Transcript
Kai Ole Hartwig: Wir kommen zurück zu einer wunderbaren neuen Folge.
Kai Ole Hartwig: secrets not included mit daniel
Kai Ole Hartwig: Und?
Kai Ole Hartwig: Hola! Und in dieser Woche...
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Ich möchte mich Daniel überzeugen, dass öffentliche Images besser sind als...
Kai Ole Hartwig: Images ohne bekannter Sicherheitslücken.
Kai Ole Hartwig: Glaube ich.
Kai Ole Hartwig: Hatte ich gerade so verstanden.
Daniel Langemann: Ich will dich überzeugen.
Kai Ole Hartwig: Ja.
Daniel Langemann: Na, dann ist ja schon zu spät, wenn ich dich überzeugen müsste, dass das gut ist.
Kai Ole Hartwig: Dass ich die mit den CWIs nutze, dachte ich.
Daniel Langemann: Ja, genau. No risk, no fun, oder wie war das?
Kai Ole Hartwig: Also okay.
Daniel Langemann: Ja.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Bin ich bei.
Daniel Langemann: Nee.
Kai Ole Hartwig: Äh.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Wir haben ja sehr viel über Security und solche Sachen gesprochen in den letzten Folgen und worauf man nicht achten muss und dass alles so toll ist, wenn man sich daran hält.
Daniel Langemann: Um.
Daniel Langemann: Jetzt waren wir der Meinung, wir erzählen einfach mal ein bisschen so den Weg, wie man da hinkommt. Also wirklich, wie das technisch aussieht, wie man was machen kann.
Daniel Langemann: Und gerade weil Ode jetzt auch in letzter Zeit zumindest mir ein paar Links geschickt hat, das ist ja immer so Zero CVE.
Daniel Langemann: Container hat und angegeben hat.
Daniel Langemann: Finde ich...
Daniel Langemann: Finde ich das einen guten Punkt, wo man sagen kann...
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Zeig einfach mal, also nicht zeig mal, sondern erklär mal.
Daniel Langemann: Vielen Dank.
Daniel Langemann: Um.
Daniel Langemann: Ich glaube, viele können sich das gar nicht darunter vorstellen.
Daniel Langemann: Also nicht viel darunter vorstellen, denken, das ist hochkomplex oder irgendwie super schwer.
Daniel Langemann: Und...
Daniel Langemann: Genau das ist es ja eigentlich nicht.
Kai Ole Hartwig: Findest du?
Kai Ole Hartwig: Also das Nutzen von Images, die keine Sicherheitslücken haben, ist genauso wie die mit Sicherheitslücken.
Daniel Langemann: Ja, das auch, aber wie ist der Weg dahin? Zum Beispiel hast du gerade auch in der Vorbereitung noch gesagt,
Daniel Langemann: Du hast ein Tool und...
Daniel Langemann: oder eine Bibliothek, die bringt irgendwelche CVIs mit und das nervt dich, dass die so hoch sind.
Kai Ole Hartwig: Naja, genau. Also ich...
Daniel Langemann: Die meisten...
Daniel Langemann: Ich setze mich an den Rechner, mache dann NPM Audit oder Composer Audit oder sowas und wissen dann vielleicht, was da für ein paar Abhängigkeiten drin sind. Und dann hört das ja auf.
Daniel Langemann: Und ich unterstelle dir mal, dass dein Setup viel...
Daniel Langemann: weitergeht und
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Deswegen...
Kai Ole Hartwig: habe ich so geschmunzelt wegen dem...
Kai Ole Hartwig: eigentlich ein einfacher Weg, weil ich glaube, das ist kein einfacher Weg.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Der Weg hat zugegebenerweise...
Kai Ole Hartwig: Etwas.
Kai Ole Hartwig: Mehr Komplexität mit dabei.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Aber fangen wir mit den einfachen Dingen an, die, glaube ich, jeder...
Kai Ole Hartwig: haben kann und die man sich auch einfach gut vorstellen kann.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Wo kommen denn so Sicherheitslücken her? Also wir haben einmal die Images.
Kai Ole Hartwig: Und da ist ja jede Menge Zeugs drin. So ein Image für einen Container.
Kai Ole Hartwig: Das ist ja nichts anderes als eine große...
Kai Ole Hartwig: nette Kiste, wo man alles mal reingeschmissen hat. Also so sieht es bei den meisten ja aus.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Und dann kann man sich...
Kai Ole Hartwig: Ja, vorstellen, wenn man da so ein Trivi durchjagt, drüber jagt.
Kai Ole Hartwig: Und das...
Kai Ole Hartwig: dann auf der Image -Ebene macht, dann kommen da so ein paar Zahlen raus und die können einem gefallen oder die können einem halt nicht gefallen.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Und ich sage jetzt mal, zwei Zahlen sind dabei immer so ziemlich hässlich, nämlich dann, wenn...
Kai Ole Hartwig: die CWIs irgendwie als critical oder als high eingestuft sind.
Kai Ole Hartwig: Ja, ein Hai kann man noch so sagen. Ja, okay.
Daniel Langemann: Mache ich gleich.
Kai Ole Hartwig: Die sind halt da.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Aber eigentlich möchte man, wenn man ehrlich ist, so alles, was 7 oder höher ist, gar nicht mehr in seinen...
Kai Ole Hartwig: sein System packen.
Daniel Langemann: Vielleicht nochmal einen Schritt zurück.
Daniel Langemann: Also für uns ist das so offensichtlich.
Kai Ole Hartwig: Okay.
Kai Ole Hartwig: Jaja, für uns ist es offensichtlich.
Daniel Langemann: Woher?
Daniel Langemann: Kommt dieser...
Daniel Langemann: Also CVEs...
Daniel Langemann: Es gibt...
Daniel Langemann: Ja, Seiten, wo man nachgucken kann, oder?
Daniel Langemann: Also...
Daniel Langemann: Biersch.
Daniel Langemann: tauschen ja nicht untereinander Zettelchen und schicken uns E -Mails und sagen, da gibt es was Geheimes.
Daniel Langemann: sondern es gibt ja öffentliche Anlaufpunkte, die man...
Daniel Langemann: aufrufen kann, wo
Daniel Langemann: solche Sachen gelistet sind, wo wir drauf gucken, wo man ein Auge drauf hält.
Daniel Langemann: Also Leute, die dafür bezahlt werden, zum Beispiel dafür zu sorgen, dass solche Sachen gar nicht in Produktiv landen oder schnellstmöglich wieder gefixt werden.
Kai Ole Hartwig: Ja, siehst du, ich dachte mir, wir rufen einfach gar nicht die Seite auf, sondern wir schnappen uns Trivi.
Daniel Langemann: Hm?
Kai Ole Hartwig: oder ein ähnliches Tool, das die Security -Scans für uns macht.
Kai Ole Hartwig: Aber natürlich kannst du auch zum Beispiel das Einfachste, was jeder hoffentlich kennt, ist die amerikanische Plattform cve .org.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: So, da kannst du nach deiner Software suchen, die du einsetzt und dann mühsam dir jeder CBI einsend.
Kai Ole Hartwig: rauspicken.
Kai Ole Hartwig: Um.
Kai Ole Hartwig: Und ab.
Kai Ole Hartwig: Ich sage mal...
Kai Ole Hartwig: Ich glaube, es gibt niemand, der manuell da durchliest.
Kai Ole Hartwig: Um...
Kai Ole Hartwig: um mal direkt diese Illusion zu nehmen.
Daniel Langemann: Vielen Dank.
Daniel Langemann: Ja.
Kai Ole Hartwig: Das ist einfach zu viel Zeugs, was da...
Kai Ole Hartwig: reinkommt, jeden
Kai Ole Hartwig: Tag.
Kai Ole Hartwig: Es gibt auch unterschiedliche...
Kai Ole Hartwig: Versionen 2 und 3 und ich glaube 4 wird gerade diskutiert oder so, wie Sicherheitslücken bewertet werden, wie also dieser Score nachher...
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: produziert wird.
Kai Ole Hartwig: wo man dann halt kategorisch...
Kai Ole Hartwig: Risiert.
Kai Ole Hartwig: In...
Kai Ole Hartwig: Um.
Kai Ole Hartwig: Critical High, Medium, Low.
Kai Ole Hartwig: Um.
