DevSecOps 成熟度模型 2024

为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？风险：正在运行的制品中的漏洞可能存在很长时间，并可能被利用。需要快速为第三方组件打补丁。DevOps 的方式是为新组件创建自动拉取请求。这包括 * 应用程序 * 虚拟化操作系统组件（例如容器镜像）* 操作系统 * 基础设施即代码/GitOps（例如基于Git仓库的Argo CD或Terraform）。风险：具有已知（或未知）漏洞的组件可能会长时间存在并被利用，即使补丁已可用。对过时依赖项自动创建的PR进行自动合并。一个好的做法是在经过像一周这样的宽限期后，再合并可信赖的依赖项（例如Spring Boot）。通常，补丁、修复和小更新会自动合并。请注意，自动合并需要高自动化测试覆盖率。在宽限期后强制合并拉取请求。风险：运行中的工件漏洞可能存在太久，并可能被利用。基础镜像是预构建镜像，用作构建新镜像或容器的起点。这些基础镜像通常包括操作系统、必要的依赖项、库以及运行特定应用程序或服务所需的其他组件。自定义基础镜像的夜间构建是指一个自动化过程，该过程每天或按计划进行，通常在夜间或非高峰时段，用于创建自定义基础镜像的更新版本。风险：运行中的容器中的漏洞存在时间过长，可能被利用。无发行版镜像是最小化的、精简的基础镜像，仅包含运行您的应用所需的必要组件。它们不包括包管理器、shell 或其他常见于标准 Linux 发行版的工具。使用无发行版镜像可以帮助减少攻击面和容器镜像的总体大小。风险：组件、依赖项、文件或文件访问权限可能存在漏洞，但其实并不需要。Docker 容器的最大生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像及第三方镜像版本。风险：运行容器的镜像中的漏洞存在时间过长，可能被利用。长时间运行的容器可能存在内存泄漏。受损的容器可能通过重启容器被终止（例如，如果攻击者尚未达到持久化层）。对过时依赖项自动创建的 PR 的自动合并。风险：即使自动化依赖的 PR 被合并，它们也可能未被部署。这会导致运行中的工件存在漏洞的时间过长，并可能被利用。Docker 容器的最长生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：正在运行的容器中的漏洞存在时间过长，可能会被利用。标准：已为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？

为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？风险：正在运行的制品中的漏洞可能存在很长时间，并可能被利用。需要快速修补第三方组件。DevOps 的做法是为新组件创建自动拉取请求。这包括 * 应用程序 * 虚拟化操作系统组件（例如容器镜像）* 操作系统 * 基础设施即代码/GitOps（例如基于Git仓库的Argo CD或Terraform）。风险：具有已知（或未知）漏洞的组件可能会长时间存在并被利用，即使补丁已可用。对过时依赖项自动创建的PR进行自动合并。一个好的做法是在经过像一周这样的宽限期后，再合并可信赖的依赖项（例如Spring Boot）。通常，补丁、修复和小更新会自动合并。请注意，自动合并需要较高的自动化测试覆盖率。在宽限期后强制合并拉取请求。风险：运行中的工件中的漏洞存在时间过长，可能被利用。基础镜像是一个预构建的镜像，用作构建新镜像或容器的起点。这些基础镜像通常包括操作系统、必要的依赖项、库以及运行特定应用程序或服务所需的其他组件。自定义基础镜像的夜间构建是指一个自动化过程，该过程每天或按计划进行，通常在夜间或非高峰时段，用于创建自定义基础镜像的更新版本。风险：运行中的容器中的漏洞存在时间过长，可能被利用。无发行版镜像是最小化的、精简的基础镜像，仅包含运行您的应用所需的必要组件。它们不包括包管理器、shell 或其他常见于标准 Linux 发行版的工具。使用无发行版镜像可以帮助减少攻击面和容器镜像的总体大小。