我曾就职于一家非常保守的公司。我们对所有外部组件都进行版本控制。任何东西在更新前都要经过审查，通常在经过充分的测试期后才会更新。几乎所有的内容都是从源代码构建的（编译器、内核等）。构建服务器/基础设施完全无法访问互联网，并且有流程来获取任何更改。我们会在相关CVE发布时进行审查，以决定它们是否适用于我们，以及我们如何缓解或解决这些问题。然后我去了另一家公司，那里的构建可以访问互联网。我们一有新版本就升级。人们认为这是良好的实践，因为我们获得了最新的错误修复。CVE由安全团队进行审查。然后我加入了一家初创公司，其做法混合了其他各种方式。有些非常好。但我们也有很大的CVE债务。例如，我们的服务器有安全启动和加密驱动器。我们对相互通信的组件的安全性有很好的掌握。每个人都认为自己在做正确的事情。…
源讨论也许你应该暂时不要安装新软件原帖 470 条评论 · 导入时统计这一直是个等待爆发的噩梦。包的数量庞大，随之而来的供应链攻击的广泛攻击面，一直是个问题，最终肯定会砸到每个人的脸上。 但太方便了。任何警告或试图限制损害的人都被那些没有其他做事方式经验的人驳斥了。"import antigravity" 太容易做了，没有它简直不可想象。 好吧，现在我们终于到了“发现”的阶段了。
完整原文把你的经验，加入这段讨论。
> 每个人似乎都觉得自己在做正确的事情 我认为如果人们能看到风险足够大，他们可能会更同意适当的方法。 如果你能说服每个人，如果一个漏洞被引入，就会有一颗核弹落在他们头上（或类似毁灭性的事件），我敢打赌，像#2这样的公司可能不会仍然认为他们正在以最佳方式行事。
完整原文我宁愿与一家持续更新的公司合作，同时在多个层面上构建安全性，这样一层中的弱点可以被其他层缓解。 例如，我曾任职的一家公司创建了一个应用程序的ACL模型，基本上强制执行规则，比如：“命名空间A中的应用程序X可以与我通信。” 这个ACL协调了多种技术一起工作，包括Kubernetes网络策略、Linkerd的mTLS清单和Entra ID的应用程序权限。作为用户，这非常简单易用，抽象掉了许多我不太了解的东西。 重要的是不是具体的实现，而是背后的心态。 升级既可以修复现有问题，也可能引入新问题。然而，避免升级随着时间的推移可能会造成同样多的问题——甚至更多。 同时，我认为使用软件…
完整原文你漏掉了第4种情况：在一家初创公司工作时，前端团队认为在开发期间使用锁文件是个好主意，但在部署步骤中进行所有依赖项的“全新”安装。 而且他们确实认为自己在做正确的事情。
完整原文> 无法说服“频繁升级者”认为这可能在引入新问题方面存在风险 我自认为是一个“频繁升级者”——我管理着一些Ubuntu机器，通常设置为每天晚上自动更新。然而，我意识到引入新问题的风险，但这种风险被在发现并修复新错误时不升级的风险所抵消。另外，有些组织的软件版本远远落后，这会带来更大的问题，尽管这种情况在Windows/专有软件中更为常见，因为你对这些软件的控制较少。至少在Linux上，你通常可以找到方法安装例如旧版本的Java，这可能对某些工具是必需的。 没有一种放之四海而皆准的解决方案，这取决于组织的技能池，以决定是主动升级还是被迫升级更合适。…
完整原文> 无法说服“频繁升级者”认为这可能在引入新问题方面存在风险。 在这里你批评了那些运行最新软件的人。两个反驳观点： 1) 如果你不经常升级，你就会陷入超级稳定的 Debian，停留在...古老的软件。这会导致许多较新的软件无法运行，除非你重新编译很多东西。例如，我曾遇到过 mesa 的问题，然后需要更新的 LLVM、spirv 组件等等。在 Debian 上很难轻松获得这些，除非你控制你编译的内容。在我本地系统上，我可以顺利运行 gtk2、gtk3 和 gtk4。想要在 Debian 上获得最新版本就很难；甚至 Debian sid 也比比如 Gentoo 或 Arch(Linux) 或 Void(Linux) 慢很多。 2) 即使是 Debian 系统也会受到 copy.fail 的影响。所以这个策略也不一定更好。 我个人是 …
完整原文说实话，事实上的标准是归咎于：在我工作的开发岗位上，我们收集所有需要的包，并尽快将软件部署到生产环境中，然后稍后检查 SBOM，确保没有可疑的东西。我想大多数地方都是这样；严格的审批流程会大大减慢 CI/CD。
完整原文对于一个单独的创始人（一个个人公司；假设这个人每周花约 20 小时在软件开发/维护上，其余时间在其他事情上）来说，保守的最佳实践是什么？
完整原文有趣的是，标准已经发生了变化。25 年前，人们大声指责 ActiveX，尽管微软多次尝试将其封闭。而今天，人们使用的东西会从一个八年前被放弃的 GitHub 仓库拉取包，这个仓库又从丹麦的 FTP 服务器拉取包，而该服务器又从新墨西哥州某人地下室里的树莓派拉取包，这被视作最佳实践。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。