सीआई / सीडी में कंटेनर सुरक्षा

शरद ऋतु यार्ड में आ गई है, तकनीकी यूटोपिया उग्र है। टेक्नोलॉजी आगे बढ़ रही है। हम अपनी जेब में एक कंप्यूटर ले जाते हैं, जिसकी कंप्यूटिंग शक्ति, चंद्रमा की उड़ानों को नियंत्रित करने वाले कंप्यूटरों की शक्ति से करोड़ों गुना अधिक है। Youtube VR की मदद से, हम जेलिफ़िश और व्हेल के साथ समुद्र में तैर सकते हैं, और रोबोट लंबे समय से ठंडे ग्रहों के बेजान क्षितिज की खोज कर रहे हैं।

उसी समय, इंजीनियर और आईटी सेवा विशेषज्ञ, डेवलपर्स और उनके अनगिनत सहयोगियों को दो शिविरों में विभाजित किया गया: वे जो नए समाधान (सॉफ्टवेयर, रणनीति, सूचना प्रणाली) बनाते हैं, और जो उन्हें समझते हैं।

अनुप्रयोग विकास के इकोसिस्टम में फट गया और माइक्रोसेवर्स का उपयोग करने की विधि। हाल ही में, यह एक समझ से बाहर था, prying आँखों से बंद, एक मौलिक नई तकनीक। लेकिन आज, केवल कुछ वर्षों के बाद, बड़ी और मध्यम आकार की कंपनियां पहले से ही अपने स्वयं के विकास के माहौल में इस दृष्टिकोण का उपयोग कर रही हैं। वह क्या पसंद है? हम "शास्त्रीय" परिभाषाओं का उपयोग नहीं करेंगे, लेकिन आपको अपने शब्दों में बताएंगे।

माइक्रोसिस्टवर्क वास्तुकला। कंटेनर

माइक्रोसर्विसेज एक ऐसी विधि है जिसमें एक प्रणाली की कार्यक्षमता को कई छोटी सेवाओं में विभाजित किया जाता है, और उनमें से प्रत्येक एक कार्य को एक जटिल कार्यक्षमता से करता है। एक वेब सर्वर के रूप में कार्य करता है, दूसरा डेटाबेस के रूप में, तीसरा किसी और चीज के साथ व्यस्त है आदि। इन सभी माइक्रोसर्विसेस के बीच, नेटवर्क इंटरैक्शन स्थापित किया जाता है, और आवश्यक संसाधन आवंटित किए जाते हैं। ऐसी अवधारणा का एक मज़ेदार और कोई कम स्पष्ट उदाहरण फास्ट फूड भोजनालयों में दोपहर के भोजन के आदेश और जारी करने की प्रणाली है।

क्लाइंट (उपयोगकर्ता) टर्मिनल या रिसेप्शन (वेब ​​सर्वर) का उपयोग करके एक नया ऑर्डर बनाता है, अपने लंच में डेटाबेस, आलू और सोडा के प्रकार पर डेटा स्थानांतरित करता है (डेटाबेस को भरता है), एक भुगतान करता है, जिसके बाद डेटा रसोई में स्थानांतरित किया जाता है, जहां भाग कर्मचारी आलू को पकाते हैं (खाना पकाने की सेवा), और दूसरा भाग भोजन फैलाता है और सोडा (संग्रह सेवा) डालता है। तब एकत्र किए गए ऑर्डर को जारी करने वाले काउंटर (सेवा जारी करने) पर स्थानांतरित किया जाता है, जहां ग्राहक ऑर्डर नंबर के साथ एक चेक दिखाता है (यहां तक ​​कि सत्यापन भी है!), और वे उसे दोपहर का भोजन देते हैं। इस मामले में प्रत्येक प्रक्रिया इकाइयां एक कार्य में व्यस्त हैं, और यह जल्दी और आसानी से काम करता है, हालांकि, एक निर्धारित एल्गोरिथम के अनुसार। आपको यह स्वीकार करना होगा कि यह अपेक्षा करना मूर्खता होगी कि रिसेप्शन डेस्क पर आप किचन की तुलना में ज्यादा तेजी से सोडा पोप होंगे, या यह कि जो कर्मचारी पैट्रीज फ्राई करता है, वह आपके ऑर्डर के लिए भुगतान स्वीकार कर सकेगा। हालांकि, यदि सिस्टम ठीक से डिबग किया गया है और प्रक्रियाएं अपेक्षा के अनुरूप आगे बढ़ती हैं, तो सब कुछ वास्तव में जल्दी और कुशलता से काम करता है।