风险：组件、依赖项、文件或文件访问权限可能存在漏洞，但其实并不需要。Docker 容器的最大生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：运行容器的镜像中的漏洞存在时间过长，可能被利用。长时间运行的容器存在潜在的内存泄漏。受损的容器可能通过重启容器被终止（例如，如果攻击者尚未达到持久化层）。对过时依赖自动创建的 PR 进行自动合并。风险：即使自动化依赖的 PR 被合并，它们也可能未被部署。这会导致运行中的工件存在漏洞的时间过长，并可能被利用。Docker 容器的最长生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：正在运行的容器中的漏洞存在时间过长，可能被利用。标准：需要快速修补第三方组件。DevOps 的方式是为新组件创建自动拉取请求。这包括 *应用程序* 虚拟化操作系统组件（例如容器镜像）*操作系统* 基础设施即代码/GitOps（例如基于 Git 仓库的 ArgoCD 或 Terraform）

为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？风险：正在运行的制品中的漏洞可能存在很长时间，并可能被利用。需要快速修补第三方组件。DevOps 的做法是为新组件创建自动拉取请求。这包括 * 应用程序 * 虚拟化操作系统组件（例如容器镜像）* 操作系统 * 基础设施即代码/GitOps（例如基于Git仓库的Argo CD或Terraform）。风险：具有已知（或未知）漏洞的组件可能会长时间存在并被利用，即使补丁已可用。对过时依赖项自动创建的PR进行自动合并。一个好的做法是在经过像一周这样的宽限期后，再合并可信赖的依赖项（例如Spring Boot）。通常，补丁、修复和小更新会自动合并。请注意，自动合并需要较高的自动化测试覆盖率。在宽限期后强制合并拉取请求。风险：运行中的工件中的漏洞存在时间过长，可能被利用。基础镜像是一个预构建的镜像，用作构建新镜像或容器的起点。这些基础镜像通常包括操作系统、必要的依赖项、库以及运行特定应用程序或服务所需的其他组件。自定义基础镜像的夜间构建是指一个自动化过程，该过程每天或按计划进行，通常在夜间或非高峰时段，用于创建自定义基础镜像的更新版本。风险：运行中的容器中的漏洞存在时间过长，可能被利用。Distroless 镜像是最小化、精简的基础镜像，仅包含运行您的应用所需的必要组件。它们不包括包管理器、shell 或其他常见于标准 Linux 发行版的工具。使用无发行版镜像可以帮助减少攻击面和容器镜像的总体大小。风险：组件、依赖项、文件或文件访问权限可能存在漏洞，但其实并不需要。Docker 容器的最大生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：运行容器的镜像中的漏洞存在时间过长，可能被利用。长时间运行的容器可能存在内存泄漏。受损的容器可能通过重启容器被终止（例如，如果攻击者尚未到达持久层）。对过时依赖项自动创建的 PR 的自动合并。风险：即使自动化依赖的 PR 被合并，它们也可能未被部署。这会导致运行中的工件存在漏洞的时间过长，并可能被利用。Docker 容器的最长生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像及第三方镜像版本。风险：正在运行的容器中的漏洞存在时间过长，可能会被利用。标准：一个好的做法是在宽限期（例如一周）之后合并可信赖的依赖（例如 Spring Boot）。通常，补丁、修复和小版本更新会被自动合并。请注意，自动合并需要高覆盖率的自动化测试。在宽限期之后强制合并拉取请求。