Kai Ole Hartwig: Und dann kann es auch noch eine CVE geben, die einfach ein Unknown hat.
Kai Ole Hartwig: Sprich die Nummer ist vergeben.
Kai Ole Hartwig: Der Fix ist hoffentlich da.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Aber die Bewertung ist noch nicht abgeschlossen.
Daniel Langemann: Hm.
Kai Ole Hartwig: So, ade, di.
Kai Ole Hartwig: Die Möglichkeiten gibt es irgendwie.
Kai Ole Hartwig: Und...
Kai Ole Hartwig: Dann gibt es halt...
Kai Ole Hartwig: Ganz klassischen Reporting, das fällt da raus.
Kai Ole Hartwig: Und dann kann man halt sagen, ah ja.
Kai Ole Hartwig: Amen.
Kai Ole Hartwig: Jetzt.
Kai Ole Hartwig: habe ich halt...
Kai Ole Hartwig: In...
Kai Ole Hartwig: meinen.
Kai Ole Hartwig: Images, so und so viel, Critical und High und den Rest lassen wir jetzt mal.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Wörter unter den Tisch fallen.
Kai Ole Hartwig: Und mh.
Kai Ole Hartwig: Eigentlich...
Kai Ole Hartwig: möchte man da immer 0 stehen haben.
Kai Ole Hartwig: Aus meiner Perspektive alles andere ist zu hoch.
Kai Ole Hartwig: Hm.
Daniel Langemann: Zumindest immer schnell eine Null da stehen haben.
Kai Ole Hartwig: So.
Daniel Langemann: Also verhindern, dass da mal was reinkommt, kannst du nicht.
Kai Ole Hartwig: Ne, immer.
Daniel Langemann: Weil, nur weil ich da...
Kai Ole Hartwig: Ich möchte immer.
Kai Ole Hartwig: So.
Daniel Langemann: Genau.
Kai Ole Hartwig: Dafür gibt es auch Wege.
Kai Ole Hartwig: Die Mann gehen.
Kai Ole Hartwig: Könnte die...
Kai Ole Hartwig: Und es gibt ja auch Anbieter, die einem entsprechend gehärtete und Zero -CVE -Images
Kai Ole Hartwig: anbieten.
Kai Ole Hartwig: Zero CVE ist aber ehrlicherweise so eine Marketing -Aussage.
Kai Ole Hartwig: Bedeutet das eigentlich, das bedeutet zum einen man hat
Kai Ole Hartwig: die Sichtbarkeit erzeugt auf diese Sicherheitswirken.
Kai Ole Hartwig: an bekannten Fehlern sichtbar haben, können wir irgendwie, damit können wir interagieren, da können wir was...
Kai Ole Hartwig: was machen.
Kai Ole Hartwig: Was wir wissen.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Da kann man mit agieren. Das bedeutet also auch...
Kai Ole Hartwig: Um das mal direkt vorneweg zu sagen, wir scannen nicht einmal beim Bild und danach nie wieder, sondern so.
Kai Ole Hartwig: Regelmäßig.
Kai Ole Hartwig: Ja, im...
Kai Ole Hartwig: Abstand von Zeitraum X und...
Kai Ole Hartwig: x ist dabei unter 24 Stunden.
Kai Ole Hartwig: Oder 24 oder kleiner Stunden.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Ja, nein.
Kai Ole Hartwig: nach Kontext.
Kai Ole Hartwig: Ja, und...
Kai Ole Hartwig: Das bedeutet aber halt auch zum...
Kai Ole Hartwig: Zum Beispiel ist es bei mir ganz klassisch, ich habe da ein Grafana -Dashboard im Übrigen für.
Kai Ole Hartwig: Und da sieht man halt irgendwie über die...
Kai Ole Hartwig: 48 Images, die jetzt gerade so gescannt werden.
Kai Ole Hartwig: Das sieht man halt auch so im Verlauf.
Kai Ole Hartwig: Okay, dann geht das da ein bisschen hoch.
Kai Ole Hartwig: Balken.
Daniel Langemann: Das war da, wo du Urlaub hattest.
Kai Ole Hartwig: Oder die Kurve.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Nee, nee, der Urlaub macht ja gar nichts, sondern so im Tagesverlauf, ja, es kommen CWI -Scouts.
Kai Ole Hartwig: Dann fängt bei mir mein Renovate an zu laufen und so ein bisschen andere Automatisierung. Fängt an, Libraries zu updaten und selber neu zu kompilieren.
Daniel Langemann: Also nochmal kurz zurück, Renovate ist einfach ein Tool, was läuft.
Daniel Langemann: im Hintergrund und sagt oder guckt, ob es eine aktuellere Version zu einer Abhängigkeit gibt. Und das geht mit Docker Containern genauso wie
Kai Ole Hartwig: Mit allem.
Daniel Langemann: Composer oder NPM.
Kai Ole Hartwig: Ja, mit Go -Paketen. Es ist völlig egal. Es hat eine Versionsnummer, also kann man damit was machen.
Daniel Langemann: Ja.
Kai Ole Hartwig: Herzlichen Dank.
Daniel Langemann: Genau, also es hört sich immer so magisch an, aber eigentlich macht das Ding nichts anderes. Wie gibt es ein Update dazu?
Kai Ole Hartwig: Genau, und wenn es ein Update gibt, dann macht das Merge -Request auf in meinem Fall und läuft durch die QS -Pipeline und wenn die grün ist, wird es gemerged.
Daniel Langemann: Hm?
Kai Ole Hartwig: So.
Kai Ole Hartwig: Wenn es nicht grün ist, dann nicht. Dann bekomme ich eine E -Mail.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Und man sollte eine Pipeline da haben, die auch eine Aussagekraft hat.
Daniel Langemann: Also...
Daniel Langemann: Da muss ich mal wieder Werbung machen für uns. Das Thema Pipeline hatten wir auch. Also wir haben eigentlich schon so von Hölzchen auf Stöckchen angefangen. Und wenn du eine vernünftige Pipeline hast mit Tests, mit allem drum und dran, dann kannst du vieles mehr automatisieren. Und dann gerade dann machen Sachen wie Renovate auf einmal richtig viel Sinn.
Kai Ole Hartwig: Ja, natürlich.
Daniel Langemann: weil du ansonsten ja nur Merch -Requests am Reviewen und selber am Merchen bist, wenn du das nicht automatisieren kannst.
Kai Ole Hartwig: Genau.
Kai Ole Hartwig: Bitte.
Kai Ole Hartwig: deployed nicht einfach irgendwie ein Update, das Renovate euch da hinschmeißt von einem Image und geht davon aus, alles ist gut. Renovate kann nicht oder unterscheidet halt nicht, was da drin passiert. Renovate ist einfach nur das Tool, quasi der
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Fancy Cronjob, wenn man so möchte, der da läuft und sagt, hey, ich habe was Neues.
Daniel Langemann: Ja.
Kai Ole Hartwig: Hier, nimm das.
Kai Ole Hartwig: So.
Daniel Langemann: Genau, es gibt was Neues. Viel Spaß damit.
Kai Ole Hartwig: Genau, und dann gibt es ja auch da Unterschiede.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: unterschiedliche Wege, die du konfigurieren kannst, abhängig von der Versionsnummer, die sich ändert, abhängig davon, was du selber haben möchtest, vom Environment und so weiter. Da gibt es eine Million Wege.
Daniel Langemann: Mh.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Du kannst dir auch überlegen...
Kai Ole Hartwig: Jeden Dienstag um 5 Uhr.
Kai Ole Hartwig: bampe ich alles rein an Updates in den Cluster.
Kai Ole Hartwig: oder in meine Images und dann in den Cluster.
Kai Ole Hartwig: Und damit glücklich sein.
Kai Ole Hartwig: Wenn das ein definierter Weg ist, dann ist es okay, das kann Renovate. Renovate kann aber halt auch...
Kai Ole Hartwig: hingehen und jede Stunde einfach...
Kai Ole Hartwig: sagen, okay, hey, schau mal, ich habe hier was Neues, ich spiele es ein.
Kai Ole Hartwig: Oder, ähm...
Kai Ole Hartwig: Hier in dem Dependency Tree gibt es ein Update und da ist eine CVE drauf. Und wenn da eine CVE drauf ist, dann nimmt die Fastlane und wir updaten jetzt diese Dependency überall. Und dann bauen wir die Pakete neu und updaten unsere Images.
