相比于传统应用而言，容器天然是弱安全的，这些不足随着容器一起跑在企业内网中，如果不能很好地识别并修复，分分钟就会成为“马奇诺防线”上的缺口，发生数据泄露、安全漏洞等，给企业带来不可估量的损失。很多早期建设容器云的企业已经深深感知到，面对容器技术的全新架构，“高筑城墙以御外敌”的传统安全方案已经不合时宜，更多的攻击面、监控和防护难度大、安全管控难度高，企业必须重新审视容器云环境的安全策略。
容器安全防护范围需要前移，防护粒度需要更细，也需要静态安全与动态安全防护相结合。具体体现在容器的开发、部署、运行的全生命周期中，从容器云平台的大边界，到租户小边界，再往内深入到虚拟机容器的微边界，对10+层的潜在攻击面进行安全防护加固，覆盖到代码安全审计、主机安全、镜像安全、容器运行时安全、容器网络微隔离、编排环境合规安全、容器监控自学习引擎等领域。联盟容器云安全课题组的目标是帮助企业健全容器安全防护工作体系，提供镜像安全、基础设施安全、运行时安全等能力建设参考，减少摸索时间，让更多重要生产应用运行在安全的容器环境中。
容器云安全规划
本文是基于笔者在容器云安全平台应用实践过程中对遇到的问题及方案的总结和思考，仅作为同行 朋友们在规划容器云安全时的参考。容器作为云原生技术体系中的关键技术，对其的不同定位会带来安全规划的不同要求。云原生安全和传统安全能力的需求也有不同，因此认识到容器和云原生安全的特点来规划容器云安全，会更有针对性。本文的方案可以作为容器云安全规划时的参考，同时需要理解笔者所整理的《你需要知道的云原生架构体系内容》和《云原生架构实施路线图》，才能更好的理解本文内容。
执笔专家
云原生应用创新实践联盟——容器云安全方向课题组专家。专注于容器云、微服务、DevOps、数据治理、数字化转型等领域，对相关技术有独特的理解和见解。擅长于软件规划和设计，提出的“平台融合”的观点越来越得到认同和事实证明。发表了众多技术文章探讨容器平台建设、微服务技术、DevOps、数字化转型、数据治理、中台建设等内容，受到了广泛关注和肯定。
顾问专家
云原生应用创新实践联盟——容器云安全方向课题组组长。招商银行云计算架构师，当前从事银行私有云和公有云基础设施、以及混合云架构的建设，参与包括容器云等相关云服务的规划、技术选型、架构设计和实施，以及业务连续性等保障体系的建设工作。
常青 容器云安全用户委员会委员
云原生应用创新实践联盟——容器云安全方向课题组专家。任职于中国光大银行信息科技部，主要负责项目管理和开发安全体系建设方面的相关工作。主要擅长web应用安全威胁与防治，容器云安全风险排查与评估。
越来越多的人关注云原生安全。作为云原生核心内容的微服务、容器、DevOps的安全是构建云原生安全体系的关键组成部分。云原生的核心是云原生应用，而基于容器技术所构建的容器云平台则由于其自身是云原生应用的运行和管理工具平台，使其成为云原生安全中的核心平台支撑。从云原生应用和云原生架构上来说，围绕容器云平台来构建云原生安全体系也是相对清晰、容易落地和容易实施的方案。
不同的人对容器云的理解和定位会有所不同。从容器为微服务应用提供的标准化的运行时环境来说，它支撑的是应用生命周期过程中的运行阶段的需求。最初笔者提出的“以应用管理为核心”的容器云平台建设思路，也在信通院刚刚发布的《云原生 新一代软件架构的变革》白皮书中的“一个中心”得到了体现。因此可以说容器云平台是应用运行时的支撑和管理平台。不过要实现应用的可见性、可管理性等，需要围绕容器云平台构建额外众多的基础设施工具和平台支撑，比如日志平台、监控平台、认证权限平台、消息平台等等。需要将容器云平台置于整个云原生DevOps体系之中，它承担的是应用生命周期过程中的运行阶段。在这个体系中，每个平台、组件和工具都会涉及安全的问题。而安全又分了不同的层次和机制，比如认证授权、加密解密、网络防护、病毒防护、应用安全等等；采用容器又带来了新的对象、新的流程和新的问题，比如镜像安全、容器安全、DevOps安全等。这是一个相互关联、相互影响而又相辅相成的一个体系。
