2020云原生安全技术报告_94页_40mb

云原生安全技术报告总结

核心内容

本报告围绕云原生安全展开，分析了云原生环境下的安全威胁、风险以及防护策略。报告指出，云原生技术（如容器、微服务、服务网格、Serverless等）虽然提升了系统的弹性、敏捷性和可管理性，但也带来了新的安全挑战。云原生安全不仅包括面向云原生环境的安全措施，还包含具有云原生特征的安全机制，两者融合，共同构建安全防护体系。

主要观点

• 云原生安全的双重含义：既包括保护云原生环境的基础设施、编排系统和微服务，也包括利用云原生特性构建安全机制，如基于容器、服务网格和Serverless的弹性、可编排、轻量级安全方案。
• 安全左移：在云原生的开发阶段即引入安全措施，如源代码审计、镜像安全检测等，以降低运行时的安全风险。
• 聚焦不变：通过分析云原生系统中不变的资源和行为模式，来识别异常，实现更精准的安全防护。
• 关注业务：云原生系统的最终价值体现在业务层面，因此需加强业务安全防护，防止欺诈、滥用等行为。
• 可观察性的重要性：云原生环境的复杂性要求实现全面的可观察性，以支持自动化安全防护、故障定位和威胁检测。
• 零信任与微隔离：为应对云原生环境中的安全风险，引入零信任模型，利用微隔离技术实现细粒度访问控制，防止横向移动和内部攻击。

关键信息

云原生安全威胁与风险

• 服务暴露：Docker Daemon、Kubernetes Dashboard等服务若未设置访问认证，易导致攻击者直接访问。
• 数据泄露：如Amazon S3存储桶的公开访问，可能引发大规模数据泄露。
• 恶意挖矿攻击：攻击者利用容器漏洞或未授权访问部署挖矿程序，如特斯拉、微软等事件显示，Kubernetes集群成为攻击目标。
• 容器逃逸：通过危险配置、挂载、程序漏洞或内核漏洞实现容器逃逸，威胁宿主机安全。
• 微服务安全风险：微服务架构下，攻击面扩大，存在API滥用、越权访问、中间人攻击等风险。
• 服务网格风险：由于Sidecar代理未采用双向TLS认证，服务间通信易受攻击。
• Serverless安全威胁：包括代码注入、依赖库漏洞、访问控制漏洞、数据泄露和账户拒绝服务攻击。

云原生安全防护思路

• 安全左移：将安全措施嵌入开发流程，如源代码审计、镜像安全检测等。
• 聚焦不变：基于云原生系统中不变的资源和行为模式，识别异常行为。
• 关注业务：通过业务安全检测，防止欺诈和滥用行为。
• 全生命周期防护：从开发、测试到生产环境，全面覆盖云原生应用的安全需求。

云原生安全加固

• 镜像安全检测与加固：包括源代码审计和镜像扫描，以识别和修复潜在漏洞。
• 主机安全加固：包括最小安装、关闭不必要的服务、配置访问权限等，提高宿主机安全性。

云原生环境的可观察性

• 可观察性需求：由于云原生系统复杂，需实现对主机、容器、服务网格、微服务和业务逻辑的全面观察。
• 实现手段：包括日志、指标、追踪等，分别用于记录事件、衡量系统行为、分析请求链路。
• 服务追踪：通过跨度和追踪链路实现请求过程的可视化，用于故障定位和安全威胁检测。

零信任与微隔离

• 微隔离：作为实现零信任的关键技术，用于控制云原生网络中的访问权限，防止横向移动和内部攻击。
• 实现方式：包括基于Network Policy和Sidecar的微隔离技术，确保服务间通信的安全性。

结构清晰要点

• 云原生安全概述：介绍了云原生概念、云原生安全的定义及两种安全技术路线。
• 安全问题与威胁：详细分析了服务暴露、数据泄露、恶意挖矿、容器逃逸、微服务风险、服务网格风险、Serverless威胁等。
• 安全防护思路：提出了安全左移、聚焦不变、关注业务等安全设计原则，并介绍了全生命周期安全防护。
• 安全加固：包括镜像检测与加固、主机安全加固。
• 可观察性：分析了云原生环境下的可观察性需求、实现手段及服务追踪技术。
• 微隔离与零信任：介绍了微隔离的概念、实现方式及在云原生网络中的应用。

总结

云原生技术虽然提升了系统的灵活性和可扩展性，但也带来了新的安全挑战。报告指出，云原生安全应融合传统安全机制与云原生特性，实现全面防护。安全左移、聚焦不变、关注业务是构建云原生安全体系的重要原则。同时，云原生环境的可观察性对于安全检测和防护至关重要，而微隔离则是实现零信任模型的关键技术，能有效防止横向移动和内部攻击。整体来看，云原生安全是当前网络安全领域的重要研究方向，需结合新技术、新架构进行持续优化和演进。