这有助于组织在应用程序中使用的开源组件的清晰性，以便更好地管理潜在的风 险、合规性和漏洞修复。 开源组件的软件许可检测：软件许可的滥用可能会引发法律风险，需针对应 用程序中使用的开源组件进行周期性或实时性的许可证分析和监测，以确保开源 组件的许可证与应用程序的许可证要求和法律合规性相符。使得组织避免潜在的 法律纠纷和合规性问题，同时维护开源组件的合法使用。 开源组件中的风险检测：开源组件的风险包括安全漏洞、组件可信度、社区 IAST 能力在业务测试时，模拟运行时可能遭遇的真实攻击，同时分析应用 云原生安全威胁分析与能力建设白皮书 53 程序的执行路径和数据流，以检测潜在的漏洞和安全威胁。能够在应用程序运行 时提供实时的安全分析和漏洞检测，减少误报率，帮助开发人员更准确地定位和 修复安全问题，提高应用程序的安全性和稳定性。 交互式应用安全检测能够对业界常见的安全漏洞类型检测，包括但不限于注 入类、失效身份验证和会话管理、敏感信息泄露、XML 应用程 序中，实现防御手段与应用程序融为一体，实时分析和检测 Web 攻击，使应用 程序具备自我保护能力，有效弥补原来防护体系的不足。 依赖 RASP 与现有的纵深多级防御体系相结合，能够补上现网软件应用系 统多级防御体系中的最后一环，让穿透后的攻击无法落地形成危害。另外，RASP 能够实现对应用系统的持续监控，监控应用系统所受到的攻击行为，并实时进行 防护，保证应用系统的安全运行。 （2）WAF

MR 云DB 用户 日志消息类数据实时分析 支持企业低成本、大容量存储和查询各类日志、消息、交易、用户行为、画像等 结构化/半结构化数据，支持高吞吐量实时入库及数据实时查询，实现数据资源 智慧化运营。 优势 低成本存储： 支持PB级数据存储 高并发： 千亿数据实时分析 数据源 设备监控 传感器 轨迹数据 车联网 业务集群 物联网套件写入 云原生 DB 轨迹查 询|实时 监测 MR 云原 生DB 统计 统计 分析 物联网数据存储和查询 将车联网数据、设备监控数据、客流分析管控数据、交通数据、传感器数据实时 写入HBase中，分析结果输出到用户的监控前端系统展示，实现物联网数据的实时 监控分析。 优势 易接入： 轻松对接消息系统、流计算系统 高并发： 满足千万级并发访问 存算分离： 按需分别订购计算与存储，成本低、故障恢复快 利用HTAP模式，可以将查询和分析合并 起来，更加节约成本，并提高了性能 掉，全面奔向MaxCompute云原生体系) 高级能力-云原生大数据|AI-业务赋能的基石-2-架构改造上的问题和困难 • 弹性扩缩容能力无法满足快速增长的业务需求：随着业务的发展，流量和数据量突增，尤其对于实时计算，需要资源 能够及时的扩容，以满足业务需求。尽管一些大数据管控平台尝试实现自动的扩缩容（如通过集群负载情况，进行扩 容），然而，在传统大数据平台架构下，通常需要资源申请、依赖软件安装、服务部署等一系列步骤，该过程通常比

多Beats/Logstash接入管控 • 多ES搜索编排系统 • 日志AIOps探索 3 背景与挑战 产品数量 人员规模 主机规模 100+ 1000 + 10000 + 如何降低日志接入门槛 如何保证日志实时上报 如何保障日志采集不影响业务 如何做配置标准化 如何帮助业务快速排障 如何提供方便便捷的性能分析 调优能力 … 4 多Beats/Logstash接入 管控 提供多产品接入管理，多beats标准 并向Master发起Agent注册逻辑，获取agent id 配置获取 从Consul中获取当前agent的配置组列表，并 启动多个采集进程 配置变更感知 watch到Consul对应的agent id路径，实时感 知配置变化，并对启动的进程列表做重启清理 等工作 管理多Beats/logstash Beats等以agent子进程启动其管理这些进程的 cpu/内存等资源 Agent Consul Master 集中管理配置 • 规模化自动化部署Agent • 按业务逻辑划分机器组 • 集中配置，关联机器组 • Agent离线实时感知 • 配置一致性离线分析 • 多beats同时管控 11 当前收益 快 稳 准 • 快速接入(5min) • 配置UI化标准化 • 配置变更实时感知 • 部署全自动化 • 多Beats支持 • Beats运行时cpu/mem可控 • Agent监控视图

