请选择 进入手机版 | 继续访问电脑版

ITIL,DevOps,ITSS,ITSM,IT运维管理-ITIL先锋论坛

 找回密码
 立即注册

扫描二维码登录本站

QQ登录

只需一步,快速开始

查看: 1967|回复: 0

金融机构如何规避DevOps安全风险?权威报告给了几组数据

[复制链接]
发表于 2018-11-15 11:17:50 | 显示全部楼层 |阅读模式
Venafi发布了一项报告关于金融机构实践DevOps加密安全问题。在DevOps环境中,研发和测试协作产生的相关问题,会扩散到生产系统和应用程序中,因此放大了安全问题。对于早期实践DevOps的金融机构的来说,是特有的问题。
& X+ b) f9 X  X, R* Q2 ]2 v& [

- j- r+ V! s; H/ v9 h
研究指出,许多金融机构的系统都有相当强大的密码安全策略,然而,在DevOps模式中,如此重要的措施却无法执行。此外,金融机构一旦使用DevOps,涉及到应用和更新方面的运行会使得漏洞更易出现,而这些漏洞原本是可以预防的。
2 A! k! U7 E2 q2 F) F. ?& E4 X+ Y( X4 @

  |; d) T$ D4 u. w
“在当今高度竞争的市场,金融机构使用DevOps模式提供了新功能且改善了用户体验。”Venafi首席安全策略师Kevin Bocek说,“然而,DevOps在安全、数据隐私和遵从性方面缺乏竞争优势。很明显,从手机银行到高速交易等方方面面,许多金融机构仍在执着于保护机器ID。尽管DevOps团队表明他们已经意识到TLS/SSL密钥和证书用普通方法建立ID会产生风险,但这种认识并没有被转换成实际意义上的保护。”
4 n0 V+ D1 f+ z. E

# w. i2 Y. X  u) r- c+ |' Y
调研数据
# {* u6 i8 `* ^6 M. M8 T
+ P4 N/ S  r$ r# }& N
  • 一直以安全为第一要务的金融机构正在与DevOps模式进行互搏。近三分之一(30%)的金融机构在实践DevOps时,所执行的密码安全策略不一致。此外,7%的受访者不确定这些举措是否能横跨DevOps和生产环境。
    % {5 Q1 Q6 j5 l  F' H3 m

$ v8 o" v; }& O. E( e
, H" U9 Q$ E1 X8 T$ o
  • 绝大多数(80%)的金融机构的DevOps团队意识到密钥和证书遭受网络攻击的次数及程度的重要性,而这其中三分之二(67%)的团队都认为网络攻击需要控制和预防。

    9 j# v2 ^' o7 T1 S/ m8 H4 y

" {4 K0 W6 V8 m: C
6 p# }6 C7 V/ \9 L
  • 只有一半(51%)的金融机构全线替换了DevOps证书。当证书没有改变时,没有办法区分哪些是未经测试的机器,哪些又是可以投入运行的安全机器。
    5 h: k6 I9 }+ r* P) s) O
& m: ]% {4 H8 v' N7 g: u# C# T4 A

3 C8 _4 x' W$ t4 Z
  • 从积极的一面来看,金融机构通常有强大的密码安全性实践,有75%的金融机构要求高规格的密钥(2048位甚至更多),60%机构的开发和生产环境需要不同的证书,令人备感欣慰的是,只有2%的受访者表示,他们机构不需要密钥和证书的政策。

    ; |3 h+ F+ L) M- e( S# A1 W! y! ~

( X: i+ F, T$ X0 A3 Q
  v5 H. B$ A1 l0 t0 ^5 F
  • 随着DevOps的高速发展,特别是在金融机构的发展中对加密机器需求呈爆发式增长。如果没有强大的安全措施和实践,DevOps密钥和证书仍然允许攻击者隐藏在加密流量中逃避检测从而进行攻击。根据A10网络最近的一份报告显示:41%的网络攻击都是来自加密流量而逃避检测产生的。
    2 n3 p) i! `3 l% E
    ! g# W: D& w0 r5 D: q! z+ p
+ P' I! G2 q2 J4 o* l8 G

" z7 y, A% ~3 t
Venafi的情报分析师Tim Bedard说“正如我们所看到的快速攻击(SWIFT attacks),金融机构对网络罪犯而言是一个很有吸引力的目标,如果DevOps团队提供给金融机构的密钥和证书都没有得到充足的保护,那么网络罪犯就能够利用SSL/TLS加密密钥和证书创建自己的加密通道。或者攻击者可以盗用SSH密钥内的网络,来提升自己的访问权限,在不被发现的情况下, 安装恶意软件或将企业的敏感数据大量泄漏。”

* b( \7 C  V8 d- f( z0 t. ?
" D- A1 ~( L9 a
原文作者:Christian Hargrave、Assignment Editor
# y. D2 W0 q' v




上一篇:运维老王:面向DevOps的运维服务视角分享
下一篇:教你了解DevOps:从概念、关键问题、兴起到实现需求
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

参加 ITIL 4 基础和中级专家认证、v3专家升级、DevOps专家认证、ITSS服务经理认证报名
本站关键字: ITIL| ITSM| ISO20000| ITIL培训| ITIL认证| ITIL考试| ITSS| ITSS培训| ITSS认证| IT运维管理| DevOps| DevOps培训| DevOps认证| itop| itil4| sre| 开源ITSM软件

QQ|ITIL先锋论坛 ( 粤ICP备11099876号 )|appname

Baidu

GMT+8, 2021-8-6 08:58 , Processed in 0.103817 second(s), 28 queries .

Powered by Discuz! X3.4 Licensed

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表