保证Kubernetes软件供应链的安全
发布时间：2022-03-21 14:09:28 所属栏目：云计算 来源：互联网
导读：现代软件开发实践使得软件供应链的安全比以往任何时候都更加重要。我们的代码依赖于开源库，而开源库依赖于其他库(一系列我们没有开发、没有编译、几乎不知道或根本不知道它来自何处的代码)。 其中一些代码几乎无处不在。在整个行业造成严重破坏的Log4Shell
|
现代软件开发实践使得软件供应链的安全比以往任何时候都更加重要。我们的代码依赖于开源库，而开源库依赖于其他库(一系列我们没有开发、没有编译、几乎不知道或根本不知道它来自何处的代码)。 其中一些代码几乎无处不在。在整个行业造成严重破坏的Log4Shell漏洞是由常见Java日志记录组件log4j中的一个旧bug引起的。我们正在建设一个不是站在巨人的肩膀上的行业，而是站在少数应用程序和组件维护者的肩膀上的行业，这些应用程序和组件维护者让我们的全球基础设施在业余时间工作，并出于他们内心的善良。 分布式开发增加了风险 这并不是为了减少维护人员所做的工作;它们是现代软件供应链的重要组成部分，提供从小型模块到整个基于容器的平台的一切。由于代码的重要性，他们的价值被低估，薪酬也被低估。可悲的是，有好几次坏角色主动提出接管代码维护工作，却加入了恶意软件，希望代码能够自动安装，因为它有一段值得信赖的历史。 随着我们的代码越来越多地成为团队的一部分，我们可以期望看到更多类似这样的攻击。我们如何保护自己和应用程序?首先也是最重要的是，我们需要了解软件供应链确实存在，我们不是孤立地构建代码，而且我们已经很久没有这样做了，如果我们曾经这样做过的话。开源和第三方库是我们如何制作软件的一个重要部分，它们只会变得更加重要。 当我们使用像Kubernetes这样的技术时，事情会变得更加复杂，Kubernetes的设计是基于微服务架构和容器的混合匹配理念。虽然我们的代码可以在独立的容器中运行，但它在嵌套的抽象用户区中运行，每个dockerfile收集一系列依赖项，其中许多依赖项没有完整的文档记录。我们如何才能相信我们使用的容器中的物料清单? 政策推动的批准 Proparly使用的策略模型基于熟悉的工具，提供了一种使用您自己的配置以及使用Open policy Agent构建的更复杂的策略快速推出基本策略的方法。它还将在应用程序开发生命周期的不同阶段工作，插入CI/CD系统以在构建时验证工件，并插入Kubernetes以确保代码在构建和运行之间不会发生更改。重要的是要有一个在堆栈中工作的验证模式，确保避免在构建、存储库和注册中心以及运行时发生在代码上的供应链攻击。 让一个工具在整个软件生命周期中处理验证非常重要，因为它确保您只需要编写一次策略。针对不同场景的不同工具增加了策略中转录和翻译错误的风险;使用单一工具和单一策略格式有助于避免这种风险。您还可以拥有一个外部策略测试工具，该工具可以帮助您在交付代码之前调查“假设是什么”。 （编辑：核心网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
