2019年容器安全最新现状研究报告解读
戳藍(lán)字“CSDN云計算”關(guān)注我們哦！
作者：劉淼，HPE架構(gòu)師，慧與大學(xué)講師，Exin DevOps Master和DevOps Professional授權(quán)講師，CSDN博主(liumiaocn)，愛老婆愛廚藝的終身技術(shù)學(xué)習(xí)者。
2019年1月份，Tripwire發(fā)布了2019年關(guān)于容器安全的最新現(xiàn)狀調(diào)查研究。相較于DORA的每年度的DevOps報告，這份報告雖然在調(diào)研的數(shù)量上遠(yuǎn)遠(yuǎn)少于，但是考慮到報告定位的問題較為專一和深入，同時Tripwire本身在安全相關(guān)的行業(yè)經(jīng)驗。DevOps實踐的新寵（容器）在安全方面的現(xiàn)狀讓我們拭目以待。
調(diào)研機(jī)構(gòu)
Tripwire致力于IDS（Intrusion detection system：入侵檢測系統(tǒng)）的研究和對應(yīng)，它根據(jù)系統(tǒng)整體的完整性是否遭到破壞來判斷是否被入侵，在安全領(lǐng)域有一定的名聲。在DevOps實踐方面，可能這家公司的合作創(chuàng)始人兼前CTO的Gene Kim（鳳凰項目一書的作者）更加有名氣一些。而Tripwire早在2014年底，就已經(jīng)被美國最大的高速電子電纜生產(chǎn)商之一的百通（Belden Inc）所并購。
數(shù)據(jù)來源
這份報告的結(jié)論是建立在對數(shù)百份IT安全相關(guān)的職業(yè)人員的調(diào)研基礎(chǔ)之上的。而受訪對象中311位受訪者在超過100名雇員的公司中管理環(huán)境中的容器。而搞到86%的受訪者（269位）在生產(chǎn)環(huán)境中進(jìn)行鏡像的使用。
而受訪對象中關(guān)于所在行業(yè)也與2019年DevSecOps的數(shù)據(jù)不謀而合，科技和金融合起來接近半壁江山，容器在科技和金融領(lǐng)域的展開相較于其他行業(yè)還是有一定的優(yōu)勢的。
使用現(xiàn)狀：86%的受訪者在生成環(huán)境中使用了容器
根據(jù)反饋，高達(dá)86%的受訪者在生產(chǎn)環(huán)境中使用了容器。近1/3（32%）的受訪者所在企業(yè)生產(chǎn)環(huán)境中使用容器的數(shù)量超過100，近1/3的受訪對象對容器的使用在10-100之間，少于10個的企業(yè)占到22%。整體來看容器在生產(chǎn)環(huán)境的使用已經(jīng)得到了很大程度的推進(jìn)。
對于容器安全的關(guān)注
對于容器安全，高達(dá)94%的受訪對象對容器安全比較關(guān)注，只有6%的受訪者表示并不在乎。而表示高度關(guān)注的受訪對象也達(dá)到了43%，所以容器安全是一個從開始就得到了重視的安全問題。
用的越多關(guān)注度愈高
從在生產(chǎn)環(huán)境中使用的容器數(shù)量來分析關(guān)注度高的受訪者狀況，顯示出使用的容器數(shù)量愈多，對于容器安全的關(guān)注愈高，生產(chǎn)環(huán)境中容器數(shù)量超過100的受訪者的“非常關(guān)注”的比例達(dá)到了54%。
注：上圖中深紅色的（More than 10 containers應(yīng)該是報告的失誤，此處明顯應(yīng)該是100）
了解的愈多關(guān)注度愈高
受職責(zé)所在以及對于容器安全的知識多少的影響，顯示出具有安全相關(guān)的職責(zé)和對于容器安全知識的多少都會造成關(guān)注度的不同。知道的愈多，關(guān)注度愈高。
容器安全的關(guān)注點
對于容器安全的關(guān)注相關(guān)的調(diào)查顯示，目前的狀態(tài)仍然停留在“團(tuán)隊缺乏足夠的容器安全知識”的程度，由于不了解產(chǎn)生的關(guān)注，仍很難落于實處。
生產(chǎn)環(huán)境的使用不容樂觀
在前面的數(shù)據(jù)中顯示311位受訪者所在企業(yè)中高達(dá)269位所在的企業(yè)在生產(chǎn)環(huán)境中使用了容器。而在這之中，只有7%的受訪者表示“他們的生產(chǎn)環(huán)境沒有安全性的問題”，剩余93的受訪者之中，47%確信他們在生產(chǎn)環(huán)境中有安全性的問題，46%不知道/不確信他們是否有類似的問題。
47%的受訪者確信他們存在容器安全的隱患
47%的受訪者確信他們存在容器安全的隱患，這其中包括：
●?17%的受訪者表示清楚地知道存在這些問題，但是義無反顧地將容器布置到了生產(chǎn)環(huán)境
●?30%的受訪者表示知道存在這些問題，但是并不知道這些安全性的問題到底是什么
