組織穀倉怎麼破?趨勢科技文化長陳怡蓁 用文化心革命 培養軟性人才力

【台北訊】科技到位、客戶就位,全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼:4704) 在執行長陳怡樺帶動之下,全面擁抱 DevOps ,推動組織再造工程。文化長陳怡蓁則開辦文化日 X DevCulturOps 工作坊,繼2018年全員玩AI後,又一波大規模沉浸式人才培育計畫,巧妙運用文化穿透力讓同仁從心開始轉化為具備跨專業分工與成就客戶為先的軟實力人才。

趨勢科技文化長陳怡蓁表示:「趨勢科技要躍居雲端之上 (Stand Tall On the Cloud),一切的轉化必須從〝心〞開始,也就是從文化開始轉變。」

趨勢科技文化日 X DevCulturOps 工作坊於12月16、17兩日於台北文創會所連續開辦三場,每場約500位趨勢人參與,活動從 DevOps 專題探討展開,由文化長陳怡蓁引導出研發、產品經理、技術支援與業務代表不同視角下的 DevOps ,穿插「三個人」樂團的國樂演奏,透過箏、中阮與笛簫令人驚豔的協奏,呼應 DevOps 在技術、商業營運與組織文化共融的精彩,最後工作坊以從產品成功到成就客戶進行小組討論與分享,激盪組織成長轉型的動能。

陳怡蓁也分享並邀請趨勢人一起對趨勢科技企業文化 3CiT 新的詮釋進行思考:「3C分別是客戶的成功 (Customer Success)、驗證與快速學習 (Change )、與團隊互相成就 (Collaboration) 、iT則是創新且創造價值 (Innovation) 以及解決對的問題 (Trustworthy)。」

文化日 X DevCulturOps 工作坊舉辦場域特別選在由趨勢教育基金會所主辦的流浪的田展覽會場旁,讓同仁提升職場武力值,同時也有機會透過文化浸淫開闊視野與胸懷,身心一同Fun 輕鬆。

流浪的田

融合文學、藝術與台灣農情記事的展覽,於2019年12月7日至12月22日 (每日上午10:00—18:00) 在台北松山文創園區 一號倉庫展出,七大展區從文學出發,以油畫、攝影、大型裝置、聽覺、錄像等藝術形式呈現,並揉合閩南、客家、原住民等不同族群文化、文學作品與農耕文化,現場並邀請作家吳晟、胡慕情、黃春明、簡媜、劉崇鳳、楊富閔、賴青松等分享寫作理念。

更多展覽資訊請參考: https://www.trend.org/column/artical/124

防護容器六步驟

容器(container)可以最佳化開發者體驗。利用容器建構應用程式讓開發者可以在任何電腦硬體、基礎架構或雲端環境內順利運行應用程式。作業系統和底層基礎架構差異性所可能帶來的問題也會在容器運行時消除。但就跟任何其他技術一樣,使用容器可能存在著取捨。如果沒有好好思考容器基礎架構的複雜性,可能會產生嚴重的安全風險。容器可能的威脅存在於開發流程的各個階段。

防護容器六步驟

[延伸閱讀:檢查容器環境可能的威脅]

為了將建構容器的風險降到最低,開發者可以遵循以下六個步驟:

繼續閱讀

企業的下一個挑戰:如何為全公司的容器和大型應用程式提供最佳防護?


談到軟體容器防護,很重要的一點是,企業必須放眼大局,考慮容器如何影響企業整體資安需求以及開發營運 (DevOps) 未來的需要。好的方法能讓資安團隊建立一個面面俱到的資安策略,既可避免建構時期與執行時期發生資料外洩或遇到資安威脅,又不影響應用程式 DevOps 團隊的靈活性和速度。

雖然資安和 IT 人員必須解決 DevOps 快速靈活的腳步所衍生的資安問題,但卻面臨了企業組織及流程去集中化的挑戰。而既然工作負載和營運環境隨時都在變化,因此,網路資安問題並無單一解決之道,只能憑著手上現有的資訊來應變。為了應付當前的資安情勢,並且了解如何將容器環境納入資安防護,我們必須先問問自己幾個深入的關鍵問題。

工作負載的環境和以往有何不同?今日開發團隊的著眼點又在哪裡?(也就是:從虛擬機器到雲端,再到無伺服器環境、DevOps、微服務,以及根據交付與運轉時間為評量標準)。

