4、DevSecOps与容器平台技术解析

DevSecOps与容器平台技术解析

1. DevSecOps安全相关内容

1.1 漏洞查找与评估

可在 https://www.cvedetails.com 查找漏洞，在 https://nvd.nist.gov 获取详细描述。对生产系统进行漏洞评估是常见做法，能识别运行的服务及相关漏洞。例如，在安装了 Docker 的机器上执行漏洞评估工具并扫描，可了解实际运行的服务。可使用多种解决方案，如 OpenVas，还能集成到 CI/CD 管道中。以下是一些开源的漏洞评估工具：
- OpenVAS - http://openvas.org/
- Docker Bench - https://github.com/docker/docker-bench-security

1.2 警报与监控

应用部署到生产环境后，以安全、自动化的方式进行监控很方便，可确保系统正常运行且性能良好，此过程可自动化，即持续监控。监控工具能检测性能、代码问题、异常、拒绝服务（DoS）攻击或暴力攻击等，还需具备系统事件和活动的可追溯性，存储有用信息以应对潜在安全或合规事件。以下是一些监控工具：
| 工具名称 | 特点 | 链接 |