2019可信云大会丨杨海涛：云原生安全，让创新的能量尽情释放

像命令注入这样的攻击可以采用OB的方法去解决。还可以采用攻击测试，模拟真实的网络攻击真正验证我们平台是不是足够安全。如果讲持续改进，在精益里面，在迭代，或者持续改进的概念里面，有很重要的一点，我们需要有一个是目标，另外一个是衡量地指标，如果没有指标就不知道目前走到什么阶段了。

指标有哪些，从流程来讲，打补丁属于，检测漏洞的时间，都可以作为具体衡量的指标，可以把平台的弹性作为目标，下面的指标，平台出现故障的时候平均恢复时间。另外上次系统重建的时间是什么时候，这都可以作为系统弹性和系统稳定性的指标。

如果去衡量整个平台管控的能力，可以用测试覆盖率，打补丁的周期、密码更换的周期，都可以作为系统平台可信性的指标，这些都可以作为安全的目标。

有一点要提醒大家注意，持续改进有一个很重要的前提，我们可能需要跟开源社区保持同步，保持开放和标准，为什么这么讲，大家看到的这个就是CNCF目前的社区综合，CNCF里面相关的软件和厂商都在快速的补充当中。目前CNCF是原生领域里面非常主要的社区，如果回顾五年之前，五年以前这个社区还是没有的，到目前为止可以看到整个规模。

再看五年之前一般的媒体都会总结，市场调查公司会总结当年的十大安全威胁，我们看到2014年的十大威胁和今天完全不一样。整个社区在快速变化，对于我们来讲一个很好的策略应该跟着这个社区往前走，一定要保持开源、开放，这样才能充分享受到整个社区所带来各种各样新的创新，一些新的理论。

讲到这里可能大家已经理解了，我们讲的云原生就是用敏捷，用DevOps的理念做安全，大家如果了解DevOps可能有一个疑问，讲了半天敏捷DevOps用这个做安全，敏捷和DevOps持续改进，有很重要的概念叫做反馈。我怎么知道这个东西做的好还是做的不好，是不是真的足够安全。

其实对于安全来讲，它的反馈是什么，说白了就是漏洞有多少，这个就是最直接的反馈，我怎么知道漏洞有多少，有两种方法，一种是自己主动的去查找漏洞，自己发现。另外一种是让别人发现，如果别人是别有用心的人，他发现漏洞的时候有可能本身就会带来一种灾难，这是很简单的事情。

所以，对于我们来说我们想去做到反馈，得到快速反馈，我怎么知道平台是不是足够安全，最好的办法是自己主动进行测试。当我们测试完了之后才能知道，主动测试之后出现问题之后，我们有足够的时间去修复，不用担心会被破解，我们有足够的时间分析是设计开发出现问题，是测试和部署当中有问题，还是运维当中有问题，可以采取相应的手段和措施解决。比如设计开发的时候，刚才提到了除了编码培训之外考虑安全的框架，现在比较流行的安全情报交换，用这样的方式加强开发的安全性。

在运维阶段也可以采用加强行为分析，比如自适应的身份认证，还有现在比较流行的安全响应编码，这样一些新的技术逐渐提升各个领域的安全薄弱环节。

（编辑：西安站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!