio ex dipendente ha iniziato a pubblicare
la loro paura era che fosse una bella paura
la loro paura era se pubblicassero delle persone
con una buona igiene avrebbero
l’ intera comunità open source odia
loro perché la maggior parte di noi sta facendo davvero
pessima igiene sui nostri progetti ma
il mio atteggiamento era leggermente diverso
ha detto cosa succede se abbiamo appena pubblicato il
persone al di sopra di un certo livello di qualità e
dai loro una stella d’oro e noi no
di ‘chi sono i cattivi quanto sono cattivi
sono ma chiaramente non sono una stella d’oro
quindi mi piacerebbe un’alternativa
descrizione che non porterà a tutti
odiare il mio ex datore di lavoro, ma penso che una volta
tu definisci ciò che è bello come le persone
potrebbe voler essere migliore e voler essere
in quella buona classe e potresti vedere
comportamento del mercato
cambia pure così se lo sai solo
alle strutture di registrazione ha una stella d’oro
si potrebbe vedere un sacco di drop off sul
altri più vecchi e molta migrazione
compresi i committer per un progetto migliore
quindi penso che abbiamo appena iniziato a decidere
per giocare con questo come una comunità intendo
questa potrebbe essere la prima volta che lo fai
sentito parlare di queste cose, ma penso
c’è molto spazio per il cambiamento
il problema della salute pubblica a qualcosa
più sostenibile ok un’ultima domanda No
ok grazie mille grazie
Please follow and like us: