中国移动磐舟DevSecOps 平台云原生安全实践 刘斌 中国移动信息技术中心 01 磐舟DevSecOps平台概况 02 磐舟DevSecOps平台安全能力 03 磐舟DevSecOps实践总结 目 录 目录 CONTENT 磐舟DevSecOps平台定位 基于云原生打造一站式DevSecOps平台，致力于解决企业在数字化转型中的研发效能提升问题，提供从 “需求-开发-测试 42万次，arm构建1.59万次 企业级超大规模实践—推动中移数字化转型 中国移动集团范围内推广使用磐舟，截止2022年10月30日，平台已入驻项目356个。其中IT公司208个，涉及 14个部门，省公司（含直投省）141个，涉及30个省，专业公司及直属单位7个。4.7万人次登录，月活2077人。 科技创新成果 中国移动作为国家级高新技术企业，在国内外行业中科技创新成果丰硕。磐舟与磐基团队重视自主创 操作进行标记并告警。 镜像发布管控 镜像在被发布之前，依据 安全策略对镜像进行检测 ， 或者依据检测结果对镜像 发布流程进行放行或者阻 断、忽略操作，防止危险 镜像通过发版。 安全测试-APP扫描 移动应用安全检测和个人信息合规检测能力，基于磐舟平台，容器化部署，紧邻租户业务系统，支持浏览器 访问及API。已对接磐舟CI/CD流程，资源可弹性管理，可满足高可用、高扩展、高容错等特征。 待检测APP

/ 51 Confidential—Restricted Nov 10, 2022 Ozone User Group Summit / 51 2 Confidential—Restricted / 51 THE HYBRID DATA COMPANY We believe that data can make what is impossible today, possible tomorrow DC outlook A BRIEF HISTORY OF OZONE Siddharth (Sid) Wagle PMC, committer (Ozone, Ratis, Hadoop) 10 © 2022 Cloudera, Inc. All rights reserved. HISTORICAL MILESTONES HDFS-7240 Hadoop feature branch board establishes Apache Ozone as a top-level project 2020 Oct Cloudera GA Scale HDFS - 2x Initial Goal Storage Containers Native S3 , HCFS Scale HDFS - 10x New Goal 11 © 2022 Cloudera, Inc

无监督学习方法概述 聚类案例 3.金融业 银行可以观察到可能的金融欺诈行为，就此 向客户发出警告。在聚类算法的帮助下，保 险公司可以发现某些客户的欺诈行为，并调 查类似客户的保单是否有欺诈行为。 10 1.无监督学习方法概述 聚类案例 4.搜索引擎 百度是人们使用的搜索引擎之一。举个例子，当 我们搜索一些信息，如在某地的超市，百度将为 我们提供不同的超市的选择。这是聚类的结果， 提供给你的结果就是聚类的相似结果。 K-means算法流程 第三步：移动质心，因为上面步骤中形成的簇 没有优化，所以需要形成优化的簇。为此，我 们需要迭代地将质心移动到一个新位置。取一 个簇的数据点，计算它们的平均值，然后将该 簇的质心移动到这个新位置。对所有其他簇重 复相同的步骤。 迭代更新 20 2.K-means聚类 K-means算法流程 优化 上述两个步骤是迭代进行的，直到质心停止移动，即它们不再改变自己的位置，并且成为静态的。一 P2 P3 P4 P5 P6 P7 P8 P9 P10 P11 P12 P13 X 1 2 2 4 5 6 6 7 9 1 3 5 3 Y 2 1 4 3 8 7 9 9 5 12 12 12 3 举例：有如下13个样本点，使用DBSCAN进行聚类 33 密度聚类-DBSCAN DBSCAN密度聚类的算法流程 13 12 11 10 9 8 7 6 5 4 3 2 1 0 0

SkyWalking and more plugins Plug-in orchestration 2019-6-6 Project open source 2019-7 CNCF Landscape 2019-10 Donate to Apache 2020-1 Release v1.0 HISTORY OF APACHE APISIX SKYWALKING 简介 APACHE SKYWALKING object ➤ use `ngx.var.http_****` to fetch specific header value ➤ cached the required object at top level ➤ avoid useless `json.encode` ➤ 只使⽤上⾯部分优化，单核⼼性能已提升 20-30% ，后⾯会有更好表现 ➤ PR：https://github.c