笔者一直也在思考如何来规划容器云平台的安全。一直想解决的一个问题是 安全团队通过传统安全工具和方法扫描出来的漏洞如何和跟应用管理人员直接关联。采用大二层网络，服务的IP对所有人是可见的。由于传统网络安全往往是基于IP的机制，比如防火墙、白名单设置等，而容器带来了新的机制，容器IP往往是变化的，而服务是弹性的、可迁移的，往往不会和某个固定IP关联。这和传统的网络安全管理模式是冲突的。从安全团队角度，他们扫描出来的存在漏洞的容器由于IP的可变性无法直接和应用关联，不得不通过容器云平台来查询、关联到应用、中转给应用运维人员。团队之间的协调是需要时间的，往往等拿到数据，某些容器IP可能已经变化，从而找不到这个IP了，也可能就错失漏洞的及时修复。因此，容器云安全可能需要改变传统的安全管理模式，将安全能力作为基础设施，提供给容器云平台上的租户使用，自动实现漏洞的扫描和通知，由租户自服务完成漏洞的修复。这样则可以简化并提升容器安全问题处理效率。
传统网络安全和云原生安全的模式是有区别的，在云原生架构中，安全是作为基础设施能力，需要具备协助应用应对威胁、消除漏洞、增强防护力等能力。在规划设计云原生 容器云安全时，可能需要考虑几个原则
1.可见性、可观察性
容器由于其弹性、生命周期短等特征，需要实现详细的监控和可视化能力，能够时时看到容器的运行状况和历史变化情况。这样对业务应用运维管理人员来说，在遇到问题时才能快速的定位和分析根因。这也是笔者一再强调日志、监控等基础平台建设的原因之一。
2.可隔离性、可阻断性
容器由于其轻量性，可能会有众多容器在运行，为容器的管理和维护带来挑战。除了要通过构建可见性、可观察性能力，还需要在遇到安全异常时能够隔离容器、阻断入侵。看得到才能管得住，实现手动 自动的容器隔离 容器网络隔离，从而减少 降低安全风险。
3.自服务性
自服务能力是云原生基础设施的关键能力要求。应用通过基础设施的自服务能力，才可以敏捷的实现应用的配置管理和调度运行等。安全的自服务能力将减少应用团队与基础设施团队的交互，从而提升了业务应用的响应能力。
从中台架构来说，安全能力可以提取为公共的技术服务，可以作为技术中台服务能力的一部分。比如说认证方式（多因子动态认证 、权限管理、加密解密、漏洞扫描、合规检测、病毒防护等等。从不同的视角、不同的架构看，这样的规划设计都是可行的、合理的。
容器云安全规划可以考虑从应用生命周期过程和应用资源调度管理层次进行划分，从而实现网格化安全管控能力。
基于DevOps应用生命周期过程，可以将容器安全分为两段 开发阶段和运行阶段。开发阶段完成应用设计、编码、单元测试和构建，输出镜像。在这个阶段最重要的是尽可能消除安全漏洞，因此需要做到安全左移。运行阶段的核心是保障业务应用的安全稳定运行。虽然安全左移尽可能消除潜在的安全隐患，但运行阶段该有的安全措施一样也不能少。漏洞和入侵威胁时时都可能发生，另外容器机制所带来的运维机制的变化要求下层能力对上层需求提供自服务能力，从而实现敏捷的响应，做到运行阶段自服务、自适应。某厂商安全提出的一体两面四个环节N项能力的容器云安全体系非常值得参考。
总的来说，安全防护是一种被动的机制，难以确保万无一失，越来越需要在动态变化过程中实现安全防护能力，减小安全暴露面，有针对性地完善安全能力，提升安全防护效果。容器云安全的规划需要基于容器特点和传统网络安全能力来进行设计，尽可能消除安全隐患，提升安全能力。
此内容为“云原生应用创新实践联盟——容器云安全方向课题组”中用户专属内容，更多内容可扫描下方二维码查看，申请 “云原生应用创新实践联盟”后可以获取课题组全部内容阅读权限。
云原生为企业数字化转型提供了强大助力，企业越来越多的重要生产业务将迁移至云原生环境。大中型企业IT系统面临以云原生为秩序进行重构。当前，企业IT正处于重构的阵痛期。在信息缺失、矛盾、污染的情况下，用户决策难度大、风险高，严重威胁企业安全生产和 资保护。在众多行业用户强烈呼吁和牵引下，由twt代表用户群体成立“云原生应用创新实践联盟”。联盟聚集各行业先进企业用户专家成立课题专家组，课题专家组与行业用户群体充分协作，集众智、汇众力，为行业用户提供项目落地可信、可靠、可用的关键决策工具和应用参考，最终帮助行业企业群体性地改善云原生应用过程中的困难态势、加速实现数字化转型。
Powered by 小羊羔外链网 8.3.12
©2015 - 2024 小羊羔外链网
您的IP:3.19.56.45,2024-04-25 03:14:25,Processed in 0.05303 second(s).
