中国移动磐舟DevSecOps平台云原生安全实践

• 语言: 中文（简体）
• 格式: .pdf
• 来源: github.com/cncf

摘要

本文档详细介绍了中国移动磐舟DevSecOps平台的云原生安全实践，涵盖平台概况、安全能力及实践经验。平台提供一站式开发安全工具，不改变原有开发流程，通过纵深漏洞发现体系提升安全效率。安全能力包括代码安全扫描、镜像安全扫描、开源协议扫描等，支持安全左移和自适应安全策略。实践总结强调安全意识提升、规范制定、持续运营及技术创新。平台已在中国移动集团内广泛应用，入驻项目356个，涉及多个部门和省公司，成效显著。

AI总结

《中国移动磐舟DevSecOps平台云原生安全实践》总结如下：

1. **平台概况**
- 磐舟DevSecOps平台提供“一站式”开发安全工具，支持多种安全检测与防护功能，无缝融入现有开发流程，减少对研发和测试人员的干扰。
- 通过在开发、测试、部署等各环节嵌入安全能力，实现漏洞的早发现、早修复，提升安全效率。

2. **平台安全能力**
- **安全开发**：支持需求安全分析、源代码审计、第三方开源组件扫描等，帮助开发者在编码阶段发现潜在风险。
- **安全测试**：提供灰盒审计、手工渗透测试、镜像安全扫描等多层次测试能力，确保代码和镜像的安全性。
- **安全管控**：通过安全基线合规、实时监测等手段，实现对应用和服务的持续安全管控。
- **安全运营**：结合安全左移和自适应安全理念，提供持续的安全监控和快速响应能力。
- **技术创新**：引入SBOM（软件物料清单）、BAS（行为分析系统）等新技术，提升供应链透明度和安全能力评估的准确性。

3. **实践总结**
- **管理与技术并重**：安全工作不仅依赖工具，还需要规范流程、团队建设和持续运营。平台建设为工具抓手，同时注重管理与意识培养。
- **持续改进**：通过定期演练、漏洞规则更新、防御手段优化等方式，确保安全能力的持续提升。
- **实际成效**：截至2022年10月，平台已入驻356个项目，覆盖中国移动集团内外部单位，月活用户2077人，累计扫描代码量达215.87万行，构建部署次数超18万次。
- **科技创新**：平台在云原生安全领域取得多项成果，包括可信云容器解决方案认证、DevOps先进级认证等，并获得多项行业奖项。

4. **核心价值**
- 磐舟平台通过一体化的安全能力，推动中国移动的数字化转型，为企业的稳定运行和创新发展提供了坚实的安全保障。