माइक्रोसैसवर्क वास्तुकला के संबंध में, यह एक महत्वपूर्ण बिंदु पर ध्यान देने योग्य है - इसका निष्पादन पर्यावरण। आज, एक व्यापक विकल्प कंटेनर (हाय, डॉकर) है। कंटेनरों की एक विशेषता उन सभी आवश्यक वातावरण में पैकिंग करने का विचार है, जो हल्के ओएस छवि, स्थापित पैकेज, लोड किए गए ढांचे और पुस्तकालयों के साथ शुरू होता है, और आवेदन के साथ ही समाप्त होता है। यह कैसे उपयोगी है? कम से कम यह तथ्य कि डेवलपर "मेरे कंप्यूटर पर सब कुछ काम करता है" स्पष्टीकरण को खारिज करने में सक्षम नहीं होगा, जब आप उसके पास एक संदेश लेकर आते हैं कि एप्लिकेशन काम नहीं कर रहा है।

कंटेनर आपको एप्लिकेशन बनाने की अनुमति देते हैं, उन्हें पूरे वातावरण के साथ एक हल्के सिस्टम की तैयार छवि में पैक करते हैं और अब विभिन्न वातावरणों में काम करने से जुड़ी समस्याओं के बारे में चिंता नहीं करते हैं। एप्लिकेशन को किसी अन्य सर्वर पर तैनात करने की आवश्यकता है? हमने कंटेनर में इसके साथ एक कार्यशील छवि लॉन्च की - और सब कुछ काम करता है।

कंटेनरों का उपयोग करके बनाए गए एक सूचना प्रणाली में, आपको अब उस वातावरण में सॉफ़्टवेयर संस्करणों के बारे में चिंता करने की ज़रूरत नहीं है जहां अनुप्रयोग चल रहे हैं, और निरंतर वितरण प्रक्रियाओं को लागू करने के साथ, आपको कोड वितरित करने की भी आवश्यकता होती है, आदि कंटेनर के विचार का अर्थ है कि विकास स्वयं। एप्लिकेशन एक ही कंटेनर वातावरण में चलता है, और चूंकि माइक्रो सर्विस बंद है, इसलिए यह ऑपरेटिंग सिस्टम के लिए या इसमें स्थापित किए गए पैकेजों के साथ काम नहीं करता है। एप्लिकेशन काम करता है क्योंकि यह एक कंटेनर वातावरण के लिए बनाया गया था जो कंटेनर के आसपास की प्रणाली की परवाह किए बिना नहीं बदलता है। आपको कनेक्शन, निर्भरता और पैकेज स्थापित करने के लिए लंबे और थकाऊ समय के लिए सभी आवश्यक सॉफ़्टवेयर स्थापित करने की आवश्यकता नहीं है। विकास और परिनियोजन वातावरण के बीच चलते समय या कंप्यूटिंग केंद्र की क्षमता बढ़ने पर आपको मैन्युअल रूप से अनुप्रयोगों को स्थानांतरित करने की आवश्यकता नहीं है। अमूर्तता का एक नया स्तर दिखाई दिया है, अपने उपयोगकर्ताओं और मेजबान पर्यावरण (आभासी या नंगे-धातु) के साथ अंतिम सॉफ्टवेयर के बीच अपनी जगह ले रहा है, जिस पर यह सब काम करता है। अपनी सुविधा के कारण, यह दृष्टिकोण लगातार गति प्राप्त कर रहा है और धीमा नहीं जा रहा है।

