什么是云原生安全？

云原生安全是指专门针对在云环境中构建和部署的应用程序而设计的一套安全实践和技术。这涉及到思维方式的转变，从通常依赖网络安全保护的传统安全方法，转变为更加注重应用的方法，强调身份和访问管理、 容器安全 和工作负载安全，以及持续监控和响应。

在云原生安全方法中，安全从一开始就内置于应用程序和基础架构中，而不是事后才添加上去。这就要求将自动安全控制、 DevOps 流程 和能够管理复杂多变的云环境的熟练安全专业人员结合起来。云原生安全的目标是防范云环境特有的威胁和漏洞，同时还要确保合规性和标准。

云原生安全解析

云原生技术使传统的软件开发模式几乎被淘汰，摒弃了单体应用架构的复杂性，现代开发流水线迎来了翻天覆地的变化。这一新模式具有诸多优势，但也带来了一系列新的挑战。其中，很少有像云原生安全问题这样顽固、危险或复杂的。

几乎所有云原生应用的安全挑战都可以追溯到云原生应用本身的性质：单体应用架构相对静态，而云原生应用架构则高度动态。它们对 容器 和 无服务器 功能的使用意味着云应用程序永远在缩小和扩大，在本地部署和非本地部署之间移动，甚至在多个云平台之间跳来跳去。这带来了许多安全挑战。

了解云原生架构

微服务架构

微服务架构 是一种软件开发方法，它将应用程序架构为一系列小型、松散耦合的服务。每个微服务负责特定的业务能力，可以独立开发、部署和大规模扩展。这种模块化方法可以提高云原生应用程序的敏捷性、灵活性和弹性。

从安全角度看，微服务架构带来了与确保服务间通信安全、确保数据完整性以及保护在多个服务间流动的敏感数据有关的挑战。

集装箱化

容器化是将应用程序及其依赖关系封装到称为容器的轻量级隔离单元中的过程。容器 提供了高效一致的运行环境，使应用程序能够在不同的基础设施平台上一致运行。容器还具有可移植性，使应用程序在不同环境（如开发、测试和生产环境）之间移动变得更加容易。但是，容器化也带来了新的安全挑战，包括容器映像中的漏洞、容器隔离以及对安全容器协调的需求。

使用 Kubernetes 进行协调

Kubernetes 是一个被广泛采用的容器编排平台，可自动部署、大规模扩展和管理容器化应用程序。它为管理容器的生命周期提供了一个强大的框架，并确保应用程序的理想状态得以保持。从安全角度看，Kubernetes 在集群安全、访问控制和监控方面面临挑战。

云原生超越固定边界

过去，应用程序安全小组只需确保在物理数据中心运行的一定数量服务器的安全，并使用硬件防火墙建立一个固定的边界。这对云原生应用程序不起作用。安全小组无法在本地和非本地部署、跨多个云运行的应用程序周围建立静态防火墙，因为这些应用程序可能在前一天大规模扩展到数百万个工作负载实例，而第二天又会减少到只有几百个。

诊断困难

云原生应用架构具有弹性和复杂性，因此很难快速诊断出任何特定安全异常或事件的原因。这给安全小组带来了挑战，因为诊断和处理威胁的速度与处理威胁的具体工具同样重要。

加快 DevOps 速度

现在，单个服务可以很容易地离线修改或替换，而不会影响应用程序的其他部分，因此 DevOps 团队可以比过去更频繁地发布新版本和更新。然而，安全小组曾经使用的手动配置和策略管理流程已无法跟上现代的发布周期。

云原生安全的关键要素

在实施更有效的云原生安全解决方案之前，安全、运营和开发人员小组必须了解 云原生安全的关键要素。其中包括

• 清单和分类：对所有资产进行准确清查和适当分类，对于确保安全运营小组清楚了解整个软件堆栈的潜在漏洞至关重要。
• 合规性管理：系统的设计应始终如一地执行行业和/或法律规定（如标准配置、 安全最佳实践、可信注册表的使用）。
• 网络安全：一个组织确保其资产和网络流量安全的策略和配置必须包括对所有网络流量的分析，目的是维护网络上所有系统和信息的保密性、完整性和可用性。
• 身份和访问管理 (IAM) 安全： IAM 安全 是将云资源限制给特定个人的做法。这包括由机器学习驱动的访问管理、 特权监控 和用户实体行为分析（UEBA）等活动。
• 数据安全：这涉及存储数据的安全性，包括数据分类、 数据丢失预防和 云存储的 恶意软件扫描 。
• 漏洞管理：在整个应用生命周期内识别和预防漏洞，应包括持续监控云环境中的所有主机、镜像和功能。
• 工作量安全：对置于云实例上的每个不同工作功能进行保护，可确保提高跨工作负载的可见性，还应包括漏洞扫描和运行时保护。
• 自动调查和响应：安全工具最好能提供自动修复功能，并与安全运营中心（SOC）和票务系统集成，必要时还可使用第三方工具。

云原生安全策略

最近出现了许多云原生安全策略，它们都标榜着不同程度的有效性。其中包括

• 共同责任模式：在 分担责任模式中，云提供商负责确保底层基础设施的安全，而客户则负责确保自己的应用程序、数据和对云的访问的安全。这一概念构成了所有其他现代云原生安全策略的基础。
• 多层次安全：云服务一般由七个层次组成，包括设施、网络、硬件、操作系统、中间件、应用程序和用户。多层安全监控每一层，以识别风险并减少漏洞。这种方法可包括多种工具， 如云感知防火墙 和端到端加密。但是，管理这些不同的工具可能会变得非常麻烦。
• 云兼容安全平台：到目前为止，这些平台是管理云原生安全需求的最有效策略，可以提供跨生态系统的可见性（减少云供应商锁定），并为不堪重负的安全小组简化警报和工具。

云原生安全常见问题解答