Kai Ole Hartwig: scannen und stellen fest, hey, okay, jetzt ist diese Kurve von den CWIs, die wir gefunden haben,
Kai Ole Hartwig: wieder runtergegangen, weil ich kann halt nicht immer sagen, oder ich bekomme nicht für alles immer neue Pakete geliefert aus.
Kai Ole Hartwig: aus den Repos, die da so existieren, dafür.
Kai Ole Hartwig: Sondern ganz häufig, wenn man sagt, man möchte schnell runter von CWIs.
Kai Ole Hartwig: oder bevor der nächste Scan läuft, also quasi gar nicht die Kurve hoch gehabt haben, sondern schon vorher abgebogen sein und zu sagen, ah ja, schau mal, ich scanne nur alle x Stunden meine Images, sondern meine Kurve ist gar nicht nach oben gegangen, ja, ich bin toll.
Kai Ole Hartwig: Das bedeutet nur, man war schon ein Altersgen.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Um.
Kai Ole Hartwig: So baut sich halt die Pakete neu und sagt dann halt...
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Ja cool.
Kai Ole Hartwig: Ich habe jetzt halt dadurch, dass ich weiß, da kommen Sachen.
Kai Ole Hartwig: habe ich halt schnellstmöglich effektiv in meinem gesamten Stack mit einer vernünftigen Build Pipeline in Zeitraum X dafür gesorgt, dass wir diese Sicherheitsblöcke jetzt nicht mehr haben.
Kai Ole Hartwig: Ja, weil vorher hatten wir sie ja. Da kann man sich sehr sicher sein, weil in der Version war es ja drin. Dann haben wir die neue Version.
Kai Ole Hartwig: Bezogen oder neu gebaut.
Kai Ole Hartwig: Von dem Paket, ja, und so ein Krypto -Paket nervt mich gerade ungemein.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: löst halt leider...
Kai Ole Hartwig: Bye.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Bye.
Kai Ole Hartwig: einigen Paketen.
Kai Ole Hartwig: Also.
Kai Ole Hartwig: High Warnings aussahen. So, das heißt, ich habe jetzt hier 13 High drin stehen, die kommen alle aus dem gleichen Paket, dieses Paket.
Kai Ole Hartwig: Neu zu bauen.
Kai Ole Hartwig: Ist aber halt aufwendig. Das bedeutet halt, irgendwann jetzt im Tagesverlauf wird...
Kai Ole Hartwig: Das, was ich hier so laufen habe an...
Kai Ole Hartwig: pipelines dafür gesorgt haben dass ich von diesen 13 runter komme auf
Kai Ole Hartwig: Hoffentlich dann wieder 0.
Kai Ole Hartwig: Das ist zumindest für Highmind.
Kai Ole Hartwig: Ein ausgesprochenes Ziel.
Kai Ole Hartwig: Das bedeutet zum Beispiel auch...
Kai Ole Hartwig: Das Helmchart für Argus CD.
Kai Ole Hartwig: patchen, weil da ist ein Critical drin im Argo CD.
Kai Ole Hartwig: Argos CD ist halt eh...
Kai Ole Hartwig: Wenn man das...
Kai Ole Hartwig: normal bewerten würde.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Amen.
Kai Ole Hartwig: Ähm.
Kai Ole Hartwig: wäre es schwierig, das einfach so einzusetzen. Also das, was du an Community, Helmchart und Image da gerade so bekommst, das Image ist sehr aufwendig neu zu bauen, weil das Paket sehr aufwendig neu zu bauen ist, aber du kannst zumindest bestimmte Pakete austauschen.
Kai Ole Hartwig: Neu verlinken.
Kai Ole Hartwig: Dann geht es, dann bekommst du auf ein akzeptables Niveau, dass du keine...
Kai Ole Hartwig: High und Critical drin hast, aber du bekommst es halt nicht auf Zero CVEs. Also es sind immer noch Medium und Low drin.
Daniel Langemann: Mh.
Kai Ole Hartwig: Und...
Kai Ole Hartwig: Jetzt kann man sehr viel Aufwand betreiben, um die auch noch rauszubekommen.
Kai Ole Hartwig: Aber da muss man halt auch irgendwann realistisch sein und sagen, okay.
Kai Ole Hartwig: So ein Argus -CD.
Kai Ole Hartwig: sollte halt ja...
Kai Ole Hartwig: Ihnen wird euch ein sehr...
Kai Ole Hartwig: eingeschränkten Personenkreis überhaupt erreichbar.
Kai Ole Hartwig: Sein.
Daniel Langemann: Ja.
Daniel Langemann: Ja, aber genau das ist ja das. Also es ist schön.
Daniel Langemann: Zero CVEs zu haben.
Daniel Langemann: Aber nicht hinzugucken und dadurch einfach nur nicht zu wissen, welche man hat, ist ja genau das Gegenteil davon.
Kai Ole Hartwig: Genau.
Daniel Langemann: Vielen Dank.
Daniel Langemann: In der echten Welt ist es einfach so, man möchte natürlich immer zu null CVEs kommen.
Daniel Langemann: die CVEs zu kennen, die man hat und dann zum Beispiel auch sagen zu können, guck mal, ja, diese Software ist gerade anfällig, aber...
Daniel Langemann: weiß ich nicht, das ist irgendein Dienst, der in einem VPN mehrfach abgesichert irgendwo...
Daniel Langemann: von zwei Personen intern oder von zwei Admins zum Beispiel nur Zugriff hat.
Daniel Langemann: ist anders zu bewerten, als wenn das Ding öffentlich im Internet...
Daniel Langemann: ohne irgendwelchen Schutz hängt.
Daniel Langemann: Und sagen wir, beides basiert auf irgendeinem Apache.
Daniel Langemann: wo gerade irgendwas dran ist.
Daniel Langemann: Gleiches Produkt, gleicher CVE.
Daniel Langemann: aber komplett anders eingesetzt.
Daniel Langemann: Das finde ich eigentlich wichtig. Wenn man anfängt hinzugucken, zu sagen, guck mal, ja, ich habe was drin.
Daniel Langemann: wie wichtig ist das denn für meinen Einsatz gerade.
Daniel Langemann: Und gerade die Scores.
Daniel Langemann: helfen ja schnell drüber zu gucken und zu sagen, guck mal.
Daniel Langemann: Da sollte ich jetzt ein bisschen mehr Zeit investieren oder ach, das ist Medium oder irgendwie Low.
Daniel Langemann: Dann sagst du, das ist auch schön zu wissen.
Daniel Langemann: setze ich mich auch ran, aber lasse vielleicht nicht gerade alle stehen und liegen.
Daniel Langemann: dafür.
Daniel Langemann: Und...
Daniel Langemann: Was mir halt daran gefällt ist, in anderen Projekten habe ich es immer wieder erlebt.
Daniel Langemann: Dass man so einen fleißigen Kollegen hatte, der mal geguckt hat, dass alles immer aktuell ist.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Aber das ist ja keine Automatisierung und nur weil der Kollege das irgendwie in seinem Terminkalender als Erinnerung drin hat, wöchentlich.
Daniel Langemann: ist das ja auch kein richtiger Weg eigentlich.
Daniel Langemann: Und deswegen...
Kai Ole Hartwig: Genau und so läuft das halt.
Kai Ole Hartwig: Kontinuierlich, also hier wirklich 24 ,7.
Kai Ole Hartwig: Läuft.
Kai Ole Hartwig: Das tue ich, klar.
Kai Ole Hartwig: Zyklen.
Kai Ole Hartwig: So.
Kai Ole Hartwig: denen
Kai Ole Hartwig: bestimmte Operationen laufen, also so etwas wie
Kai Ole Hartwig: Das Erkennen des Ein -
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: eine neue Version einfach verfügbar wäre.
Kai Ole Hartwig: Das hat natürlich ein Schedule.
Daniel Langemann: Hm.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Das läuft jetzt nicht.
Kai Ole Hartwig: Das kannst du nicht so kontinuierlich laufen lassen.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Um.
Kai Ole Hartwig: Und genauso auch der Des...
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Erneute Scannen über die Images drüber. Der ist natürlich auch gescheduled.