कई बड़े संगठन सूचना प्रणालियों के संदर्भ में व्यावसायिक दक्षता में सुधार, इसके विकास, मापनीयता और परिवर्तन के लिए सर्वोत्तम तकनीकों को अपनाने का प्रयास करते हैं। आखिरकार, यह बड़े, डिजिटल उन्मुख व्यवसायों के लिए ठीक है जो मुख्य रूप से लचीलेपन, स्केलेबिलिटी और गतिशीलता के उद्देश्य से समाधान में रुचि रखते हैं, चूंकि उद्योग बदलते समय, विस्तार से जुड़ी कठिनाइयों, बदलते बाजार के लिए अनुकूल होना, आदि के लिए अतिसंवेदनशील हो जाता है। आईटी कंपनियों के बारे में जरूरी नहीं है। सीआई / सीडी मुद्दों और इसकी सुरक्षा के संदर्भ में, सार्वजनिक क्षेत्र की कंपनियां, प्रमुख वित्तीय बाजार खिलाड़ी जैसे बैंक और यहां तक ​​कि रसद एकाधिकारवादी हमारे संगठन की ओर रुख करते हैं। सभी मामलों में, एक चीज उन्हें एकजुट करती है - अनुप्रयोगों, सेवाओं आदि के विकास के दौरान कंटेनरों का उपयोग एक रूप में या दूसरे में।

बड़े कारोबार की तुलना अक्सर शार्क से की जाती है। इस मामले में, एक अधिक उपयुक्त तुलना मुश्किल है। क्या आपने देखा है कि शार्क मछली के स्कूलों का शिकार कैसे करती हैं? क्या आपने देखा है कि एक बड़े झुंड में रहने पर भी छोटी मछलियां कितनी अधिक मिलनसार होती हैं? शार्प, अधिक युद्धाभ्यास और तेज प्रतिक्रिया कौन करता है - एक शार्क या छोटा मैकेरल? बाजार में कंपनियों के साथ भी ऐसा ही है। बेशक, हम उन दिनों में माइक्रोसॉफ्ट या ऐप्पल को ध्यान में नहीं रखते हैं जब वे गैरेज में फिट होते हैं, ये अलग-अलग मामले हैं। लेकिन सांख्यिकीय रूप से तस्वीर ऐसी है कि बड़ी कंपनियां रुझानों को निर्धारित करने और दिशा निर्धारित करने में सक्षम हैं, हालांकि, छोटी कंपनियों के लिए जल्दी से अनुकूलित करना और अनुकूलित करना आसान है। और बड़ी कंपनियां सस्ती तरीकों से गतिशीलता और लचीलेपन को बढ़ाने की कोशिश कर रही हैं।

लेकिन, जैसा कि वे कहते हैं, एक अति सूक्ष्म अंतर है ... बड़ी कंपनियां वास्तव में एक अखंड नहीं हैं। वे कई विभागों से मिलकर बने होते हैं, कई विभागों, टीमों, इकाइयों और कर्मचारियों के एक बड़े समूह के साथ। और सूचना प्रणाली और विकास के संदर्भ में, विशेष रूप से, टीमों की कार्रवाई के क्षेत्र ओवरलैप हो सकते हैं। और बस इस जंक्शन पर, उन संघर्ष स्थितियों आईएस सेवाओं और डेवलपर्स के बीच उत्पन्न होती हैं। यही है, यह पता चला है कि न तो बड़े और न ही मध्यम आकार के व्यवसाय ऐसी कठिनाइयों के लिए प्रतिरक्षा हैं।

जल्दी या बाद में, कंटेनरों का उपयोग करते समय, संगठन के पास एक प्रश्न होगा। यह उनके उपयोग की शुरुआत में, या शायद कुछ घटना के बाद हो सकता है, जिसके परिणामस्वरूप कंपनी नुकसान उठाना पड़ेगी।

प्रक्रियाओं को सुरक्षित कैसे बनाएं?

एक या दूसरे रूप में, हम अक्सर इस सवाल को सुनते हैं और ग्राहक के साथ मिलकर हम समाधान के बारे में सोचते हैं और उपयुक्त तरीकों की तलाश करते हैं। एक नियम के रूप में, एक संगठन, विशेष रूप से एक बड़ी जिसने सीआई / सीडी को लागू किया है, उसमें स्मार्ट और अनुभवी विशेषज्ञ शामिल हैं, जिनमें सूचना सुरक्षा शामिल है। ये लोग समझते हैं कि उन्हें माइक्रोसिस्टिक्स का उपयोग करने की आवश्यकता क्यों है, यह किन समस्याओं का समाधान करेगा और कौन सी नई कठिनाइयां दिखाई देंगी। इसलिए, वे प्रौद्योगिकी के सफल कार्यान्वयन और उपयोग के लिए कार्रवाई करते हैं: बुनियादी ढांचे को तैयार करना, ऑडिट करना, सिस्टम को तैनात करना, प्रक्रियाओं का निर्माण करना और आंतरिक नियमों का समन्वय करना।

