Il motivo Mobile andato open source
Presso la Struttura Conference a San Francisco, Mobile COO Scott Johnston ha parlato di ZDNet sul perché la finestra Mobile fatto una scommessa strategica sul rendere il suo prodotto open source.
Io amo i contenitori. Si amore contenitori. Noi tutti amiamo i contenitori. Ma è il nostro amore per loro accecante per noi il fatto che spesso non so davvero che cosa è in esecuzione all’interno di essi? Snyk, un open-source società di sicurezza, i rapporti in Stato di Open Source Security report 2019 che la “top ten più popolari Mobile immagini di contenere almeno 30 vulnerabilità.”
Synk non parlare di problemi di sicurezza con contenitore per la tecnologia stessa. Questi problemi, come la recente scoperta falla di sicurezza in runc, il contenitore di runtime per il Mobile e Kubernetes, esistono e sono serio come un attacco di cuore. Ma di gran lunga più comuni sono insicuro applicazioni all’interno di contenitori.
Utilizzando Synk contenitore di scansione di sicurezza strumento della riga di comando, la società ha trovato in scansione Mobile immagine versioni vulnerabili di librerie di sistema e altri problemi di sicurezza. Per esempio, ufficiale Node.js immagine, il popolare JavaScript basato su piattaforma lato server e applicazioni di rete, viene fornito con 580 vulnerabili librerie di sistema. Mentre Node.js era di gran lunga il peggiore, anche la migliore di queste applicazioni popolari avuto almeno 30 pubblicamente le vulnerabilità conosciute.
Perché era questo Node.js immagine di così brutto? Semplice:
L’attuale Supporto a Lungo Termine (LTS) versione del Node.js runtime è la versione 10. Le immagini taggate con 10 (cioè: nodo:10) è essenzialmente un alias al nodo:10.14.2 – jessie (al momento che abbiamo provato) dove jessie specifica obsoleti, la versione di Debian che non è più mantenuto. Se aveva scelto quell’immagine come un immagine di base nel vostro Dockerfile, si sarebbe esposto a 582 vulnerabili librerie di sistema in bundle con l’immagine.
Ouch!
Snyk utenti, il controllo di un’ampia varietà di finestra Mobile di immagini, trovato 44 per cento dei loro contenuti le vulnerabilità conosciute
Questo non mi sorprende. Troppi amministratori di sistema e sviluppatori presumere che tutto ciò che è kosher con la prima data di applicazione che trovano. Nella fretta di consegnare un’applicazione o un servizio il più velocemente possibile afferrare il primo containerizzato programma che viene a portata di mano.
Grande errore.
Non c’è la sicurezza di magia con containerizzato applicazioni. Se si installa un qualsiasi contenitore con una versione precedente di un’applicazione, è praticamente un lead-tubo per garantire che contengono bug di sicurezza.
Non è solo Mobile ufficiale della biblioteca di containerizzato applicazione. Synk trovato 44 per cento di tutti i Mobile immagine scansioni aveva le vulnerabilità conosciute.
Mentre Snyk sarà più che felice di aiutarvi a eseguire la scansione del proprio Pannello di immagini e correggere le falle di sicurezza, fondamentali fix è imbarazzante facile: verificare e aggiornare le proprie immagini.
O, come Snyk mette, il “fix può essere facile se siete a conoscenza. Il 20 per cento di immagini in grado di risolvere le vulnerabilità, semplicemente attraverso la ricostruzione di un pannello di immagine, il 44% scambiando l’immagine di base.”
Snyk non è a scavare fino a zero day bug di sicurezza. È solo esegue una scansione per Linux libreria di vulnerabilità.
Snyk fornisce un qualcosa di veramente utile strumento. Mi raccomando. Ma se si utilizza sviluppatore 101 modo di pensare la sicurezza con il vostro containerizzato applicazioni — patch programmi per risolvere noto bug di sicurezza — farete bene.
Se non si? Beh, truffatori vi ringrazio, ma il tuo dirigenti di società, certamente non.
Storie Correlate:
Un sondaggio rivela una crescente preoccupazione per contenitore tecnologia securityDoomsday Mobile buco di sicurezza uncoveredIBM protegge il vostro cloud contenitore di dati in esecuzione in Kubernetes con la crittografia
Argomenti Correlati:
Linux
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati