Trend Micro Cloud One層層把關 確保DevOps全程安全無虞 智慧應用 影音
Microchip
ST Microsite

Trend Micro Cloud One層層把關 確保DevOps全程安全無虞

  • 蕭怡恩台北訊

LetsTalk Online 2.0第二集線上資安議程「開發流程安全防護」,闡述如何透過Trend Micro Cloud One,滿足開發流程中的安全要求。趨勢科技
LetsTalk Online 2.0第二集線上資安議程「開發流程安全防護」,闡述如何透過Trend Micro Cloud One,滿足開發流程中的安全要求。趨勢科技

隨著數位轉型浪潮興起,DevOps軟體開發概念也順勢躍居主流,其可促使開發、測試與部署流程連成一氣,並融入大量自動化,幫助企業加速開發進程。

然而企業在改變程式開發流程之際,若疏於改變資安做法,恐陷莫大風險。鑒於此,趨勢科技線上資安議程主題設定在「開發流程安全防護」,闡述如何透過Trend Micro Cloud One,滿足開發流程中的安全要求。

掃描QRCODE報名LetsTalk Online 2.0線上資安議程。趨勢科技

掃描QRCODE報名LetsTalk Online 2.0線上資安議程。趨勢科技

落實DevSecOps,在開發初期找出威脅

趨勢科技資深技術顧問任宗偉指出,DevOps之所以盛行,在於它涵蓋許多的開源工具、CI/CD工具,讓開發流程更順暢,且以容器形式來部署最終產品,方便企業靈活將應用服務佈建到私有雲、公有雲不同平台。

DevOps擁有諸多優點,包括強化參與團隊間的協作效率,持續且快速地反應問題,有助提高產品品質、穩定性及可靠性。然而DevOps也有諸多值得深思的安全議題,譬如開發人員未留意是否將明碼金鑰直接寫進程式碼,或忽略了開源軟體是否有相關使用授權疑慮,而使開發完成的軟體可能產生資安事件的風險。

任宗偉提出了一些DevOps安全案例,首先是惡意容器事件,有心人士看準開發人員習慣到Docker Hub取用映像檔,便在上面建立azurenql帳號,並提供帶有挖礦程式的惡意映像檔;最後此映像檔共計被下載逾200萬次,擴散程度甚高。其次是號稱近10年最嚴重漏洞的Log4j,造成許多企業軟體出現弱點,形同為駭客開啟一扇門,使其有機會進入企業內部從事各種破壞行動。

因此企業不應只顧DevOps,更須思考如何實踐「DevSecOps」,儘可能在開發初期、也就是程式開發階段或產生映像檔時,及早找出威脅,並設法將資安導進自動化流程,隨時掌握風險變化。

三大產品助陣,消弭各種資安風險

談到趨勢科技如何協助落實DevSecOps,關鍵就在Cloud One系列方案。其中第一個重要產品為Open Source Security,可整合Snyk,支援GitHub、GitLab或Jenkins等企業慣用Git環境,在程式開發階段執行開源漏洞檢測,掃描其中是否潛藏威脅,且一併提出對應的弱點報告、修復建議。

Open Source Security還可檢視Summit的程式是否蘊含開源元件,並分析這些元件是否夾帶風險。更重要的,亦可同時檢視開源元件背後的授權條件,若發現含有像是GPL等不利於商業應用的授權形式,即會提醒開發人員研擬替代方案。它也會定期掃描程式碼,提示開發人員加以修正,且完整記錄所有修正軌跡,滿足版控需求。

第二個重要產品為Container Security,肩負多重任務,如在開發階段,確保開發人員使用的映像檔安全無虞,且未夾帶敏感明碼資訊及金鑰。在部署階段,確認服務部署條件符合企業要求,並確保映像檔已經過掃描檢查。在營運階段,可確保服務未受最新漏洞影響。

任宗偉強調,Container Security可在容器環境進行兩件任務。首先是映像檔掃描,依序檢查是否內含惡意檔案或惡意script,是否內含弱點,再判斷此映檔是否為OS-based,如果是,就進一步確認是否符合PCI DSS、HIPPA等行業法規。其次當企業將映像檔部署為正式環境的容器,它可協助檢查YAML檔案中有無設定不合理的權限,如果有,管理者後續可在主控台看到相關封鎖記錄,並獲知箇中原因。

第三項產品是Workload Security。當企業把服務部署到正式環境時,可能在運行過程出現新弱點,此時即可利用它來提供相關防護。總體來說,Workload Security可做到幾件事,第一假設容器預設允許與外部交換檔案,可偵測傳送進來的檔案是否帶有病毒;第二假使企業佈建的是一個Web服務,若有外人鎖定其中弱點展開攻擊,而企業來不及修正,Workload Security可發揮虛擬補丁功效,先將攻擊擋下,讓企業有時間慢慢修正系統。

總而言之,有了Cloud One守護DevOps開發流程安全,企業不論處於源碼應用、容器建立、容器部署或執行維運的任何一個階段,都無需擔心潛在的資安風險與挑戰。

如欲回顧精彩議程,或報名其他線上資安議程,請至活動網站