हालांकि, हमेशा सबकुछ का पूर्वाभास करना, हर चीज पर नजर रखना और हर चीज पर नजर रखना संभव नहीं है। यहां बताया गया है कि उदाहरण के लिए, यह समझने के लिए कि क्या कंटेनर में SQL सर्वर के संस्करण में एक महत्वपूर्ण भेद्यता है? मैन्युअल? चलिए बताते हैं। और अगर दर्जनों कंटेनर हैं? और सैकड़ों?

एक सूचना सुरक्षा विशेषज्ञ यह कैसे सुनिश्चित कर सकता है कि आवेदन के साथ कंटेनर में बेस ओएस छवि में एक छिपा हुआ शोषण नहीं है? मैन्युअल रूप से जांचें? और वास्तव में क्या जाँचना है, कहाँ देखना है? सभी दसियों और सैकड़ों कंटेनरों पर? और इतना समय और संसाधन कहां से लाएं?

सीआई / सीडी के विकास और वितरण के साथ, विकास चक्र में सुरक्षा का मुद्दा अधिक तीव्र हो गया। आखिरकार, आपको कम से कम छवि गुणवत्ता के स्वीकार्य स्तर पर सुनिश्चित होने की आवश्यकता है, आपको सॉफ़्टवेयर और पैकेजों की कमजोरियों, काम करने वाले कंटेनरों की स्थिति के बारे में जानने की आवश्यकता है, और क्या उनमें संदिग्ध या स्पष्ट रूप से नाजायज कार्रवाई हो रही है। और अगर हम विशेष रूप से विकास चक्र के बारे में बात कर रहे हैं, तो यह विकास प्रक्रिया में सुरक्षा सुनिश्चित करने के लिए उपकरण होना आवश्यक है, इसकी पाइपलाइन में, और न केवल कंटेनरों में। और आपको रहस्यों पर नियंत्रण, रजिस्ट्रियों का ऑडिट, नेटवर्क इंटरैक्शन पर नियंत्रण और इसी तरह की आवश्यकता है। और यहां हम मुख्य मुद्दे पर आते हैं।

सुरक्षा की आवश्यकता क्यों है, और सीआई / सीडी में इसकी विशेषताएं क्या हैं?

अनिवार्य रूप से, यह विकास चक्र में और उसके आसपास सुरक्षा सुनिश्चित करने के लिए प्रथाओं का एक समूह है। यही है, यह विशेष सॉफ्टवेयर का उपयोग है, विधियों और नियमों के विकास, और यहां तक ​​कि टीमों की तैयारी (टीम सब कुछ के लिए महत्वपूर्ण है!) सुरक्षा सुनिश्चित करने के लिए। और एक महत्वपूर्ण बिंदु: विकास में इस सभी सुरक्षा का औचित्यपूर्ण परिचय, और कंधे से काटना नहीं!

यहाँ हम और अधिक विस्तार से रहते हैं। सामान्य रूप से और विशेष रूप से विकास में आईटी सुरक्षा के लिए सामान्य दृष्टिकोण, जो दिमाग में आता है, "निषेध / प्रतिबंध / रोकथाम" के सिद्धांतों पर आधारित है। अब तक, सबसे सुरक्षित सूचना प्रणाली वह है जो बिल्कुल भी काम नहीं करती है। लेकिन यह काम करना होगा! और इस प्रणाली का उपयोग करने वाले लोगों को भी इसके साथ काम करने में सक्षम होना चाहिए।

ऊपर उल्लिखित हितों का टकराव है। सूचना सुरक्षा विशेषज्ञ पर्यावरण को सुरक्षित बनाने का प्रयास करता है और उस पर पूर्ण नियंत्रण रखना चाहता है, डेवलपर उत्पाद बनाना चाहता है और चाहता है कि यह जल्दी और आसानी से हो, और आईटी इंजीनियर पर्यावरण को काम करने योग्य, दोष-सहिष्णु बनाता है और साथ में ऑटोमेशन के लिए डेवलपर का प्रयास करता है।



