Palestra Principal: O que Aprendemos Dissecando os Contêineres Mais Populares do Mundo - Ayse Kaya

[0:00] Você já se sentiu infinitamente pequeno. diante de algo vasto e complicado. Como... o céu da meia-noite. Desde que eu era uma menina, fui fascinada por complexidade. especialmente como a complexidade emerge de começos simples e humildes. de partículas elementares a galáxias. E como pesquisadora no MIT focada em tecnologias emergentes, eu fiquei fascinada.

[0:34] cativada por pesquisas como as de Stephen Wolfram e o Jogo da Vida de John Conway. Ligando. Os sistemas computacionais se encaixam no mundo biológico. com a própria vida. Afinal, o que poderia ser mais complexo? do que os sistemas biológicos. Certo? Exceto talvez o Kubernetes. Se o Kubernetes é o organismo, então os contêineres são as células. E talvez isso leve a analogia um pouco longe demais, mas sabemos que os contêineres estão sendo usados o tempo todo, em todos os lugares.

[1:17] Em quase todos os projetos de desenvolvimento de software, em todos os setores. Viu? Eu não sou engenheira DevOps. Eu sou cientista de dados. trabalhando para uma startup chamada Slim.ai. Na Slim, somos obcecados por otimização e segurança de contêineres. E escaneamos centenas de milhares de contêineres regularmente. Somente este ano, escaneamos mais de 900,000 contêineres.

[1:50] E como cientista de dados, trabalhando com esses dados, eu gostaria de proporcionar a vocês uma janela para o mundo dos contêineres. Como os desenvolvedores o experimentam, muitas vezes pela primeira vez. Eu gostaria que expandíssemos nossos sentidos sobre este mundo. Eu gostaria que olhássemos para alguns dados que mudam a perspectiva sobre este mundo. Tomemos, por exemplo, o 60%.

[2:23] Essa é. a porcentagem dos principais contêineres disponíveis publicamente que têm mais vulnerabilidades neles hoje do que tinham há um ano. 60%. E isso depois de um ano de foco intenso na segurança da cadeia de suprimentos de software. após múltiplos incidentes de segurança. Obrigada. O restante dos contêineres não melhorou muito, e falaremos sobre isso em um momento.

[2:56] Mas antes, vamos combinar essa percepção com esta outra estatística aqui. Esta aqui. é de um estudo global randomizado que projetamos, fazendo perguntas a desenvolvedores e engenheiros de DevOps. 70% disseram que seus clientes estão pedindo, exigindo que seus contêineres tenham Zero vulnerabilidade. Além disso, 88% dos desenvolvedores disseram que está ficando mais desafiador remover as vulnerabilidades de seus contêineres.

[3:34] O fator número um contribuinte sendo a complexidade. inúmeros componentes com dependências. eles. Então, como vocês podem ver, há uma história se desenrolando diante dos nossos olhos. Os contêineres estão se tornando mais vulneráveis. Os clientes estão exigindo perfeição mais do que nunca. e os desenvolvedores estão sentindo a pressão. E embora os desenvolvedores estejam no calor da batalha, há uma maré crescente inegável.

[4:08] Quando se trata dos interesses dos desenvolvedores. em Kubernetes e contêineres. e na adoção de contêineres por empresas grandes e pequenas. Na verdade, os desenvolvedores estão começando a ver uma tecnologia como o Docker como nativa de seus fluxos de trabalho, como uma ferramenta como o Git ou uma IDE. De acordo com a Pesquisa de Desenvolvedores 2022 do Stack Overflow, "Dakar" é a tecnologia número um que os desenvolvedores amam?

[4:42] e querem aprender. E você pode ver isso nas estatísticas de uso também. As pools de todos os tempos no Docker Hub triplicaram em apenas um ano. Mas embora existam muitos tutoriais por aí, para aprender sobre envio e construção de contêineres. Há muito pouco entendimento sobre o que há neles. Como eu mesmo. Os contêineres estão sendo vistos como essas unidades atômicas. blocos de construção de organismos vivos.

[5:15] onde as requisições entram. Os dados saem. É simples assim. Mas então... Algo como log4shell acontece. E antes que percebamos, 2022, se torna o ano da segurança da cadeia de suprimentos de software. E todos nós estamos mais investidos em entender não apenas os componentes principais dos nossos sistemas de software, mas também seus efeitos de segunda ordem.

[5:48] suas árvores de dependências. Então, como essa renovada sensação de conscientização mudou o cenário dos contêineres. Minha equipe de pesquisa. É a Slim.ai. tem desconstruído, analisado, observado contêineres em um esforço para entender o que torna esses contêineres amigáveis para desenvolvedores e prontos para produção. No ano passado, mais ou menos nesta época, colocamos uma lente de aumento nos principais contêineres disponíveis publicamente no Docker Hub.

