云原生安全：新手指南

云原生安全概述

云原生应用缺失了传统IT业务中存在的固定边界。因此，静态防火墙无法同时保护在多云、本地或非本地云主机上运行的应用。

云环境的灵活、可扩展和弹性等特点还降低了安全团队诊断安全事件的速度和准确性。与这些相结合的是快速的交付和发布周期，这使得手动管理和提供安全策略变得十分复杂。

这些因素共同带来了挑战，需要采用非传统的、特定的方法来解决云原生系统的安全问题。

译者注：上图的4C理念由Kubernetes官方最先提出，链接如下https://kubernetes.io/docs/concepts/security/overview/

云原生安全的支柱

有效的云原生安全模型可解决工作流各个级别的威胁——总结来说就是4C：

代码（Code）

分析、调试和清理源代码是在软件开发生命周期（SDLC）的构建阶段识别和修复跨站点脚本（XSS）和SQL注入等漏洞的第一步。

一些常用的保护源代码的测试机制包括：

• 静态代码分析（SCA）
• 动态应用程序安全测试（DAST）
• 静态应用程序安全测试（SAST）

容器（Container）

容器承载应用工作负载，被认为是云原生建设中最关键的元素之一。

不仅要保护云原生生态系统的应用工作负载，还要保护托管这些工作负载的容器，这一点极其重要。保护容器的一些常见方法包括：

• 最小化特权容器的使用
• 加强容器隔离
• 容器镜像的持续漏洞扫描
• 容器镜像的证书签名

集群（Cluster）

大规模运行的容器部署在物理/虚拟机集群上。集群通常包括各种组件，例如工作节点/主节点、控制平面、策略和服务。

保护集群组件通常需要以下实践：

• 管理Pod的健壮性和网络安全策略
• 基于角色的访问控制（RBAC）授权
• 优化集群资源管理
• 使用TLS安全密钥保护Ingress

云（Cloud）

云层面充当与外部世界通信的接口，包括用户、第三方插件和API。云层面上的漏洞必然会对其中托管的所有服务、流程和应用造成重大影响。

对于安全团队来说，采用安全最佳实践并开发一个特定面向云基础设施层及其组件的威胁模型是极其重要的。保护云层面的一些常见做法包括：

• 加密Kubernetes中的ETCD数据
• 频繁轮换和更新CA证书
• 限制特权访问的使用
• 禁用公共访问

云原生安全平台的关键要素

云原生安全工具已经从多个工具和仪表板的基本集合逐渐演变为考虑到生态系统所有层面的定义明确的平台。

云原生安全平台（CNSP）的技术栈侧重于以下元素，以构建全面的安全框架：

• 资源盘点 CNSP维护SDLC中的资产日志并跟踪自动资源管理的所有更变。

• 网络安全 直接从部署平台获取流量日志，深度理解云原生防火墙规则，以扫描和监控网络威胁。

• 合规管理 支持不同的主要合规框架，以监控整个云框架中的安全状况和合规性。

• 数据安全 利用开箱即用的分类规则来扫描恶意软件、监控合规性并确保跨部署环境的数据合规性。

• 工作负载安全 通过主动防御生产实例的运行时威胁来保护应用工作负载。

• 身份和访问管理 (IAM) 管理强大的访问和身份验证框架，通过利用多个第三方工具来作为第一道防线保护用户帐户。

• 自动检测、识别和修复 通过利用历史数据和行业现有的安全生态来支持强大的威胁建模。

• 漏洞管理 从整体的角度识别和保护整个技术栈的脆弱点。

管理云原生安全

利用CNSP来管理安全性的根本好处在于，它使组织可以自由选择适合组织特定场景的安全技术栈。

然而，在选择CNSP之前，组织必须进行适当的尽职调查，以选择正确的策略和最佳实践中的因素，以构建一个全面、健壮的安全框架。

云原生安全策略

云原生安全通常通过选择支持厂商提供产品服务工作模型的策略来管理，同时确保跨技术栈的各个层面和流程的全面安全。一些常用的云原生安全策略包括：

• 责任共担模型利用云服务提供商和组织内部安全团队的参与来确保应用的安全。这是通过为云原生框架的各个组件分配和共享维护安全性的所有权来完成的。尽管此模型通常具有从内到外规划安全框架的优势，但由于组件所有权的变化，它在多云环境中通常会变得复杂。

• 多层安全，也称为“深度防御”方法，涉及监控网络的所有层面，以独立识别和防御潜在的威胁。该策略基本上依赖于多种不同的工具和方法来应对攻击，同时规划发生入侵时的应急措施。

• 云的异构安全通常用于多云模型，它利用多个云服务提供商的公共CNSP。该策略本质上提供了一个单一的安全最佳实践窗格，供多方和分布式团队遵循，以简化监控、合规性和灾难恢复。

云原生安全平台的价值

现代CNSP结合了自动化、智能、数据分析和威胁检测，以防护高度分布式云主机中的安全漏洞。除了启用强大的安全框架外，采用云原生安全平台的一些额外价值包括：

• 改进的可见性和监控。云原生安全平台支持跨所有 CI/CD 层面进行持续测试，允许团队在组件级别监控和防御安全事件。

• 平台灵活性。通过在多云和混合部署环境中支持TLS，CNSP支持与平台无关的开发模型。

• 增强的备份和数据恢复。CNSP实施的自动化可实现快速补丁部署和安全威胁防护。

云原生已经来了

Fortinet的一项调查表明，33%的受访企业已经在云上运行了一半以上的工作负载。在组织获得所有这些价值之外，安全性仍然是他们面临的主要挑战。在这种情况下，组织还必须意识到大多数安全故障是由于安全配置错误造成的，而不是固有的架构漏洞。

Gartner的一份报告证实了这一点，声称到2025年，99%的云安全故障将是客户自己的错。组织需要采用正确的实践和工具来防御可避免的攻击。

衡量应用的成功，安全性不再是事后的想法。它与可扩展性和敏捷性一样重要。