CI / CD में सुरक्षा सॉफ़्टवेयर या नियमों के बारे में नहीं है, यह टीम वर्क और विकास धारा में सुरक्षा अवधारणा को एम्बेड करने के बारे में है। यह दृष्टिकोण प्रक्रिया में सभी प्रतिभागियों की समान भागीदारी, स्वचालन, निगरानी और पारदर्शी रिपोर्टिंग में जिम्मेदारी के स्पष्ट क्षेत्रों के वितरण के उद्देश्य से है। और सबसे महत्वपूर्ण बात, आवेदन विकास प्रक्रिया के अंदर सुरक्षा को इस तरह से लागू करना कि यह प्रारंभिक अवस्था में दिखाई दे और इसके लिए कम्प्यूटेशनल और मानव दोनों अतिरिक्त संसाधनों के आवंटन की आवश्यकता न हो।

आइए एक उदाहरण देखें। मान लीजिए कि विकास टीमों में से एक एक एप्लिकेशन बनाता है, तो यह सूचना सुरक्षा विशेषज्ञों की देखरेख में एक कंटेनर माध्यम पर होता है, जबकि बुनियादी ढांचा प्रबंधक इस पर्यावरण के स्वास्थ्य को बनाए रखते हैं। विकास के अंत में, एक तैयार अनुप्रयोग दिखाई देता है जो उत्पादन में बहता है और वहां काम करना शुरू कर देता है, ग्राहक इसका उपयोग करते हैं - हर कोई खुश है। लेकिन कुछ समय बाद, आवेदन के साथ कंटेनर में एक गंभीर भेद्यता की खोज की जाती है। एक सूचना सुरक्षा विशेषज्ञ इस भेद्यता को पंजीकृत करता है और इसे समाप्त करने के लिए डेवलपर्स को भेजता है; वे बदले में, इसे एक पैच के साथ ठीक करते हैं, जिसके बाद आपको निर्भरता को फिर से लिखना होगा और कुछ पैकेजों को अपडेट करना होगा। फिर एप्लिकेशन के अगले संस्करण को रोल आउट किया जाता है।

आईएस विशेषज्ञों द्वारा समस्या को स्थानीय करने के लिए बिताया गया समय, इसे ठीक करने के लिए विकास टीम का समय, और थोड़ी देर में आईएस सेवा एक दूसरा ऑडिट करेगी और मामले को बंद कर देगी। लेकिन क्या होगा अगर हम किसी प्रकार के उपकरण का उपयोग कर सकते हैं और इसे विकास के स्तर पर लागू कर सकते हैं? क्या होगा यदि हमारे आवेदन को सुरक्षा के दिए गए स्तर के लिए अनुपयुक्त होने के नाते उत्पाद के लिए रोल आउट नहीं किया गया है? और इस प्रक्रिया में शामिल प्रत्येक विशेषज्ञ यह देख सकता था कि उसकी ज़िम्मेदारी के क्षेत्र में क्या खतरे थे? लेकिन क्या होगा अगर पूरी प्रक्रिया भी स्वचालित हो जाएगी, जिसका पता लगाने और बग ट्रैकर में घटनाओं के साथ शुरू होगा?

यह सुरक्षित विकास और कार्यान्वयन के आयोजन का लक्ष्य है। यह न केवल सुरक्षित था, बल्कि सुविधाजनक भी था। नई प्रक्रियाओं की शुरूआत या अतिरिक्त उपकरणों के उपयोग से गतिविधियों को सरल बनाया जाना चाहिए, न कि इसके विपरीत।

ऐसे उपकरण और तकनीकें हैं जो आपको आवश्यक सिस्टम तत्वों की स्थिति और विकास प्रक्रिया के चरणों की निगरानी करने की अनुमति देती हैं और सभी शामिल पक्षों को जिम्मेदारी के अपने क्षेत्र के भीतर घटनाओं को रोकने में मदद करती हैं। यहां जोर विशेष सॉफ्टवेयर पर नहीं है, बल्कि सिस्टम और एक-दूसरे के साथ लोगों की बातचीत पर है। क्या डेवलपर के लिए काम के कंटेनर के अंदर एप्लिकेशन को ठीक करना और परीक्षण करना अधिक सुविधाजनक है? अच्छा, उसे ठीक करने दो। उसी समय, आईएस सेवा यह सुनिश्चित करना चाहती है कि कंटेनर के अंदर कोई नाजायज कार्रवाई न हो? कोई बात नहीं, वह पता चल जाएगा। कार्य पूरा हो गया था, और इस प्रक्रिया में किसी ने भी हस्तक्षेप नहीं किया। दक्षता और तर्कसंगतता! और यह संभव है यदि आप विकास के माहौल में सही स्थानों पर आवश्यक सूचना सुरक्षा उपकरण लागू करते हैं और सेवाओं और टीमों के बीच बातचीत के नियमों को संशोधित करते हैं। और फिर यूटोपिया न होने दें, लेकिन आपको इस बात से सहमत होना चाहिए कि दोनों के साथ रहना थोड़ा आसान हो जाएगा।