为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？风险：正在运行的制品中的漏洞可能存在较长时间，并可能被利用。需要快速修补第三方组件。DevOps 的做法是为新组件创建自动拉取请求。这包括 * 应用程序 * 虚拟化操作系统组件（例如容器镜像）* 操作系统 * 基础设施即代码/GitOps（例如基于Git仓库的Argo CD或Terraform）。风险：具有已知（或未知）漏洞的组件可能会长时间存在并被利用，即使补丁已可用。对过时依赖项自动创建的PR进行自动合并。一个好的做法是在经过像一周这样的宽限期后，再合并可信赖的依赖项（例如Spring Boot）。通常，补丁、修复和小更新会自动合并。请注意，自动合并需要较高的自动化测试覆盖率。在宽限期后强制合并拉取请求。风险：运行中的工件中的漏洞存在时间过长，可能被利用。基础镜像是一个预构建的镜像，用作构建新镜像或容器的起点。这些基础镜像通常包括操作系统、必要的依赖项、库以及运行特定应用程序或服务所需的其他组件。自定义基础镜像的夜间构建是指一个自动化过程，该过程每天或按计划进行，通常在夜间或非高峰时段，用于创建自定义基础镜像的更新版本。风险：运行中的容器中的漏洞存在时间过长，可能被利用。无发行版镜像是最小化的精简基础镜像，仅包含运行应用程序所需的基本组件。它们不包括包管理器、shell 或其他通常在标准 Linux 发行版中存在的工具。使用无发行版镜像可以帮助减少攻击面和容器镜像的总体大小。风险：组件、依赖项、文件或文件访问权限可能存在漏洞，但其实并不需要。Docker 容器的最大生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像及第三方镜像版本。风险：运行容器的镜像中的漏洞存在时间过长，可能被利用。长时间运行的容器可能存在内存泄漏。受损的容器可能通过重启容器被终止（例如，如果攻击者尚未达到持久化层）。对过时依赖项自动创建的 PR 的自动合并。风险：即使自动化依赖的 PR 被合并，它们也可能未被部署。这会导致运行中的工件存在漏洞的时间过长，并可能被利用。Docker 容器的最长生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：运行中的容器中的漏洞存在时间过长，可能会被利用。标准：自定义基础镜像至少每晚构建一次。如果基础镜像中的软件包（例如 *centos*）发生变化，构建服务器会触发依赖镜像的构建。

为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？风险：正在运行的制品中的漏洞可能存在较长时间，并可能被利用。需要快速为第三方组件打补丁。DevOps 的方式是为新组件创建自动拉取请求。这包括 * 应用程序 * 虚拟化操作系统组件（例如容器镜像）* 操作系统 * 基础设施即代码/GitOps（例如基于Git仓库的Argo CD或Terraform）。风险：具有已知（或未知）漏洞的组件可能会长时间存在并被利用，即使补丁已可用。对过时依赖项自动创建的PR进行自动合并。一个好的做法是在经过像一周这样的宽限期后，再合并可信赖的依赖项（例如Spring Boot）。通常，补丁、修复和小更新会自动合并。请注意，自动合并需要较高的自动化测试覆盖率。在宽限期后强制合并拉取请求。风险：运行中的工件中的漏洞存在时间过长，可能被利用。基础镜像是一个预构建的镜像，用作构建新镜像或容器的起点。这些基础镜像通常包括操作系统、必要的依赖项、库以及运行特定应用程序或服务所需的其他组件。自定义基础镜像的夜间构建是指一个自动化过程，该过程每天或按计划进行，通常在夜间或非高峰时段，用于创建自定义基础镜像的更新版本。风险：运行中的容器中的漏洞存在时间过长，可能被利用。无发行版镜像是最小化的、精简的基础镜像，仅包含运行您的应用所需的必要组件。它们不包括包管理器、shell 或其他常见于标准 Linux 发行版的工具。使用无发行版镜像可以帮助减少攻击面和容器镜像的总体大小。风险：组件、依赖项、文件或文件访问权限可能存在漏洞，但其实并不需要。Docker 容器的最大生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：运行容器的镜像中的漏洞存在时间过长，可能被利用。长时间运行的容器可能存在内存泄漏。受损的容器可能通过重启容器被终止（例如，如果攻击者尚未达到持久化层）。对过时依赖项自动创建的 PR 的自动合并。风险：即使自动化依赖的 PR 被合并，它们也可能未被部署。这会导致运行中的工件存在漏洞的时间过长，并可能被利用。Docker 容器的最长生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像及第三方镜像版本。风险：运行中的容器漏洞存在时间过长，可能被利用。标准：删除不需要的组件、依赖项、文件或文件访问权限。对于容器镜像，建议使用无发行版（distroless）镜像。