Kai Ole Hartwig: Aber ansonsten alles dazwischen. Das läuft halt automatisiert durch. Und du kannst ja auch klein anfangen und sagen, ah ja, schau mal, ich will zumindest mal meine Images.
Kai Ole Hartwig: Vielleicht auch...
Kai Ole Hartwig: Lokal.
Kai Ole Hartwig: Also irgendwie für uns.
Kai Ole Hartwig: Spiegeln.
Kai Ole Hartwig: Und...
Kai Ole Hartwig: die Abhängigkeiten anfangen zu spiegeln und solche Dinge. Ein bisschen Resilienz reinbringen.
Kai Ole Hartwig: Und dann stellt man auch ganz schnell fest.
Kai Ole Hartwig: Okay.
Kai Ole Hartwig: eigentlich ist es
Kai Ole Hartwig: Cool.
Kai Ole Hartwig: die
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: nicht nur da liegen zu haben, sondern dann selber zu bauen und Richtung...
Kai Ole Hartwig: Minimal Images zu.
Kai Ole Hartwig: zu denken.
Kai Ole Hartwig: vielleicht auch Richtung Distroless zu gehen. Distroless ist aber schwierig, gerade für uns im PHP -Umfeld.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: ist Distroless quasi nicht zu erreichen
Kai Ole Hartwig: Weil du halt leider immer wieder...
Daniel Langemann: Ich möchte...
Kai Ole Hartwig: Tools hast du hier.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: So etwas wie eine Seelei.
Kai Ole Hartwig: Also ein Bash oder ein SH.
Kai Ole Hartwig: So.
Daniel Langemann: Ja.
Kai Ole Hartwig: Aber dann hast du schon mal keinen...
Kai Ole Hartwig: Appetit, kein...
Kai Ole Hartwig: APK und so drin liegen.
Kai Ole Hartwig: Vielleicht auch kein Curl etc. Also minimierst.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: schon mal sehr stark, also minimal Images zu bauen, ist relativ einfach.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Einfach mal nicht so ein Ubuntu als Grundlage nehmen, sondern sich überlegen.
Kai Ole Hartwig: Nee.
Kai Ole Hartwig: Wir nehmen vielleicht etwas anderes.
Kai Ole Hartwig: Weiß ich nicht.
Kai Ole Hartwig: Hätte ich jetzt so im Kopf.
Daniel Langemann: Komm, sag es schon.
Kai Ole Hartwig: Wolfi.
Kai Ole Hartwig: Photon.
Kai Ole Hartwig: Alpine
Daniel Langemann: Hm.
Kai Ole Hartwig: Oder meinetwegen auch irgendein Red Hat in Enterprise.
Kai Ole Hartwig: Linux Nrel.
Kai Ole Hartwig: wenn man das hat.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Und dann halt wirklich auszusortieren, zu sagen, ich starte mal bei 0.
Kai Ole Hartwig: From scratch fast schon.
Kai Ole Hartwig: Vom Sketch kann aber vielleicht für den anderen noch...
Kai Ole Hartwig: bisschen herausfordernder sein als irgendeiner.
Kai Ole Hartwig: Form von Distribution darunter zu haben, startet damit und baut darauf aus.
Daniel Langemann: Ja.
Daniel Langemann: Was ich noch...
Kai Ole Hartwig: Und dann kann man immer kleiner werden. Und irgendwann stellt man halt so fest.
Daniel Langemann: Ja.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Walkie zum Beispiel ist.
Kai Ole Hartwig: Easygoing mit Distroless.
Daniel Langemann: Das Schöne an dem Ganzen ist...
Daniel Langemann: Wenn du anfängst, deine Images zu scannen und solche Metriken zu sammeln. Also ich jammer ja immer oder beziehungsweise sage so der...
Daniel Langemann: Job des Entwicklers ist ja eigentlich undankbar.
Daniel Langemann: Weil wenn du deine Arbeit gut machst, merkt keiner was davon.
Daniel Langemann: Heißt...
Daniel Langemann: im Sinne von auch DevOps.
Daniel Langemann: Nur wenn etwas knallt.
Daniel Langemann: gehackt wird, irgendwo verschlüsselt ist, dann...
Daniel Langemann: kommen die Leute und sagen, ach, guck mal.
Daniel Langemann: Alle wissen es dann besser.
Daniel Langemann: Das Problem ist, welche Metriken?
Daniel Langemann: Kannst du denn da ansetzen, gerade in Projekten zum Beispiel? Und so wie du es jetzt beschrieben hast, ist das eine perfekte Metrik, dass du sagen kannst, guck mal, wir haben x CVEs in x Monaten geschlossen oder im letzten Monat geschlossen und haben dafür Stunden Y aufgewandt.
Daniel Langemann: Das ist etwas, wo du schön sagen kannst, guck mal.
Daniel Langemann: Nur weil es nicht eingeschlagen ist, die Bombe, heißt das nicht, dass sie nicht da war.
Daniel Langemann: Wenn zum Beispiel mehrere hohe CVEs waren und man da gesagt hat, okay, jetzt lassen wir alle stehen und liegen und wenden Ressourcen auf dafür.
Daniel Langemann: Finde ich das eine gute Metrik zu sagen, guck mal, wir haben aber diese CVEs geschlossen dadurch.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Für mich gehört das auch...
Kai Ole Hartwig: ein wenig in diesen DevSecOps -Bereich rein zu sagen, okay, hey,
Kai Ole Hartwig: schaut mal, wir machen
Kai Ole Hartwig: Wir beobachten das erstmal, wir machen das sichtbar.
Daniel Langemann: Mh.
Kai Ole Hartwig: Und dann unternehmen wir auch Dinge aktiv, ja, proaktiv.
Kai Ole Hartwig: Guten Abend.
Kai Ole Hartwig: Tracker zum Beispiel auch, wie viele...
Kai Ole Hartwig: Merchrequests sind in den letzten sieben Tagen gelaufen oder wie viele Merchrequests sind jetzt gerade offen?
Daniel Langemann: Ja.
Kai Ole Hartwig: Und dann sieht man halt auch, wenn das anfängt sich zu...
Kai Ole Hartwig: zu...
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: dann sieht man halt auch, ah ja.
Kai Ole Hartwig: Entweder, hey, meine Runner sind nicht in Ordnung.
Kai Ole Hartwig: die ich auch halt irgendwie tracke, aber
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Oder...
Kai Ole Hartwig: Meine Pipelines haben vielleicht ein Problem, ja, vielleicht kann das alles gar nicht gemerged werden, weil da ist halt dann doch ein Konflikt drin, dann muss man halt ja auch Zeit gerne investieren.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Und unsere Themen fallen dann halt auf.
Daniel Langemann: Könntest du...
Kai Ole Hartwig: Und diese...
Daniel Langemann: Auch solche Sachen tracken wie Zeit bis ein CVE sozusagen wieder, also vom Auftreten bis...
Daniel Langemann: rauspatchen.
Daniel Langemann: Wäre doch eigentlich auch eine interessante Metik, dass du zum Beispiel nachweisen könntest, guck mal, du hast jetzt ein Team, wo sowas gar nicht da ist.
Daniel Langemann: Als erstes setzt du das auf.
Daniel Langemann: Als nächstes fällt dann auf, dass da so viel zu tun ist, dass du dann anfängst zu automatisieren und schon kannst du die Metrik zeigen, guck mal, von Anfang an habt ihr erstmal so viele gehabt.
Daniel Langemann: Dann hat das irgendwie immer eine Woche gedauert, bis dann solche Sachen automatisch...
Daniel Langemann: manuell reviewed wurden.
Daniel Langemann: Und...
Daniel Langemann: Am Ende bist du dann bei Stunden oder sagen wir mal...
Kai Ole Hartwig: Ja, du kannst das.
Kai Ole Hartwig: tracken, wie lange ein Merge -Request offen ist zum Beispiel. Und natürlich auch...
Kai Ole Hartwig: Wenn du...
Kai Ole Hartwig: Zahlen kombinierst, kannst du auch natürlich
Kai Ole Hartwig: tracken.
Kai Ole Hartwig: Wann ist der CVE?
Kai Ole Hartwig: Wann haben wir ihn aufgenommen in unsere Liste, also wann haben wir ihn selber gefunden?
