ContainerDays 2021 blev afholdt i Hamborg fra den 21- 22. september, og vi havde sendt et team på 4 på inspirationstur for at blive opdateret omkring en lang række interessante emner inden for Kubernetes, Containers, Microservices, Cloud, DevOps og meget mere.
Vi vil i dette blogindlæg opsummere de key-take-aways, som vi tog med hjem, og som vi synes er særligt interessante at forholde sig til.
Et af de tilbagevendende emner på ContainerDays var sikkerhed.
✔️ Sikkerhed på containerniveau
✔️ Sikkerhed i forbindelse med din kode-supply chain
✔️ Sikkerhed på netværksniveau
✔️ Sikkerhed for, at dit applikationsdesign faktisk er så redundant, som du går og tror
Hvis du tror, at microservices, Kubernetes eller serverless teknologier er silver bullets, som løser alle dine sikkerhedsproblemer, så tager du fejl.
Her er hvorfor:
Når du skifter til containere og microservices, skal du ofte omskrive hele din kodebase. På lang sigt kan det give dig en masse fordele, men på kort sigt kræver det en kæmpe indsats, både i ren udviklingstid og – måske endnu vigtigere – på tegnebrættet.
Når din applikation bliver skilt ad “i atomer”, er det vigtigere end nogensinde, at du har styr på afhængighederne mellem de forskellige services og alle de nye angrebsflader, det åbner.
Du skal også stadig have styr på alle de klassiske it-sikkerhedsprincipper.
Adgangskontrol, encryption, backup, data sovereignty og Disaster Recovery er mindst lige så vigtigt, som det altid har været.
Med microservices er ”shadow IT” også mere aktuelt end nogensinde.
For mange udviklere er omlægning til microservices første skridt på en lang rejse – fyldt med ‘trial and error’ og forsøg, som uden ledelsens opmærksomhed risikerer at ende i fuld produktion.
Så hvis dine udviklere snakker om DevOps, Containers, Docker, Kubernetes eller Infrastructure-as-Code, er det mega fedt, for det betyder, at de har fingeren på pulsen. Men hvis du ikke allerede har haft “the talk” med dine udviklere om, hvordan I kan opretholde jeres sikkerhedspolitik i en DevOps-sammenhæng, er det på høje tid at få indkaldt til et indledende møde.
Oplagte emner på sådan en agenda kan være:
- Hvor i verden ligger vores data? (Public Cloud er et oplagt svar, men bør give anledning til nogle overvejelser om persondata mv.)
- Har vi backup? Hvordan fungerer backuppen? Er traditionel backup relevant? (Backup af containers er noget helt andet end virtuelle maskiner)
- Hvem overvåger vores Kubernetes-infrastruktur?
- Hvem reagerer kl. 3 om natten, når der kommer en alarm?
- Hvem ringer vi til, når vi står med et problem, vi ikke selv kan løse?
- Hvad gør vi, hvis en hacker kommer ind forbi vores firewall?
- Hvordan sikrer vi, at ikke kun vores egen kode, men også alle vores kode-dependencies, bliver holdt up-to-date?
DevOps betyder, at dine udviklere pludselig står med et langt større drifts- og sikkerhedsansvar end tidligere - og det er vigtigt at få klarlagt fra starten, hvem der gør hvad.
Heldigvis behøver du ikke at stå alene med det.
Hvis ovenstående har givet stof til eftertanke, eller hvis du tænker, at det måske kunne være rart at outsource nogle af de mere trivielle opgaver, så giv os et ring.
Du kan fange Kasper Hartvig Hansen på +45 2624 0911 eller kasper.hansen@team.blue. Vi har god kaffe og dygtige folk, der allerede har adskillige års driftserfaring med Cloud Native-teknologier.
Vi glæder os til at starte dialogen op
Hør hvad Daniel og Lasse tog med sig fra ContainerDays 2021👇