为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？风险：正在运行的制品中的漏洞可能存在很长时间，并可能被利用。需要快速修补第三方组件。DevOps 的做法是为新组件创建自动拉取请求。这包括 * 应用程序 * 虚拟化操作系统组件（例如容器镜像）* 操作系统 * 基础设施即代码/GitOps（例如基于Git仓库的Argo CD或Terraform）。风险：具有已知（或未知）漏洞的组件可能会长时间存在并被利用，即使补丁已可用。对过时依赖项自动创建的PR进行自动合并。一个好的做法是在经过像一周这样的宽限期后，再合并可信赖的依赖项（例如Spring Boot）。通常，补丁、修复和小更新会自动合并。请注意，自动合并需要较高的自动化测试覆盖率。在宽限期后强制合并拉取请求。风险：运行中的工件中的漏洞存在时间过长，可能被利用。基础镜像是一个预构建的镜像，用作构建新镜像或容器的起点。这些基础镜像通常包括操作系统、必要的依赖项、库以及运行特定应用程序或服务所需的其他组件。自定义基础镜像的夜间构建是指一个自动化过程，该过程每天或按计划进行，通常在夜间或非高峰时段，用于创建自定义基础镜像的更新版本。风险：运行中的容器中的漏洞存在时间过长，可能被利用。无发行版镜像是最小化的、精简的基础镜像，仅包含运行您的应用所需的必要组件。它们不包括包管理器、shell 或其他常见于标准 Linux 发行版的工具。使用无发行版镜像可以帮助减少攻击面和容器镜像的总体大小。风险：组件、依赖项、文件或文件访问权限可能存在漏洞，但其实并不需要。Docker 容器的最大生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：运行容器的镜像中的漏洞存在时间过长，可能被利用。长时间运行的容器可能存在内存泄漏。受损的容器可能通过重启容器被终止（例如，如果攻击者尚未达到持久化层）。对过时依赖项自动创建的 PR 的自动合并。风险：即使自动化依赖的 PR 被合并，它们也可能未被部署。这会导致运行中的工件存在漏洞的时间过长，并可能被利用。Docker 容器的最长生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像及第三方镜像版本。风险：正在运行的容器中的漏洞存在时间过长，可能被利用。标准：定义了镜像的最大使用寿命，例如 30 天。基于每晚构建的镜像的项目镜像，在定义的使用寿命内至少部署一次。第三方镜像在定义的使用寿命内至少部署一次。

为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？风险：正在运行的制品中的漏洞可能存在很长时间，并可能被利用。需要快速修补第三方组件。DevOps 的做法是为新组件创建自动拉取请求。这包括 * 应用程序 * 虚拟化操作系统组件（例如容器镜像）* 操作系统 * 基础设施即代码/GitOps（例如基于Git仓库的Argo CD或Terraform）。风险：具有已知（或未知）漏洞的组件可能会长时间存在并被利用，即使补丁已可用。对过时依赖项自动创建的PR进行自动合并。一个好的做法是在经过像一周这样的宽限期后，再合并可信赖的依赖项（例如Spring Boot）。通常，补丁、修复和小更新会自动合并。请注意，自动合并需要较高的自动化测试覆盖率。在宽限期后强制合并拉取请求。风险：运行中的工件中的漏洞存在时间过长，可能被利用。