डेवलपर्स के हाथों को क्यों बांधें, और इसके साथ आईबी सेवा को लोड करें, यदि आप प्रक्रियाएं बना सकते हैं ताकि डेवलपर अपने कोड के पूर्णता से परमानंद के रूप में कर सकता है (निःस्वार्थ रूप से थक गया), और आईबी विशेषज्ञ ने इस प्रक्रिया को नियंत्रित किया (हस्तक्षेप नहीं, लेकिन केवल इस खुशी को साझा करना तरफ से)।

कंटेनर सुरक्षा। क्या यह इसके लायक है?

हम ग्राहकों द्वारा पूरी तरह से अलग-अलग चरणों में और सीआई / सीडी में अलग-अलग अनुभव के साथ संपर्क किया जाता है। ऐसे बड़े संगठन थे जिन्हें उत्पादन में कंटेनर में एक पूर्व निर्धारित पिछले दरवाजे का सामना करना पड़ा जिसके माध्यम से महत्वपूर्ण डेटा तक पहुंच प्राप्त हुई और डेटा चोरी हो गया। नतीजतन, यह स्पष्ट हो गया कि एक अतिवृद्धि, बोझिल प्रणाली में, संभावित खतरों को रोकने और रोकने के लिए नज़र रखना मुश्किल है।

छोटी कंपनियां भी थीं जिन्होंने हाल ही में विकास में CI / CD का उपयोग किया है। पाइपलाइनों में प्रक्रियाओं का विश्लेषण करने के बाद, उनके विशेषज्ञ इस निष्कर्ष पर पहुंचे कि उपलब्ध सूचना सुरक्षा उपकरण प्रक्रियाओं की अपर्याप्त मात्रा को कवर करते हैं, और ऐसे खतरनाक स्थान हैं जिनके माध्यम से हमला जल्द या बाद में हो सकता है। शायद अभी नहीं, शायद बाद में, या शायद कभी नहीं। लेकिन अगर ऐसा होता है, तो त्रुटि की कीमत अधिक होगी।

हमारे ग्राहक चिंताओं को साझा करते हैं, जो ज्यादातर मामलों में डेवलपर्स, इंजीनियरों और इस प्रक्रिया में शामिल सभी लोगों के हाथों की पिटाई करने की बहुत अवधारणा पर आते हैं जब समय सीमा से परे जाने की कोशिश की जाती है। लेकिन कभी-कभी यह उस तरह से आसान और तेज़ होता है, और कुछ मामलों में यह आमतौर पर अन्यथा होता है। और फिर आईएस सेवा को उंगलियों के माध्यम से उल्लंघन को देखना होगा। लेकिन हम एक अलग अवधारणा के लिए हैं। ऐसे नियमों का उल्लंघन या अनदेखी क्यों करें जो इस तरह के दर्द के साथ लिखे गए थे? अपने कार्यों को पूरा करने के लिए सेवाओं को एक-दूसरे के साथ हस्तक्षेप क्यों करना चाहिए? ग्राहक के साथ काम करने में, हम उसकी समस्याओं के साथ संचार शुरू करते हैं। वे हमेशा से हैं।



"एक ग्राहक की तलाश न करें, एक समस्या ढूंढें और एक समाधान पेश करें - ग्राहक खुद प्रकट होगा।"