), ?(?)是同一个人，则) = ||?(?(?)) − ?(?(?))||2 2较小 如果?(?), ?(?)不是同一个人，则) = ||?(?(?)) − ?(?(?))||2 2较大 10 1.人脸识别概述 Triplet 损失 三元组损失，它代表你通常会同时看三张图片，你需要看Anchor图片 、Postive图片，还有Negative图片，我要把Anchor图片、Positive ?(?, ?, ?) = ???(||?(?) − ?(?)||2 − ||?(?) − ?(?)||2 + ?, 0) 假设有1000个不同的人的10000张照片，也就是这1000个人平均每个人10张 照片，组成了整个数据集。 如果每个人只有1张照片，那么根本没法训练这个系统。 14 1.人脸识别概述 Triplet 损失 为了构建一个数据集，你要做的就是尽可能选择难训练的三元组?、

1 21 29 33 34 35 36 37 38 39 40 41 30 31 32 4 5 16 22 17 19 20 23 6 7 8 9 10 11 12 14 46 68 52 65 48 69 70 71 72 73 74 75 76 77 78 79 80 81 82 50 53 55 57 自动合并依赖项更新 PR 6. 针对 FAIR 数据的数据产品思维 7. OIDC for GitHub Actions 8. 使用 Terraform 创建监控和告警 9. ReAct 提示工程 10. 检索增强生成 11. 基于风险的故障建模 12. 大语言模型半结构化自然语言输入 13. 追踪健康债务状况 14. 对告警规则的单元测试 15. CI/CD 的零信任保护 评估 16. 通过依赖健康检查化解包幻觉风险 通过依赖健康检查化解包幻觉风险 17. 设计系统决策记录 18. GitOps 19. 大语言模型驱动的自主代理 20. 平台编排 21. 自托管式大语言模型 暂缓 22. 忽略 OWASP 十大安全风险榜单 23. 用于服务端渲染（SSR）web 应用的 web 组件 采纳 24. Colima 试验 25. CloudEvents 26. DataOps.live 27. Google

SBOM能够列出管理这些组件的许可证，代码库中使用的组件的版本及其补丁程序状态。 云原生应用安全风险面 第三方组件 开源组件 应用安全 风险面 Web通用漏洞 SQL注入、命令执行、XXE、XSS等OWASP TOP10 业务逻辑漏洞 水平/垂直越权、短信轰炸、批量注册、验 证码绕过等 合规需求、安全配置 未能满足安全合规、未建立安全基线、敏 感数据泄漏 开源组件/闭源组件 CNNVD、CNVD、CVE等 API用于内部/外部应用可调用的接口，包括 http/https、定制TCP、RPC等协议。 • 微服务架构下，暴露API指数级增加 doubo java 部署IAST agent 其他外部应 用直接访问 a.html 移动APP、 外部Web、 外部服务等 http://C.com/apixxx3 https://B.com/apixxx2 传统认知的 web入口 新型入口 fosf://xxx.serv ices API10 日志和监控不足 解决方案： • API资产梳理（暴露面、风险分析） • API链路调用威胁阻断 • OWASP API安全 TOP 10（权限控制、注入等） RASP——应用出厂免疫 轻量级探针端 + 统一管控中心 + 积极防御插件 运营时威胁与攻击 注入攻击 URL黑名单 跨站脚本攻击 …… 恶意文件访问 反序列化攻击 扫描器攻击 OWASP Top 10 文件读写

. . . . . . . 9 2.7.3 VirtualBox Manager Tools . . . . . . . . . . . . . . . . . . . . . . . . . 10 2.7.4 Help Viewer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 2.7.5 About vboximg-mount . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 327 vi Contents 10 Advanced Topics 331 10.1 Automated Guest Logins . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 409 13.5.1 Certain Oracle Solaris 10 Releases May Take a Long Time to Boot with SMP . . . . . . . . . . . . . . . . . . . . . . . . . .

Version 4.2.10 c⃝ 2004-2013 Oracle Corporation http://www.virtualbox.org Contents 1 First steps 10 1.1 Why is virtualization useful? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 1 . . . 177 9.24.3 Mac OS X: starting the autostart service via launchd . . . . . . . . . . . 178 10 Technical background 179 10.1 Where VirtualBox stores its files . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 200 12.5.1 Older Solaris 10 releases hang in 64-bit mode . . . . . . . . . . . . . . 200 12.6 Windows hosts . . . . . . . . .