基础镜像是一个预构建的镜像，用作构建新镜像或容器的起点。这些基础镜像通常包括操作系统、必要的依赖项、库以及运行特定应用程序或服务所需的其他组件。自定义基础镜像的夜间构建是指一个自动化过程，该过程每天或按计划进行，通常在夜间或非高峰时段，用于创建自定义基础镜像的更新版本。风险：运行中的容器中的漏洞存在时间过长，可能被利用。无发行版镜像是最小化的、精简的基础镜像，仅包含运行您的应用所需的必要组件。它们不包括包管理器、shell 或其他常见于标准 Linux 发行版的工具。使用无发行版镜像可以帮助减少攻击面和容器镜像的总体大小。风险：组件、依赖项、文件或文件访问权限可能存在漏洞，但其实并不需要。Docker 容器的最大生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：运行容器的镜像中的漏洞存在时间过长，可能被利用。长时间运行的容器可能存在内存泄漏。受损的容器可能通过重启容器被终止（例如，如果攻击者尚未达到持久化层）。对过时依赖项自动创建的 PR 的自动合并。风险：即使自动化依赖的 PR 被合并，它们也可能未被部署。这会导致运行中的工件存在漏洞的时间过长，并可能被利用。Docker 容器的最长生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像及第三方镜像版本。风险：正在运行的容器中的漏洞存在时间过长，可能会被利用。标准：在合并自动化依赖 PR 后，需要进行自动部署。

为所有制品（例如镜像）定义了补丁策略。镜像多久重建一次？风险：正在运行的制品中的漏洞可能存在很长时间，并可能被利用。需要快速修补第三方组件。DevOps 的做法是为新组件创建自动拉取请求。这包括 * 应用程序 * 虚拟化操作系统组件（例如容器镜像）* 操作系统 * 基础设施即代码/GitOps（例如基于Git仓库的Argo CD或Terraform）。风险：具有已知（或未知）漏洞的组件可能会长时间存在并被利用，即使补丁已可用。对过时依赖项自动创建的PR进行自动合并。一个好的做法是在经过像一周这样的宽限期后，再合并可信赖的依赖项（例如Spring Boot）。通常，补丁、修复和小更新会自动合并。请注意，自动合并需要较高的自动化测试覆盖率。在宽限期后强制合并拉取请求。风险：运行中的工件中的漏洞存在时间过长，可能被利用。基础镜像是一个预构建的镜像，用作构建新镜像或容器的起点。这些基础镜像通常包括操作系统、必要的依赖项、库以及运行特定应用程序或服务所需的其他组件。自定义基础镜像的夜间构建是指一个自动化过程，该过程每天或按计划进行，通常在夜间或非高峰时段，用于创建自定义基础镜像的更新版本。风险：运行中的容器中的漏洞存在时间过长，可能被利用。无发行版镜像是最小化的、精简的基础镜像，仅包含运行您的应用所需的必要组件。它们不包括包管理器、shell 或其他常见于标准 Linux 发行版的工具。使用无发行版镜像可以帮助减少攻击面和容器镜像的总体大小。风险：组件、依赖项、文件或文件访问权限可能存在漏洞，但其实并不需要。Docker 容器的最大生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：运行容器的镜像中的漏洞存在时间过长，可能被利用。长时间运行的容器可能存在内存泄漏。受损的容器可能通过重启容器被终止（例如，如果攻击者尚未到达持久层）。对过时依赖项自动创建的 PR 的自动合并。风险：即使自动化依赖的 PR 被合并，它们也可能未被部署。这会导致运行中的工件存在漏洞的时间过长，并可能被利用。Docker 容器的最长生命周期是指容器在被认为过时、陈旧或不安全之前允许运行的时间。Docker 容器没有固定的、普遍适用的最大生命周期，这取决于具体的使用案例、应用需求和安全需求。作为最佳实践，必须为容器定义一个合理的最大生命周期，以确保你始终部署最新的、已修补和安全的自定义基础镜像和第三方镜像版本。风险：正在运行的容器中的漏洞存在时间过长，可能会被利用。标准：一个好的做法是每天甚至在新组件（例如软件包）可用于镜像时及时进行构建和部署。