許多年前,我們與客戶的對話大多圍繞在如何將傳統老舊的工作負載從資料中心移轉至雲端。在這「升級」的過程中,客戶必須考慮要在雲端內採用何種 IT 工具及資安防護才能讓營運流暢。許多客戶在移轉至雲端之前就已採購的一些傳統工具,在移轉至雲端之後將很難沿用,因為它們並非專為雲端而設計。

但近幾年來,這批將工作負載移轉至雲端的客戶,也開始採用一些雲端原生服務來開發新的專案和應用程式,並且在 Docker 容器以及 AWS Lambda、Azure Functions 和 Google Cloud Functions 等無伺服器環境開發新的應用程式。這些技術讓企業能夠採用 DevOps 營運流程,持續不斷開發各自獨立又互相配合的應用程式「零件」,以實現比開發大型應用程式更快的成果。這些新的開發計畫,也催生了所謂「持續整合/持續交付」(CI/CD) 流程的出現,透過 Git 來進行原始程式碼管理 (代管版本的 GitHub 或 BitBucket)、使用 Jenkins 或 Bamboo 來執行 DevOps 自動化,然後搭配 Kubernetes 來進行容器的自動化部署、擴充與管理。

繼續閱讀

以雲端基礎架構為攻擊目標的挖礦攻擊

隨著過去幾年加密貨幣挖礦惡意程式的興起,網路罪犯正在持續嘗試不同種類的變現方案。其中一種日益猖獗的方式,便是鎖定雲端基礎架構,尤其是企業的雲端基礎架構。根據 AT&T 的報告指出,針對企業雲端基礎架構的網路犯罪就有以下四種:遭入侵的容器管理平台、惡意 Docker 映像、API 金鑰竊取,以及控制面板漏洞攻擊。

1.濫用遭入侵的容器管理平台。容器是一種開發人員用來裝載所有應用程式元件的技術,這些元件包括管理介面、檔案、程式碼以及程式庫等。網路罪犯會應用以上元件的弱點,或利用不當設定的容器來部署惡意程式。在 2018 年 2 月便有這樣的例子,當時一家電動車製造商的 Kubernetes 基礎架構遭到攻擊者盜用。攻擊者之後便使用遭入侵的容器來執行加密貨幣挖礦作業。

此外,攻擊者還透過濫用開放式 API 和未驗證的管理介面來入侵這些平台。

繼續閱讀

無伺服器應用程式(Serverless Applications):它們在DevOps代表什麼?

資安研究人員指出,在超過1,000個開放原始碼的無伺服器應用程式中,有21%具有嚴重漏洞或設定錯誤。他們還指出有6%將敏感資料(如API金鑰和帳號密碼)儲存在可公開存取的檔案庫中。

[專家見解:轉向無伺服器雲端應用程式]

 

什麼是無伺服器應用程式?

“無伺服器”有點不精確。應用程式在第三方雲端基礎設施上運行(如Amazon Web Service(AWS)的Lambda,微軟的 Azure Functions和Google的Cloud Functions)。它們沒有使用專屬伺服器、虛擬機或容器(container);只有應用程式的程式碼在雲端伺服器上執行直到完成任務。

無伺服器應用程式體現了新興的功能即服務(FaaS)模型,將雲端運算轉變成一個平台,企業可以用來開發、部署和管理其應用程式,無需建立自己的基礎設施。

透過“無伺服器”,開發人員和企業受益於其靈活性和自動化能力。它也可以是推出應用程式的一種可擴展且高經濟效益的方式,因為不需要配置或維護專屬伺服器,安裝/管理軟體或運行環境。

 

[InfoSec指南:緩解Web注入攻擊]

 

無伺服器應用程式最常見的安全問題是什麼?

安全研究人員指出,大多數漏洞和弱點是因為實際應用程式中所用的不安全程式碼等問題所造成。他們發現這些是開放原始碼無伺服器應用程式最常見的安全問題:

  • 資料注入 – 不可信或未經處理的輸入在應用程式元件(例如儲存、資料庫和通知系統)之間傳輸
  • 認證機制
  • 雲端儲存系統的錯誤授權設定
  • 應用程式請求或授予的權限
  • 監控和記錄功能不足
  • 來自第三方套件的不安全程式碼

繼續閱讀