ग्राहक की बात सुनकर, एक नियम के रूप में, हम समझते हैं कि वे किन समस्याओं का सामना करते हैं। यह टीम के इंटरैक्शन में कठिनाइयों हो सकती है, "पाइपलाइन" के डिजाइन में असफल निर्णय, कंप्यूटिंग और मानव संसाधन दोनों की कमी, और बहुत कुछ। ग्राहक के बुनियादी ढांचे में सुरक्षा बढ़ाने के उपकरणों के कार्यान्वयन के लिए हमारे दृष्टिकोण में, हम उसकी समस्याओं को हल करने में मदद करने और नए लोगों की संभावना को कम करने के लिए इसे इस तरह से प्राप्त करने की इच्छा से निर्देशित हैं। इस प्रकार, भविष्य के लिए एक आधार तैयार किया जाता है, इससे कोई फर्क नहीं पड़ता कि कौन बनाया प्रणाली की सेवा करेगा, शुरुआत में कई समस्याओं को हल किया जाना चाहिए और हल किया जाना चाहिए। प्रारंभिक अवस्था में, ज्यादातर मामलों में निर्णय गहरे उत्पादन में उच्च कार्यभार के मुकाबले सस्ता होता है।

इस सब के आधार पर, हम एक ऑडिट के साथ शुरुआत करने का सुझाव देते हैं, जिसमें न केवल सूचना प्रणाली और उनके तत्वों की स्थिति शामिल है, बल्कि विकास टीमों के बीच प्रक्रिया घटक, सूचना सुरक्षा सेवाओं के दृष्टिकोण आदि की समझ भी शामिल है। यह मत भूलो कि लोग खतरों के संदर्भ में और सिस्टम के कामकाज के परिणामों के लिए सबसे महत्वपूर्ण कारक हैं। एक ऑडिट एक आवश्यक चरण है, जिसके परिणामस्वरूप बातचीत में महत्वपूर्ण प्रणाली की खामियां या मिसकल्क्युलेशन जो ग्राहक के साथ मिलकर हम हल करने या प्रक्रिया करने की कोशिश करते हैं, को प्रकट किया जा सकता है। यह समझना महत्वपूर्ण है कि लक्ष्य कई सॉफ्टवेयर समाधानों और उत्पादों को ढेर करना नहीं है और न ही उनके द्वारा खोजी गई कमजोरियों को बंद करना है। इसके विपरीत, एक परिदृश्य की संभावना है जिसमें महंगे सॉफ़्टवेयर उत्पादों की खरीद बिल्कुल भी आवश्यक नहीं हो सकती है। अक्सर, CI / CD वातावरण में सुरक्षा बढ़ाने की प्रक्रिया को संगठन की मौजूदा सुरक्षा विशेषताओं की मदद से प्राप्त किया जा सकता है, दोनों अंतर्निर्मित कंटेनरीकरण वातावरण (ऑर्केस्ट्रेटर में, उदाहरण के लिए), और तृतीय-पक्ष। महत्वपूर्ण बात यह है कि सही अनुप्रयोग के रूप में उनकी मात्रा या गुणवत्ता इतनी अधिक नहीं है।

ऑडिट के परिणामों के आधार पर, कार्य योजना बनाना, स्पष्ट अंतरिम उद्देश्यों के साथ एक रोडमैप और एक समझदार अंतिम लक्ष्य बनाना संभव हो जाता है। खैर, आगे सब कुछ एक तकनीकी मामला है। किसी भी व्यवसाय में उचित योजना सफल समापन का एक बड़ा हिस्सा है।

यह महत्वपूर्ण है कि बहुत दूर न जाएं और यह न भूलें कि सब कुछ क्यों किया जाता है। किसी के पास एक ऐसी सुरक्षित सुरक्षा प्रणाली बनाने का काम नहीं है, जिसमें कोई भी कंटेनर तब शुरू नहीं होता है जब उसमें किसी खतरे का पता चलता है, या संरक्षित मॉडल से कोई भी विचलन होने पर उत्पादन में कोई भी एप्लिकेशन तैनात नहीं किया जाता है। यह याद रखने योग्य है कि सुरक्षा उपकरणों की शुरूआत या लॉन्च न केवल सुरक्षा बढ़ाने के लिए, बल्कि सुविधा के लिए भी करना चाहिए।

