La ricreazione è finita
Open DevSecOps
Milano, 22 Maggio 2019
Carlo Baffè
Country Sales Director
SUSE Italia

2
Storia recente: come siamo arrivati qui
Trasformazione
digitale!
Rilasci super
frequenti
Stessa qualità e
affidabilità di prima
Scalabilità e
portabilità illimitata
approccio
architettura
DevOps
Microservizi
Infrastruttura
applicativa
Container
(tantissimi!)
Infrastruttura
Multi-cloud
is the new
normal
Sicurezza?

3
Digitale  sicurezza (IT) è imprescindibile
La ricreazione è finita, occorre occuparsene, è non è banale
• La fonte delle immagini di base chi la controlla?
• Chi può accedere al registro delle immagini pronte?
• Se c’è uns vulnerabilità sul container host (Linux) o sul
container runtime (runC) o sul container engine (docker,
CRI-O) o sull’orchestratore … chi mi fornisce rapidamente
la patch?
• Come controllo il dialogo in rete fra i container in
esecuzione?
• Quale Kubernetes?

4
OPEN Dev SEC OPS
---> SUSE CaaS Platform
14
It’s a crowded market
SUSE CaaS what? SUSE who?
59 certified K8s offerings
• 37 distributions
• 21 hosted platforms
• 8 installers
14

5
SUSE CaaSP = K8s sicuro, facile e supportato…
…da un player Open Source affidabile (da 26 anni)
Oggi ci
concentreremo su
alcuni aspetti di
sicurezza e su
alcuni casi di
clienti in Italia

Image that reinforces
the idea of DNA
SUSE identity

7
SUSE headquarter since 1992
7

8
To provide and support enterprise-grade open source
solutions, from software-defined infrastructure to
application delivery platforms, with exceptional
service, value and flexibility.
With partners and communities, we innovate, adapt
and deliver secure open source technologies to create
solutions for mixed enterprise IT environments.
14
Our Mission, Our Strategy

9
• Collaboration and partnership
• Optimized and open
• Build best-of-breed solution stacks
• Customer driven
SUSE. The Open, Open Source Vendor

10

11
SUSE Delivers
from Edge to Core to Cloud

12
SUSE Application Delivery Solutions
SUSE CaaS Platform
Container Management
SUSE Cloud Application Platform
Platform as a Service
Kubernetes for the Agile Enterprise Advanced Cloud Native Developer Experience
Accelerate development and deployment of containerized applications
to speed application delivery and increase business agility
Illustration Illustration
Best Kubernetes operator experience Proven productivity for Kubernetes

1313
SUSE CaaS Platform
alcuni aspetti di sicurezza essenziali

14
Arrivano in massa e li combattiamo per voi

15
SUSE CaaS Platform simplifies and extends Kubernetes
Container management for the enterprise
Applications
Application Lifecycle Management
Kubernetes
Datacenter Integration
Container Execution
Enterprise Hardening
SUSE CaaS Platform
Security
Management
15

16
Non prendete caramelle dagli sconosciuti!
Le immagini dei container
registry.SUSE.com
myPrivateRegistry
<anyOtherHub>
Role
Based
Access
Control

17

18
Criticità del colloquio di rete fra i microservizi
numerosi container in
esecuzione la cui vita è fra
pochi secondi e pochi giorni.
Come faccio a basare la
sicurezza di rete solo su
ip_addr o port? (e i protocolli
http-based come REST
necessitano di (ip_addr, port)

19
Cilium è il plugin CNI in SUSE CaaSP
Basato su BPF (Linux kernel)
Protocolli (L7, non solo L3/4)
Identità dei servizi (K8s label)
Zero trust
No degrado prestazionale

20
Cosa bolle in pentola…
La velocità dei container + la sicurezza delle macchine virtuali

2121
(… bello…ma l’ha già fatto qualcuno?)
Storie di successo in Italia

22

23
Multinazionale leader ambito energia
Digitalizzazione del business
non core (nuove applicazioni)
Imparare DevOps
Sicurezza non è opzionale
SUSE CaaSP, on-premise
+ reputazione SUSE
+ facile da gestire
+ sicurezza come aspetto
normale del prodotto e del
supporto (rete, immagini,
host, K8s)

24
Catena di negozi di elettronica di consumo
Filiale italiana
70 applicazioni (Java) critiche
per il business (negozi)
Gestione automatica picchi
DevOps e microservizi per
potere rilasciare
frequentemente
 quale Kubernetes?
SUSE CaaSP on-premise
+ sicurezza
+ semplicità
+ reputazione SUSE

2525
conclusioni

26
Cosa abbiamo imparato nel mondo reale
I container possono essere anche più sicuri delle applicazioni tradizionali
• Sicurezza dentro a DevOps è possibile
• Più semplice farla integrata che sistemare le cose dopo
• Farla assieme riduce effetti degli errori umani
• Fissare i bug con il roll-back/forward di un microservizio è più
semplice del patching
• Sicurezza granulare sul microservizio riduce rischi di
attacchi laterali

27
Open DevSecOps … si può fare!

28
Q&A

Grazie!
carlo.baffe@suse.com
+39 335 1435579

3030
Unpublished Work of SUSE LLC. All Rights Reserved.
This work is an unpublished work and contains confidential, proprietary and trade secret information of SUSE LLC.
Access to this work is restricted to SUSE employees who have a need to know to perform tasks within the scope of their
assignments. No part of this work may be practiced, performed, copied, distributed, revised, modified, translated,
abridged, condensed, expanded, collected, or adapted without the prior written consent of SUSE.
Any use or exploitation of this work without authorization could subject the perpetrator to criminal and civil liability.
General Disclaimer
This document is not to be construed as a promise by any participating company to develop, deliver, or market a
product. It is not a commitment to deliver any material, code, or functionality, and should not be relied upon in making
purchasing decisions. SUSE makes no representations or warranties with respect to the contents of this document, and
specifically disclaims any express or implied warranties of merchantability or fitness for any particular purpose. The
development, release, and timing of features or functionality described for SUSE products remains at the sole discretion
of SUSE. Further, SUSE reserves the right to revise this document and to make changes to its content, at any time,
without obligation to notify any person or entity of such revisions or changes. All SUSE marks referenced in this
presentation are trademarks or registered trademarks of Novell, Inc. in the United States and other countries. All third-
party trademarks are the property of their respective owners.