Daniel Langemann: Hm.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Und wann haben wir ihn dann bei uns wieder geschlossen, weil dann der...
Kai Ole Hartwig: scannen nach dem Bau und gesagt hat, okay, jetzt ist alles grün, jetzt ist alles fein.
Daniel Langemann: Ja.
Daniel Langemann: Also ich mag solche Metriken, weil die wirklich zeigen, dass man fleißig ist, ohne dass es knallt.
Kai Ole Hartwig: Amen.
Daniel Langemann: Na also...
Kai Ole Hartwig: Aber das Gute ist ja, eigentlich überwachst du nachher nur deine Automatisierung damit.
Daniel Langemann: Wenn du uns endlich dein Geheimnis verrätst, wie du das aufsetzt, dann müssen wir das natürlich nicht mehr machen.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Ja, ich habe Renovate und 10 .000...
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Anpassungen in den Manager und dann habe ich halt ganz viel
Kai Ole Hartwig: Pipelines laufen, die ein bisschen Go bauen.
Kai Ole Hartwig: Das meiste sind nämlich Go -Pakete.
Kai Ole Hartwig: Und...
Kai Ole Hartwig: Let's go!
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: So, fertig S.
Daniel Langemann: Ja.
Kai Ole Hartwig: Ansonsten schaue ich schön auf die Garfen, die so ein bisschen hochgehen und runtergehen und dann...
Kai Ole Hartwig: Zahlen, die rot werden oder grün und...
Kai Ole Hartwig: Um.
Kai Ole Hartwig: Ja, fertig. So, das ist das Geilste. Was möchtest du detaillierter wissen, Daniel?
Daniel Langemann: Das ist easy.
Daniel Langemann: Nein, also zum Beispiel, also natürlich, es gibt nicht ein fertiges Setup, wo man sagt, hier, guck mal, wir veröffentlichen das oder gibt es ein Ansible -Skript oder so und dann läuft das alles.
Daniel Langemann: Aber...
Daniel Langemann: Grundlegend ist es ja so, dass du renovate eigentlich zum Beispiel auch in Bitbucket oder irgendwelchen anderen Hostern.
Daniel Langemann: einfach als Pipeline laufen lassen kannst, weil es das als Image gibt.
Daniel Langemann: wo du dann dem auch Zugriffsrecht für deine Repositories einräumst, wo er dann zum Beispiel Kommentare reinpackt.
Daniel Langemann: Und schon hast du...
Daniel Langemann: in Anführungsstrichen, renovate laufen. Dann kannst du Scheduled Jobs laufen lassen.
Daniel Langemann: Bei den großen Hostern ist das ja auch immer mit drin.
Daniel Langemann: Du musst nicht mehr...
Kai Ole Hartwig: Ja, absolut.
Daniel Langemann: Also natürlich kannst du...
Kai Ole Hartwig: Ja, genau.
Daniel Langemann: viel mehr optimieren. Aber das ist ja schon der erste Schritt.
Daniel Langemann: Wo du sagst, das ist jetzt noch kein Hexenwerk.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Genau, der erste Schritt ist, sich Runaway zu schnappen.
Kai Ole Hartwig: Darf DigiPlus lesen und in sinnvoller Weise Merch -Requests aufmachen.
Daniel Langemann: Hm?
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Und dann vielleicht die Recommend Settings als erstes Mal ausprobieren und schauen, was passiert.
Daniel Langemann: Ja.
Kai Ole Hartwig: So.
Daniel Langemann: Und ich...
Kai Ole Hartwig: Und...
Kai Ole Hartwig: Dann stellt man fest...
Kai Ole Hartwig: Oha!
Kai Ole Hartwig: Vielleicht sollte ich nochmal so ganz grundlegend darüber nachdenken, wie ich versioniere.
Daniel Langemann: Mh.
Kai Ole Hartwig: Ähm.
Kai Ole Hartwig: Weil dann steckt es halt ganz viele Änderungen.
Kai Ole Hartwig: erst mal vor zu
Kai Ole Hartwig: Ja, okay, hier machen wir mal Version Pinning und...
Kai Ole Hartwig: Hier kommen mal Digits.
Kai Ole Hartwig: Also diese Hefs.
Kai Ole Hartwig: an Versionen, weil...
Kai Ole Hartwig: Eigentlich sind die halt flexibel bei Docker und nur der Hash sagt, was es wirklich ist.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Und...
Kai Ole Hartwig: Hey, hier sind...
Kai Ole Hartwig: Eine Million, also gefühlt oder vielleicht tatsächlich.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: updates die laufen und vielleicht müssen wir die doch kopieren ja also vielleicht ist es sinnvoll bestimmte
Kai Ole Hartwig: Abhängigkeiten gruppiert zu behandeln und vorantreiben zu lassen, das Renovate, und nicht zu sagen,
Kai Ole Hartwig: Hey.
Kai Ole Hartwig: Okay.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Wir...
Kai Ole Hartwig: gehen hier hin und
Kai Ole Hartwig: Lass uns einfach so durchlaufen und jeder Einzelne, weil jeder Einzelne, dann gehen auf einmal Dinge kaputt.
Kai Ole Hartwig: Und so...
Kai Ole Hartwig: muss man sich daran tasten. Ich glaube, es gibt nicht das eine Renovate Setup, das für alle funktioniert, sonst gäbe es das in diesen Recomment Settings.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Was ich halt...
Kai Ole Hartwig: habe, sind unfassbar viele.
Kai Ole Hartwig: Selbstständige Manager.
Kai Ole Hartwig: Und halt auch so Sachen wie das Composer -Verhalten gefällt mir zum Beispiel nicht von Runaway. Also habe ich einen eigenen...
Kai Ole Hartwig: Manager mit einem eigenen
Kai Ole Hartwig: Posts.
Kai Ole Hartwig: Schieß mich tot, Hook.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: der dann halt direkt das Update richtig durchführt.
Kai Ole Hartwig: wirklich vernünftig durchgelaufen ist.
Daniel Langemann: Hm?
Kai Ole Hartwig: Und das ist eine...
Kai Ole Hartwig: Vernünftige Version.
Kai Ole Hartwig: rauskommt.
Kai Ole Hartwig: Und...
Kai Ole Hartwig: Um.
Kai Ole Hartwig: So, damit laufe ich durch die Gegend. Das ist gar kein Hexenwerk, das ist gar kein Geheimnis. Aber erster Schritt.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Wenn man jetzt sagt, hey, ich habe Pipelines und ich traue mir zu.
Kai Ole Hartwig: Ähm.
Kai Ole Hartwig: Das.
Kai Ole Hartwig: da zu machen mit Pipelines. Die sind irgendwie stabil, die laufen. Ich weiß, was QS -mäßig bei mir abgeht.
Daniel Langemann: Spätestens da möchte man Pipelines haben.
Daniel Langemann: Weil dann...
Kai Ole Hartwig: Nee, du musst sie vorher haben, weil sonst kannst du Renovate nicht aufsetzen. Sonst macht Renovate aus meiner Sicht keinen Sinn, wenn du sagst so, ja, okay.
Kai Ole Hartwig: Hm.
Kai Ole Hartwig: Ich lege los und mache...
Kai Ole Hartwig: Updates von den Images.
Kai Ole Hartwig: Push dir einfach jedes Mal einen Testcluster.
Kai Ole Hartwig: Und ich vertraue darauf, dass
Kai Ole Hartwig: Das wird schon laufen.
Kai Ole Hartwig: Dann wirst du sehr schnell auf...
Kai Ole Hartwig: aufs Knie fallen.
Kai Ole Hartwig: Bei der Feststätte.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Nee.
Kai Ole Hartwig: Ja.
Daniel Langemann: Ne, das meine ich gar nicht, sondern
Kai Ole Hartwig: Die Hälfte der Welt hält sich einfach nicht an Regeln.
Daniel Langemann: Ne, mein Gedanke war eher, dass Renovate nur Pull -Requests erstellt.
Daniel Langemann: Die kann ich ja lokal auschecken und dann sagen wir manuell testen und sagen, funktioniert das? Und bei manchen Sachen würde ich das sogar noch machen, weil ich sage, das hat entweder großen Impact.
Daniel Langemann: Ich will irgendwas ausprobieren.
