Security!!! 不要在旁邊玩沙了!!! - 黃承皓(Thomas Huang)

Welcome to DevOps Days 2019 Collaborative Notes

Image Not Showing Possible Reasons
  • The image file may be corrupted
  • The server hosting the image is unavailable
  • The image path is incorrect
  • The image format is not supported
Learn More →

Getting started from here: https://hackmd.io/@DevOpsDay/2019
Click top left to expand Agenda on the mobile.

在持續交付過程中時常只考慮到功能,由於時程壓力下安全的議題通常會被忽略,而時程越趕通常會導致失誤越容易發生。
而在DevOps的流程中可以將Security考慮進去。

  1. 建立thread model,將各個組件關聯畫出,並了解其中可能的漏洞及如何防範
  2. 開發程式時可以搭配一些源碼檢測來確保風險及license的檢查
  3. 確認security config的存放
  4. 檢查程式碼中有無帳號密碼等敏感資訊

可以在CI/CD過程中加入自動化檢測來確保交付的安全性。

權限管理很重要,可以加入多因素驗證或是IP filter等來防範外部入侵,各個使用者帳號要確保最小權限原則。

建立完善的log機制可供事後分析或是事前警報(Azure DevOps Kit)

在CI/CD中加入安全關卡,確保線上安全品質。
不斷的確保目前線上的安全的issue並將修正加入CI/CD流程。

透過smoke test來檢測報警監控機制完不完善

在流程設計中要加入回饋的機制,不斷的去優化流程,加入下一次迭代

Microsoft Security DevOps


Secure DevOps Kit for Azure

tags: DevOpsDays Taipei 2019
Select a repo