容器内行为 实时监控 产生 告警处置 人工安全标记 响应处置 内置风险策略 木马病毒上传 恶意命令执行 容器逃逸 其他风险策略 已 知 威 胁 监 控 进程 网络连接 系统调用 文件 配置 安全容器模型 在业务上线后，容器安全工具基于内置检测规则+行为学习+自定义策略，多维度保障容器运行时的安全。 已知威胁方面，通过丰富的内置安全策略，对业务容器行为进行实时监测，及时发现风险。 码扫描SAST\软件成分分析SCA、灰盒扫描IAST、镜像扫描、APP扫描， 提前预防安全风险。上线后持续进行安全防护：定期进行镜像扫描、基线合规检测、运行时通过容器安全与微隔离软件对容器 运行实时监测。 生产运营 生产上线 UAT测试（验收测试） 发版前测试 自动化集成与部署 应用开发阶段 需求阶段 业务需求输入 需求 分析 用户故事拆 分 开发任务拆 分 迭代 规划 测试 需求安全分析 源代码审计 镜像安全扫描 服务 发布 冒烟 测试 基础镜像安全加固 代码 仓库 第三方开源 组件安全扫描 灰盒审计 手工渗透测试 镜像扫描 基线合规 实时监测 01 磐舟DevSecOps平台概况 02 磐舟DevSecOps平台安全能力 03 磐舟DevSecOps实践总结 目 录 目录 CONTENT 提供“一站式”开发安全平台&工具，工具种类丰富

试想⼀下，要开发由 200 个“微服务”组成的云原⽣应⽤，会遇到哪些困难呢？ Localhost 时代 在单体应⽤的时代，对于开发者来说是极为友好的，�开发者使⽤本机运⾏应⽤，修改代码后实时⽣效，通过 浏览器访问 Localhost 实时查看代码效果。 单体应⽤和“微服务”应⽤不同，单体应⽤是 “ALL-IN-ONE” 组织⽅式，所有的调⽤关系仅限于在⾃身的类和函 数，应⽤对硬件的要求⼀般也不会太⾼。 ⽽开 Nocalhost - 重新定义云原⽣开发环境.md 2021/1/20 4 / 7 P. 克隆业务代码或选择本地代码⽬录打开 Q. 进⼊开发模式，本地修改代码并保存，⽆需重新构建镜像，远端开发环境实时⽣效，⽀持远程调试 Nocalhost - 重新定义云原⽣开发环境.md 2021/1/20 5 / 7 快速体验 想要快速体验 Nocalhost ，有以下⼏点前置条件： 准备⼀个 Kubernetes

支持全球最大容器集群、全球最大Mesh(ASM)集群，神龙架构和ACK容器的组合，可以实现1小时扩容1百万个容器，混部利用 率提升50%，万笔交易成本4年下降80%。 • 拥有国内最大计算平台、顶级实时计算能力。大数据平台批处理单日计算数据量达到1.7EB，实时计算峰值每秒30亿条记录； 云原生PolarDB读写性能提高50%+，计算资源利用率提高60%+。 • 云原生中间件首次实现自研、商用、开源的“三位一体”，通过阿里云服

controller Launch scanning Scanner config Start scan 来自中国厂商： • 小佑科技 • 探针科技 制品安全分发-扫描 [2] 扫描报告有助于实时了解所管理镜像的相关漏洞信息和安全威胁程度 制品安全分发-安全策略 可在项目级别设置相关安全策略以阻止不符合安全规范的镜像的分发 基于漏洞严重程度或者签名状态 通过设置不可变规则来避免特定Tag被覆盖或者误删除

使用地位不对等，以私有云为主体。 控制台 控制台 高级能力-多云（资源角度） 调研机构Gartner公司指出，80％的内部部署开发软件现在支持云计算或云原生，不断发展的云计算生态系统使企业能够更快、 更灵活、更实时地运营，从而带来竞争压力。接受云原生和多云方法作为一种新常态，意味着企业可以避免云计算供应商锁定， 可以提供超过5个9的响应率（99．999％），以避免每次停机导致平均数百万美元的损失。企业管理者终于意识到，云计算供