Daniel Langemann: tun und machen, egal was meine Pipeline gerade
Daniel Langemann: welchen Zustand die hat, wenn es keine gibt.
Daniel Langemann: Dann würde ich das ja auschecken, lokal testen und dann irgendwann merchen.
Kai Ole Hartwig: Ja.
Daniel Langemann: Vielleicht habe ich dann eine Pipeline, die noch ein Deployment anstößt.
Daniel Langemann: Na, aber...
Daniel Langemann: Du kommst dann ganz schnell an den Punkt, wo du sagst, okay, aber ich mache ja immer das Gleiche.
Daniel Langemann: Und schon bist du dann an dem Punkt, dass du sagst, okay.
Daniel Langemann: Ein paar Unit -Tests ausführen, ein paar Functional -Tests.
Daniel Langemann: End -to -End -Tests.
Daniel Langemann: Und dann bist du an dem Punkt, dass du sagst, es rechnet sich von vorne bis hinten.
Daniel Langemann: Vielen Dank.
Daniel Langemann: sich mehr Zeit auch für die Pipeline zu nehmen.
Kai Ole Hartwig: Ja, wenn...
Kai Ole Hartwig: Also da bin ich völlig nicht bei dir, Daniel. Der erste Schritt muss sein, ich habe Pipelines, die funktionieren und ich hatte diesen Gedanken.
Kai Ole Hartwig: Pipelines.
Kai Ole Hartwig: Und erst dann kommt der Gedanke.
Kai Ole Hartwig: berechtigterweise zumindest in meiner Gedankenwelt.
Kai Ole Hartwig: Also das Automatisieren ist nie der erste Schritt. Es muss immer der Prozess da sein. Der Prozess muss etabliert sein.
Kai Ole Hartwig: funktionieren und wiederholbar funktionieren
Kai Ole Hartwig: Und erst dann...
Kai Ole Hartwig: Egal in welcher Welt und wo wir hingehen, erst dann, wenn ich diesen manuellen Prozess...
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: habe,
Kai Ole Hartwig: Red ich...
Kai Ole Hartwig: über Automatisieren und Automatisieren
Kai Ole Hartwig: Bei uns bedeutet es erstmal...
Kai Ole Hartwig: die Basisarbeit machen, das, was ich bisher manuell gemacht habe, zu automatisieren. Und erst dann automatisiere ich, ich bekomme von...
Kai Ole Hartwig: Außen Dinge rein, die meine Sachen verändern.
Kai Ole Hartwig: und lasst sie laufen, also sprich...
Kai Ole Hartwig: Ich habe manuell getestet, dann habe ich automatisierbar getestet.
Kai Ole Hartwig: Und deployed und hassen nicht gesehen.
Kai Ole Hartwig: Und dann habe ich Renovate, das mir Updates fässt. Ich fange nicht an mit...
Kai Ole Hartwig: Ich fahre Updates und dann teste ich manuell und dann komme ich auf die Idee, ich automatisiere hier.
Kai Ole Hartwig: Dinger.
Daniel Langemann: Im Lehrbuch nein.
Kai Ole Hartwig: In der Realität bitte auch nicht.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Ja, also ich weiß, der Gedanke zu sagen, ah ja, das macht das jetzt total schön automatisch.
Kai Ole Hartwig: Ist verlockend.
Kai Ole Hartwig: Und dann steht man da mit blutigen Knien und Händen.
Kai Ole Hartwig: einer blutigen Nase
Kai Ole Hartwig: Und fragt sich...
Kai Ole Hartwig: Warum ist denn jetzt diese Woche dreimal alles abgestürzt?
Daniel Langemann: Also wenn du das automatisiert einfach so durchmerchst, dann hast du andere Probleme. Also da ist nicht Renovate das Problem.
Kai Ole Hartwig: Genau, aber dann ist das Problem, dass du die Idee hattest, Runaway zu benutzen.
Daniel Langemann: Nee, das hast du ja vorher auch schon gehabt, weil die anderen Merch -Requests hast du dann auch so durchgeschoben, ohne zu gucken.
Daniel Langemann: Beziehungsweise dann hast du anscheinend gar keine gemacht.
Kai Ole Hartwig: Ja genau, dann existiert der manuelle Prozess nicht vernünftig. Das ist das, was ich meine.
Daniel Langemann: Mh.
Kai Ole Hartwig: Das ist total meta.
Daniel Langemann: Nee, aber ich will Recht haben.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Du hörst nicht... Ach ja, ich wusste es.
Daniel Langemann: Vielen Dank.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Ich wusste es, Daniel.
Kai Ole Hartwig: Daniel, tschüss wieder.
Daniel Langemann: Ja.
Kai Ole Hartwig: Komm!
Kai Ole Hartwig: Gib mir die Axt!
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Ich schau hier alles kurz und klein.
Kai Ole Hartwig: Ich stehe gar nicht auf diese Zero CVE Nummer, sondern ich stehe auf die...
Kai Ole Hartwig: Zero Uptime.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Genau, mein SLA -Versprechen sind 0 ,05%.
Kai Ole Hartwig: Genau, möglichst wenig abteilen, weil dann sind Sicherheitslücken auch nicht relevant, weil es kann sie niemand nutzen, weil das System ist nie erreichbar.
Kai Ole Hartwig: Das ist natürlich auch eine
Kai Ole Hartwig: mit einer spannenden
Kai Ole Hartwig: Nur mal mit CWIs und Sicherheitslücken umzugehen.
Daniel Langemann: Mh.
Daniel Langemann: Nee, aber...
Kai Ole Hartwig: Ja.
Daniel Langemann: Also natürlich.
Kai Ole Hartwig: Dann vielleicht ein AirGaps -Setup, Daniel. Einfach keine Verbindung ins Internet.
Kai Ole Hartwig: dann sind Sicherheitslücken vielleicht auch nicht so relevant.
Daniel Langemann: Ein Dienst, der nicht läuft, kann nicht gehackt werden.
Kai Ole Hartwig: Ja, das stimmt.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Muss ich dir recht geben.
Kai Ole Hartwig: Die beste Sicherheitstaktik.
Daniel Langemann: Wenn nachts viele Hacker unterwegs sind, mache ich den Server aus.
Kai Ole Hartwig: Computer und Internet...
Daniel Langemann: Vielen Dank.
Daniel Langemann: Vielen Dank.
Daniel Langemann: Nee, also
Daniel Langemann: Du hast natürlich recht, dass die Prozesse wichtig sind.
Kai Ole Hartwig: Ah.
Daniel Langemann: Und
Daniel Langemann: Ich glaube auch, dass wir das Gleiche meinten.
Daniel Langemann: Mit Renovate macht nur Sinn, wenn du dann...
Daniel Langemann: weiß, was danach passieren soll und ob das automatisiert ist oder nicht, ist eine andere Baustelle.
Kai Ole Hartwig: Ich stelle mir halt gerade vor...
Kai Ole Hartwig: Du gehst abends aus dem Büro.
Kai Ole Hartwig: Links den großen roten Schalter um.
Daniel Langemann: Hm?
Kai Ole Hartwig: dann ist alles aus inklusive der server und man darf dann erst wieder
Kai Ole Hartwig: im Onlineshop einkaufen.
Kai Ole Hartwig: wenn du wieder ins Büro kommst.
Daniel Langemann: Mail Server. Ich habe das schon mal mit einem Mail Server erlebt.
Kai Ole Hartwig: Wenn du krank bist am Tag,
Kai Ole Hartwig: Wenn du krank bist einen Tag, dann kann halt keiner...
Daniel Langemann: Ja.
Daniel Langemann: Habe ich erlebt.
Kai Ole Hartwig: Arbeiten.
Kai Ole Hartwig: Einkaufen.
Daniel Langemann: Also mit einem Mail -Server. Der hatte den im Büro stehen, hat irgendjemand dem echten Ding aufgeschwatzt, so einen Serverschrank.
Daniel Langemann: Und da war dann so...
Daniel Langemann: ich glaube zwei, drei Höheneinheiten drin und da lief dann Webseite und Mail -Server drauf.
Daniel Langemann: Und um Strom zu sparen, hat er die nachts ausgemacht, weil da liest ja keiner E -Mails.
Kai Ole Hartwig: Das Schöne ist, mit E -Mails funktioniert es auch.