उदाहरण के लिए, इनमें से एक मामले में कंटेनर सुरक्षा सॉफ्टवेयर और ऑर्केस्ट्रेशन वातावरण की शुरुआत शामिल थी। ऐसा लगता है कि उन्होंने लागू किया, कॉन्फ़िगर किया, स्कैन किया, सभी कमजोरियों को देखा - और फिर उन्मूलन की लंबी प्रक्रिया। हालांकि, इस दृष्टिकोण के साथ, समस्याएं उत्पन्न होती हैं, जिनकी शुरुआत में चर्चा की गई थी। आईएस सेवा में एक उपकरण है जो आपको ऑर्केस्ट्रेशन वातावरण में कई गतिविधियों को अवरुद्ध करने की अनुमति देता है, जो कि अगर अनुचित तरीके से उपयोग किया जाता है, तो यह अच्छे से अधिक नुकसान करेगा। डेवलपर्स के हाथ बंधे हुए हैं, क्योंकि सूचना सुरक्षा सेवा उनकी क्षमताओं को कम कर रही है। उदाहरण के लिए, कंटेनर "हॉट" के अंदर कुछ ठीक करना संभव नहीं है, और जब छवि में एक पैकेज भेद्यता का पता लगाया जाता है, तो डेवलपर नियामक नौकरशाही में शामिल होता है। नतीजतन, दिन के दौरान समाप्त होने वाली समस्या का समाधान अनिश्चित काल के लिए बंद हो जाता है।

ऐसी स्थितियों से बचने के लिए, हम अनुशंसा करते हैं कि प्रक्रियाओं को इस तरह से व्यवस्थित किया जाए कि आईएस सेवा विकास प्रक्रिया से अलग न हो, जैसा कि अक्सर होता है, लेकिन इसमें एक भागीदार है। यह निश्चित रूप से कुछ समय लेता है, लेकिन यह प्रक्रिया को डीबग करने के लायक है, और जीवन वास्तव में आसान हो रहा है। उदाहरण के लिए, आईएस उपकरण आपको सीआई / सीडी पाइपलाइन के अंदर विधानसभा चरण में पहले से ही खतरों की निगरानी करने की अनुमति देते हैं, और आईएस सेवा इसे पंजीकृत कर सकती है। इसी समय, विधानसभा के प्रत्येक चरण में खतरों के बारे में जानकारी किसी विशेष चरण के लिए जिम्मेदार टीम या विशेषज्ञ को स्वचालित रूप से स्थानांतरित की जा सकती है, और वह बदले में, खतरे को खत्म करने के लिए आवश्यक कार्रवाई करेंगे। और यह सब एक चाबुक की निगरानी में नहीं, बल्कि आईएस सेवा की निगरानी में होता है।

अंततः, कमजोरियों को ठीक करने में लगने वाला समय काफी कम किया जा सकता है, और इसके साथ व्यवसाय की लागत, उदाहरण के लिए, वित्तीय या प्रतिष्ठित।

किसी भी प्रारंभिक डेटा के साथ, हम कंटेनर के विकास के सुरक्षा स्तर को व्यवस्थित और बेहतर बनाने के लिए एक दृष्टिकोण बनाने का प्रयास करते हैं, न केवल विशिष्ट समाधानों के डिजाइन और कार्यान्वयन पर ध्यान केंद्रित करते हुए, बल्कि मानव संसाधन के लिए एक आंख के साथ। प्रक्रिया में प्रत्येक भागीदार अपनी भूमिका को पूरा करता है, और जितना अधिक सुविधाजनक होता है, उतना कम अनावश्यक हस्तक्षेप, इसका अंतिम परिणाम बेहतर होता है। और यदि आप इसमें शामिल सभी दलों की सुविधा के बीच संतुलन पाते हैं, तो आप एक बहुत प्रभावी टीम के साथ समाप्त हो जाएंगे। भविष्य में, निश्चित रूप से, कुछ प्रक्रियाओं के स्वचालन में विभिन्न अनुकूलन, आवेदन या वृद्धि, कार्यों का प्रतिनिधिमंडल, आदि संभव है। लेकिन मुख्य विचार अपरिवर्तित रहता है - सुरक्षा का एक संशोधन जैसे। कर्तव्यों का पृथक्करण, नासमझ निषेध के बजाय निगरानी और जिम्मेदारी के क्षेत्रों के भीतर सभी की भागीदारी।

और हां, सुविधा! सुरक्षा सुविधाजनक हो सकती है।