[6:23] e publicamos o relatório com insights analíticos. Tivemos algumas descobertas chocantes nesse relatório, e não vou listar todas. Mas vou te dizer isto. Como entusiastas de contêineres, esperávamos ver alguns outliers. Certos contêineres, certas categorias de contêineres, tendo um grande número de vulnerabilidades, pacotes, bibliotecas, licenças, permissões especiais, o que for. Mas até as médias eram surpreendentemente altas.

[6:57] E uma coisa a notar sobre esses contêineres é que, sim, há 10 milhões de imagens no Docker Hub, com mais de 318 bilhões de pools. Mas esses 165 contêineres principais respondem por mais de 30% de todo o uso, então é um cluster muito especial. Então hoje, publicamos uma sequência desse relatório. Desta vez, focando no delta entre o ano passado e este ano.

[7:31] Então vamos em frente e olhar os dados e algumas de nossas descobertas de aprendizado. A primeira descoberta é que temos mais vulnerabilidades altas e críticas do que nunca em todas as categorias. Agora, eu já mencionei que 60% dos contêineres têm mais vulnerabilidades hoje. do que tinham um ano atrás. E sim, remediamos certas vulnerabilidades, certos incidentes. Mas estamos detectando novos incidentes quatro vezes mais rápido.

[8:03] do que nossa taxa de remediação. E os novos, os novos incidentes que detectamos, são principalmente vulnerabilidades altas e críticas. mas as vulnerabilidades de alta severidade aumentaram em 50%. este ano. Então hoje, o contêiner médio tem quase 300 vulnerabilidades, 30% do Fitch são altas ou críticas. acima de 20% no ano passado.

[8:35] E V pensou, 20% era muito alto. Vamos passar para a próxima descoberta. A complexidade dos componentes também aumentou significativamente. O contêiner médio hoje tem 400 pacotes. E se você pensar bem, "Esse número deve ser a ponta do iceberg. Cada pacote pode ter milhares, às vezes centenas de milhares de dependências, como mostrado por múltiplos estudos.

[9:06] Mas acontece que até a ponta do iceberg é um belo trabalho. E não são apenas os pacotes. As licenças aumentaram em 2.5x, os contêineres têm mais camadas, são maiores, a varredura desses contêineres leva mais tempo e até os metadados. Eles são bombas-S. aumentaram em 40%. Agora, não me entenda mal.

[9:38] Essas ferramentas, esses pacotes são necessários para experimentação. Ajuda os desenvolvedores a depurar e testar e construir e se divertir. mas eles também representam uma superfície de ataque. e implicam a necessidade de ter um processo automatizado para remover isso, para que essa superfície de ataque nunca chegue à produção. Dados são dados. Mas qual é o impacto nas nossas pessoas?

[10:10] Como esse cenário mais complexo e mais vulnerável impacta nossos engenheiros de DevOps e desenvolvedores. Mencionei que 88% disseram que acham mais desafiador remover as vulnerabilidades. Apenas um. em quatro desenvolvedores. disseram que entendem completamente como funciona o emagrecimento e endurecimento de contêineres. E, curiosamente, parece haver um descompasso, uma desconexão entre executivos e engenheiros da linha de frente.

[10:47] 49% dos executivos disseram que estão emagrecendo e endurecendo contêineres em suas empresas. mas as pessoas que fazem o trabalho de verdade. estão relatando números significativamente menores. Governos e empresas podem estar exigindo um mundo com zero vulnerabilidades. Mas essa terra, parece fora de alcance.

[11:18] dadas as nossas ferramentas e técnicas. A conclusão sóbria é que não estamos mais seguros hoje do que estávamos em 2021. O lado positivo, no entanto, é que acordamos. E estamos mais conscientes desses desafios do que nunca. Para nós da Slim, acreditamos que você deve saber o que está dentro do seu contêiner. e você deve enviar apenas o que é necessário para produção. Estamos buscando resolver esse desafio para todos os contêineres do mundo por meio de automação e otimização inteligente.

[11:54] E olha. Eu não acho que a complexidade seja o inimigo aqui. A ignorância. Há momentos em que precisamos dar um passo atrás e apreciar a beleza poética dos sistemas complexos ao nosso redor. Há outros momentos em que precisamos entrar sem medo e desconstruir e redesenhar. Eu sei.

[12:26] que temos que resolver a inteligência de decisão. a força de vontade para resolver esses problemas. E a maioria dos tomadores de decisão está na minha frente. Nesta sala. Meus amigos dizem que sou um otimista incurável. Mas não é por isso que acho que o futuro é brilhante. Eu sei que há equipes implacáveis, brilhantes e competentes ao redor do mundo que estão perdendo o sono pensando nesses problemas.

[12:58] Tantas equipes. que eu não consegui nem encaixar. os nomes que aproveitamos só para este projeto no meu cartão de agradecimento aqui. E como humanos, quando nos reunimos, como fizemos neste local fabuloso Quando juntamos nossos corações e mentes, Podemos fazer até derrotas ridiculamente difíceis Lupeze. E é por isso que sei que quando estiver neste palco da próxima vez, estarei trazendo.

[13:30] Notícias melhores. Obrigado. ♪ ♪