Kai Ole Hartwig: Das Protokoll ist ja relativ robust, also versucht er 48 Stunden lang eine E -Mail zuzustellen.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Schön.
Kai Ole Hartwig: Ich kenne das auch.
Kai Ole Hartwig: Da stand dann so ein Tower.
Kai Ole Hartwig: PC und haben.
Kai Ole Hartwig: Schreibtisch und dann war da ein Zettel.
Kai Ole Hartwig: ausmachen.
Kai Ole Hartwig: kann.
Daniel Langemann: keiner weiß, wer den Zettel geschrieben hat.
Daniel Langemann: Ja, aber zu unseren CVEs nochmal zurück.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Es ist natürlich sinnvoll, das sichtbar zu machen.
Daniel Langemann: Diese Metriken zu haben, die helfen natürlich auch Entwicklern oder Teams.
Daniel Langemann: Gerade auch...
Daniel Langemann: Richtung C -Level oder so.
Daniel Langemann: Aufwand und solche Sachen viel besser vertretbar zu machen, weil die dann messbar werden.
Daniel Langemann: in meinen Augen auch einen Mehrwert wirklich messbar macht.
Daniel Langemann: dass man zum Beispiel sagt,
Daniel Langemann: kann schnell automatisiert, wenn die ganze Pipeline und die Prozesse da sind.
Daniel Langemann: auf CVEs reagieren und sagen, guck mal, da ist gerade was aufgetreten.
Daniel Langemann: Wir müssen nicht eine Nachtschicht machen oder das Wochenende durcharbeiten, sondern das Ding ist angestoßen worden, eine Stunde später.
Daniel Langemann: sind, weiß ich nicht, alle abhängigen Images gebaut
Daniel Langemann: BL Review nochmal als Mensch oder es läuft komplett automatisiert durch.
Daniel Langemann: Und können dann melden, dass sechs Stunden nach Auftreten zum Beispiel Produktivsystem einfach sicher oder frei von dem CD ist.
Daniel Langemann: wenn Patches dazu.
Daniel Langemann: dafür rauskommen. Da bist du halt immer abhängig. Das kann der ganze Prozess nicht lösen.
Daniel Langemann: Aber wenn...
Daniel Langemann: dass es soweit funktioniert.
Kai Ole Hartwig: Naja, das ist ja das Ding, was ich eben meinte mit...
Kai Ole Hartwig: Patches rauskommen, du kannst halt auch deine Pakete selber bauen.
Kai Ole Hartwig: dann bist du nicht abhängig davon.
Daniel Langemann: Mh.
Kai Ole Hartwig: Dann kannst du halt sagen...
Kai Ole Hartwig: Schau mal.
Kai Ole Hartwig: Ähm...
Kai Ole Hartwig: Mein Problem, das ich jetzt habe, kommt aus Paket XYZ.
Kai Ole Hartwig: Aber das Paket hat eigentlich eine neue Version.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Und...
Kai Ole Hartwig: die Abhängigkeiten, die jetzt da quasi diese CVE erben.
Kai Ole Hartwig: Die kannst du natürlich neu bauen und damit glücklich sein.
Daniel Langemann: Ja.
Kai Ole Hartwig: Was halt natürlich nicht funktioniert ist, wenn CWIs nicht in der...
Kai Ole Hartwig: Im Ursprung.
Kai Ole Hartwig: gefixt sind
Daniel Langemann: Mh.
Daniel Langemann: Genau.
Kai Ole Hartwig: Amen.
Daniel Langemann: Dann weißt du, dass es scheiße ist, aber dann hast du auch wieder etwas, wo du sagen kannst, guck mal, wir haben eine Software XY im Einsatz und da wird nichts gefixt oder monatelang bleiben die Sachen offen.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: dann hast du auch eine gute Argumentationsgrundlage zu sagen, wir gucken uns mal eine Alternative an.
Daniel Langemann: Und...
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Kein Argus -CD mehr.
Kai Ole Hartwig: Es ist jetzt sehr böse, aber so.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Einfach als Beispiel jetzt mal das herzunehmen. Guck mal, da tut sich nichts.
Daniel Langemann: ist einfach so, es verursacht unnötig Aufwand, da irgendwie sicher zu sein. Man muss irgendwie viel mehr Infrastruktur bereitstellen oder irgendwelche Sachen machen.
Daniel Langemann: Und schon hast du ja Argumentationen. Vorher wäre das immer so gewesen mit, ja, also ich glaube, das Ding ist nicht so sicher.
Daniel Langemann: Und mit Glaube kommst du nicht weit auf C -Level -Ebene.
Kai Ole Hartwig: Ja, nicht nur auf C -Level, es ist ja auch selber.
Kai Ole Hartwig: Schön.
Kai Ole Hartwig: zu sehen.
Kai Ole Hartwig: Was passiert denn eigentlich? Also wenn ich jetzt...
Daniel Langemann: Hm?
Kai Ole Hartwig: halt einfach mal ganz aktuell hier reinschaue.
Kai Ole Hartwig: Und feststelle, okay, es sind 115 offene Merch -Requests da.
Kai Ole Hartwig: In den letzten 7 Tagen sind hier 4 .964 Merch -Requests durchgelaufen. Das sind ja Zahlen.
Kai Ole Hartwig: So, also die 100 offenen Merch -Requests kann ja schon ein Team ohne Probleme haben.
Daniel Langemann: Ja.
Kai Ole Hartwig: die über 4000 Merch -Requests durchgelaufen, erfolgreich und verarbeitet.
Kai Ole Hartwig: Da gehört dann...
Kai Ole Hartwig: bei einer normalen Teamgröße.
Kai Ole Hartwig: Und das ist jetzt Teamgröße 1 Ole.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Realistisch, also ich...
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Ich bin jetzt mal ehrlich, ich arbeite nicht nachts um 1, 2, 3, 4 Uhr.
Daniel Langemann: Mh.
Kai Ole Hartwig: Da muss sich keiner die Hoffnung machen, dass das eine Arbeitszeit von mir ist.
Kai Ole Hartwig: Mann.
Kai Ole Hartwig: Das System arbeitet halt.
Kai Ole Hartwig: und erledigt diese Sachen.
Kai Ole Hartwig: Und...
Kai Ole Hartwig: Um.
Kai Ole Hartwig: Hey, das Ding läuft halt einfach die ganze Zeit, arbeitet ab und legt Sachen und es ist einfach sichtbar und es ist ja einfach ein gutes Gefühl zu sehen.
Kai Ole Hartwig: Mit OK.
Kai Ole Hartwig: Da ploppt ein Thema auf, da rennen die Pipelines los, da geht was hoch und dann gehen die Sachen wieder runter und es ist Bewegung in diesem Ganzen drin.
Kai Ole Hartwig: Stillstand ist kein Kommissar -Zufall, der sagt, da ist eine neue Version, sondern es sind...
Kai Ole Hartwig: bewusste Entscheidungen, die getroffen wurden.
Kai Ole Hartwig: für Prozesse und diese Prozesse funktionieren.
Daniel Langemann: Hm.
Kai Ole Hartwig: Die Prozesse führen zum Beispiel dazu, dass ich einen PAP...
Kai Ole Hartwig: Runtime hier liegen habe und betreibe ohne CVIs.
Kai Ole Hartwig: mit Franken -PHP.
Kai Ole Hartwig: dass ich...
Kai Ole Hartwig: Und Caddy, der liegen habe, noch als Proxy, der keine CVs hat, das ist gar nicht so schwer im Moving. Also Caddy ist da dankbar, dass ich einen Burki habe.
Kai Ole Hartwig: dass ich keine CVs habe, dass ich MariaDB postgrace ohne CVs.
Kai Ole Hartwig: rumliegen habe und betreibe.
Kai Ole Hartwig: Ein Ding nicht nur umsammeln, sondern auch umsammeln.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: benutzt.
Daniel Langemann: In der Schublade, drei Stück.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Genau.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Und ein paar andere Sachen, die...
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: die halt vom Stack her irgendwie
Kai Ole Hartwig: Erfordern lassen.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: bisschen was.
Kai Ole Hartwig: passiert, damit es halt schön sauber ist und damit man es
Kai Ole Hartwig: Ja, ohne...