●?46%的受訪者不知道/不確信是否有類似問題
46%的受訪者不知道/不確信是否有類似問題，這其中包括：
●?20%的受訪者表示他們不認(rèn)為有，但是不是很確信
●?22%的受訪者表示他們知道有一些，但是不確信
●?4%的受訪者表示他們不知道
這是一個很可怕的反饋，潛臺詞就是，高達(dá)93%的受訪者不是非常清楚問題的狀況，而這里是生產(chǎn)環(huán)境的部署。而根據(jù)容器使用數(shù)量的反饋進(jìn)行分析也能得到類似的結(jié)果：
這里面可以看到一個能顯示非常重要信號的數(shù)據(jù)，關(guān)于“我們知道問題的所在，但是我們還是部署了它們”的情況，可以看到這是一個接近線性的比例，在生產(chǎn)環(huán)境中使用的多（超過100容器），這種問題發(fā)生的比例就高，也就是說目前的容器安全的意識和水平，整體來說很難說很高。
60%的受訪者所在組織在過去一年碰到過安全事件
除了29%的受訪者明確表示沒有安全問題，11%的受訪者表示不知道之外，剩余的60%的受訪者所在組織在過去的一年中都碰到過安全事件，其中5次以下的占到了37%，而超過100次的也有3%。
做的越多錯的越多
前面已經(jīng)分析過了，在生產(chǎn)環(huán)境部署了100個以上的組織，并不意味著他們是在成熟度高了之后進(jìn)行的逐步擴(kuò)展，從結(jié)果的分析看來，明顯是做的越多錯的越多。
未來期待
關(guān)于未來的期待，71%的受訪者不是這么認(rèn)為的。
71%的受訪者認(rèn)為容器安全問題所占的比例在接下來的一年會穩(wěn)定上升
相較于對安全狀況的不慎明了，對于容器安全問題在來年所占比率上，13%的受訪者認(rèn)為會
大幅上升，58%認(rèn)為會小幅上升，合計71%的受訪者對此表示強(qiáng)烈的信心。
而關(guān)于問題會增多的原因更多的受訪者分析為內(nèi)因，容器的推廣和在關(guān)鍵業(yè)務(wù)中的使用都大于或等于對于外部黑客可能侵入的擔(dān)憂。
42%的受訪者表示會因為安全風(fēng)險限制容器的推廣
雖然有點像因噎廢食，安全風(fēng)險的確不容忽視，雖然看起來正確的做法是增加安全的防護(hù)，42%的受訪者明確表示會考慮因安全風(fēng)險限制容器的使用。
高達(dá)98%的用戶反饋希望在容器環(huán)境中增強(qiáng)安全相關(guān)的功能
誰該負(fù)責(zé)容器安全
關(guān)于誰該負(fù)責(zé)容器安全這個話題，46%的受訪者認(rèn)為負(fù)責(zé)IT安全的部門應(yīng)該負(fù)責(zé)這個。
由于容器的采用，82%的受訪者認(rèn)為關(guān)于安全職責(zé)的問題需要重新思考
這不只是一份調(diào)查報告，很有可能跟你的工作相關(guān)，容器的引入帶來了新的安全問題。這個問題誰該負(fù)責(zé)并沒有一個標(biāo)準(zhǔn)的答案，46%的受訪者認(rèn)為是IT安全部門應(yīng)該負(fù)責(zé)，很有可能這些受訪者都不是IT安全部門的員工。
總結(jié)
容器的推行勢在必行，容器安全的責(zé)任歸屬尚未明確，容器的采納帶來的安全問題已經(jīng)實際存在，落到誰的頭上只是時間的問題，總需要有人來解決這個問題，組織在思考，安全問題不會等待。在我們的思考之中繼續(xù)安全問題仍然在平穩(wěn)地發(fā)生。
參考內(nèi)容
https://www.tripwire.com/solutions/devops/tripwire-dimensional-research-state-of-container-security-report
福利
掃描添加小編微信，備注“姓名+公司職位”，加入【云計算學(xué)習(xí)交流群】，和志同道合的朋友們共同打卡學(xué)習(xí)！
2、公眾號后臺回復(fù)：工具，獲取開源云監(jiān)控工具詳細(xì)資料！
推薦閱讀：
權(quán)威預(yù)測：未來一年，企業(yè)云服務(wù)將會如何發(fā)展？
云計算時代運維的出路在哪?
互聯(lián)網(wǎng)裁員潮親歷者：那些陣痛、掙扎與去向
Google又逆天：語音輸入離線實時輸出文字，僅占80MB！然而……
找 Bug 賺了 6,700,000元！這位 00 后是怎么做到的？
30歲的萬維網(wǎng)活不長了! 蒂姆·伯納斯·李要借去中心化親手殺死它, 你再也不用擔(dān)心...
喜歡就點擊“好看”吧
總結(jié)
以上是生活随笔為你收集整理的2019年容器安全最新现状研究报告解读的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： OpenStack精华问答 | 如何处理
- 下一篇： Cloud一分钟 |高通预在年底与苹果和