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Sorgen einsetzen kann. Gerade so ein Kettiproxy, der ja quasi der erste Aufschlagpunkt ist oder so ein PHP, wo dann ja eventuell auch Traffic draufläuft.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Oder an der HSK oder an der GdB.
Kai Ole Hartwig: wo dann ja auch Sachen kritisch verarbeitet werden und halt vielleicht Schaden verursachen können. Das ist halt sehr schön.
Kai Ole Hartwig: Keine.
Kai Ole Hartwig: offene Lücken zu haben und so ein aktives
Kai Ole Hartwig: fortschreiben natürlich das hat risiken ja die es gibt
Kai Ole Hartwig: Weiß ich jetzt für Leute, die sagen, das geht nicht.
Kai Ole Hartwig: Und das ist total risikobehaftet und auf gar keinen Fall machen.
Kai Ole Hartwig: Hm.
Kai Ole Hartwig: Ist okay, ihr könnt das so langsam machen, ihr müsst nicht auf mich hören.
Kai Ole Hartwig: Aber was halt als Argument nicht zählt, ist, dass es nicht funktioniert, weil es läuft.
Kai Ole Hartwig: Einfach stabil.
Kai Ole Hartwig: Das Ding hat eine Uptime.
Kai Ole Hartwig: wenn ich ins Monitoring...
Kai Ole Hartwig: Schauer.
Kai Ole Hartwig: Von...
Kai Ole Hartwig: 99 irgendwas.
Kai Ole Hartwig: So, auf jeden Fall besser als meine
Kai Ole Hartwig: Internetverbindung.
Daniel Langemann: Ja.
Kai Ole Hartwig: Meine Internetverbindung hat nämlich nur eine Uptime von 80 irgendetwas, obwohl ich zwei Leitungen hier so...
Kai Ole Hartwig: mit Ausfallsicherheit habe.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Danke an das große pinke Tee, das hier immer noch kein Glasfaser im Übrigen liegt. Dafür danke an...
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: den anderen großen Anbieter hier aus dem Dorf.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Das sind ja erst zwei Jahre, seitdem die Glasfaser hier sein sollte.
Kai Ole Hartwig: Aber...
Kai Ole Hartwig: Also DSL abteilen ist halt scheiße.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Ja, zumindest die.
Kai Ole Hartwig: Ich kann sagen, wenn meine Nachbarn nach Hause kommen, dann geht nämlich meine...
Kai Ole Hartwig: meinen Datendurchsatz runter.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Völlig anderes Thema.
Kai Ole Hartwig: Der Cluster, deswegen kann ich ihn nicht in meinem Keller betreiben. Ich kann mir den nicht im Keller hängen und sagen, jetzt schalte ich ihn aus. Sondern ich muss ihn im Internet stehen haben, weil sonst meine Uptime echt scheiße wäre.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Dies.
Kai Ole Hartwig: Ohne Probleme richtig stabil. Dazu gehört aber ja auch die Wahrheit.
Kai Ole Hartwig: Hey, ja, ich habe natürlich nicht ein...
Kai Ole Hartwig: Pott da, sondern
Kai Ole Hartwig: Der Pod bleibt stehen und dann wird der neue Pod mit der neuen Version hochgefahren. Und wenn diese neue Version trotz aller Tests, die davor gelaufen sind,
Kai Ole Hartwig: nicht hochkommt.
Kai Ole Hartwig: Dann gibt es halt das Rollback bzw. dann bleibt halt der alte Container, der alte Pod da stehen und dann...
Kai Ole Hartwig: gibt es halt ein Alert und dann muss man halt da ehrlicherweise...
Kai Ole Hartwig: Kann.
Kai Ole Hartwig: Was?
Kai Ole Hartwig: weniger häufig vorkommt als dass der Alert losgeht, dass meine Internetverbindung weg ist.
Daniel Langemann: Traurig, aber wahr.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Ähm.
Kai Ole Hartwig: Bedeutet halt Sichtbarkeit. Sichtbarkeit bedeutet halt, man kann Dinge...
Kai Ole Hartwig: tun, vielleicht nochmal so abschließend als Zusammenfassung.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Sichtbarkeit und sichtbar machen bedeutet auch, andere Menschen verstehen, was...
Kai Ole Hartwig: Da passiert Arbeit. Die müssen ja nicht inhaltlich verstehen, sondern man sieht, hey, da passieren Dinge, das geht hoch und dann geht es wieder runter und runter ist das, was wir wollen.
Daniel Langemann: Vielen Dank.
Daniel Langemann: Vielen Dank.
Daniel Langemann: Ja.
Kai Ole Hartwig: Ja, wenn da eine Null steht, wollen wir das. Wenn da steht, da wurden viele Merch -Requests bearbeitet, das wollen wir vielleicht auch, weil das bedeutet, es passieren Dinge.
Kai Ole Hartwig: Und wenn wir dann, ich werte auch aus, wer diese Merch -Requests aufmacht. Also ich habe eine Auswertung.
Kai Ole Hartwig: Mensch.
Kai Ole Hartwig: K .E.
Kai Ole Hartwig: Renovate.
Daniel Langemann: Mh.
Kai Ole Hartwig: Und dann siehst du ja auch so eine Verteilung bei mir.
Kai Ole Hartwig: Mensch ist am wenigsten.
Daniel Langemann: Vielen Dank.
Kai Ole Hartwig: Renovate ist am meisten, KI ist dann so das Dazwischen.
Kai Ole Hartwig: Und das Ganze kannst du auch machen, für wer hat den Merch Request geschlossen. Dann steht da auch wieder ganz häufig Renovate.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Und...
Daniel Langemann: Ja, cool.
Kai Ole Hartwig: Vielen Dank.
Kai Ole Hartwig: Heißt halt, die Automatisierung erledigt die Arbeit, weil der manuelle Prozess vorher richtig funktioniert hätte gedacht hat.
Kai Ole Hartwig: so dann automatisiert wurde.
Kai Ole Hartwig: Und diese Sichtbarkeit und das Bewegen.
Kai Ole Hartwig: erzeugt halt auch eine gewisse Zufriedenheit. Also du kannst anderen Leuten mal zeigen, hey, ich sitze nicht nur vor dem Computer.
Kai Ole Hartwig: sondern ich habe eine Grafik gebastelt, die hoch und runter läuft und die sagt, ich mache Dinge.
Daniel Langemann: Ja, also...
Daniel Langemann: Genau, man sieht einfach, dass man was macht, dass man was schafft und das finde ich auch wichtig.
Daniel Langemann: Und gerade dieses...
Daniel Langemann: Security -Sachen, Uptime und sowas, das sind Metriken.
Daniel Langemann: Die sind einfach wichtig.
Daniel Langemann: Nein.
Daniel Langemann: Wenn du alles richtig machst, passiert nichts.
Daniel Langemann: Also...
Daniel Langemann: Von der Sicht von außen für Leute, die in der IT wenig Ahnung haben.
Daniel Langemann: Wenn du Arbeit richtig machst, läuft der Shop, läuft die Webseite, läuft das Produkt.
Daniel Langemann: Es läuft einfach alles und die Leute haben ihre normalen alltäglichen Probleme.
Kai Ole Hartwig: Genau, der Punkt ist, wenn du mich nicht anrufen musst.
Kai Ole Hartwig: Dann ist alles richtig gelaufen.
Daniel Langemann: Alles richtig gemacht.
Daniel Langemann: Genau.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Wort zum
Kai Ole Hartwig: Abschluss.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Don't call me.
Kai Ole Hartwig: Nee, call me, aber um das selber zu haben.
Daniel Langemann: Genau.
Daniel Langemann: Ja.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Das heißt, wir hatten jetzt wieder eine sehr unterhaltsame...
Kai Ole Hartwig: Hoffentlich voll.
Daniel Langemann: Ja.
Kai Ole Hartwig: Folge Secrets Not Included.
Kai Ole Hartwig: Und dann sehen wir uns nächste Woche wieder.
Kai Ole Hartwig: So.
Kai Ole Hartwig: wunderbaren neuen Thema, das wir dann noch finden werden.
Kai Ole Hartwig: Macht's gut.
Daniel Langemann: Schaffen wir.
Daniel Langemann: Bis dann, ciao.
Kai Ole Hartwig: Ciao, ciao.
Kai Ole Hartwig: Vielen Dank.
