容器云平臺的云原生安全標準與設計

1、 容器云平臺的云原生安全標準與設計 萬物互聯(lián)時代，企業(yè)正在面臨著日益嚴峻的網(wǎng)絡安全風險，不斷升級的網(wǎng)絡攻擊、數(shù)據(jù)泄漏等安全挑戰(zhàn)。企業(yè)需要滿足數(shù)字化轉型的期望，實現(xiàn)快速交付和擴大數(shù)字業(yè)務增長的成功需求。企業(yè) 擴展數(shù)字化業(yè)務時，需要不斷投資并引入容器、微服務架構等云原生技術，構建嶄新的數(shù)字平臺，并制定相應的數(shù)字發(fā)展戰(zhàn)略，幫助企業(yè)加速數(shù)字化創(chuàng)新，以保持競爭中的領先地位。云原生應用作為數(shù)字業(yè)務應用的最佳載體，伴隨著企業(yè)數(shù)字化轉型，被越來越多的企業(yè)用戶所接受。企業(yè)基于云原生技術構建自己的智能混合云數(shù)字平臺，保持企業(yè)在數(shù)字經(jīng)濟時代的創(chuàng)新競爭力。容器技術具有行業(yè)標準、靈活與輕量的特性，支持微服務架構，提高開

2、發(fā)運維效率，實現(xiàn)數(shù)字業(yè)務應用的快速迭代，并能夠在異構的云基礎設施之間輕松遷移。Gartner 最終用戶調查研究顯示，中國用戶對容器技術的熱情高于世界其它市場。汽車、金融、制造、媒體、零售等很多企業(yè)都已經(jīng)將容器運行在了生產(chǎn)環(huán)境。通過本章節(jié)的學習，能夠快速了解在當前容器云平臺已經(jīng)運行的情況下需要遵循的云原生安全標準與設計。*因課程內容體量大，此處提供部分試讀，全文內容可參考上面的目錄，感興趣可以直接下載全文，該系列15個課程系列全部開放免費學習1 容器云平臺安全合規(guī)標準1.1 安全標準總覽1.1.1 標準簡述本標準為最終用戶提供了一個完善的云原生安全能力體系，涵蓋了基于云原生應用的開發(fā)、測試、運維

3、，到生產(chǎn)環(huán)境運行時的全生命周期的安全標準。本標準參考了知名咨詢公司Gartner的容器安全研究報告中總結的容器安全控制體系。1.1.2 Gartner標準Gartner建議組織將基于風險的安全管控應用于容器安全架構、微服務架構或CI/CD流水線。例如，如果某些微服務應用不太重要，因它們不處理敏感數(shù)據(jù)或不暴露給不受信任的各方，需要少量的控制。具有非常關鍵業(yè)務功能和數(shù)據(jù)的應用可能會使用更多的安全管控。如果使用公有云服務，其中更多的安全責任應由云服務提供商（CSP）承擔，不會受到客戶的影響。上圖說明控件分為三類：Foundation controls基礎控制：這個層級是最終用戶始終關注且需要的安全基

4、礎，是可以廣泛訪問的控制。例如，可以在GitHub上使用基于CIS基準的主機強化腳本。這些可以是容器主機OS或輕量級Linux發(fā)行版的一部分，這些發(fā)行版旨在使托管容器盡可能簡單高效，例如Red Hat Enterprise Linux Atomic Host或CoreOS。例如，可以在Docker企業(yè)版（EE）中作為K8S或AWS的一部分（產(chǎn)品稱為AWS Secrets Manager)或作為專用產(chǎn)品（例如HashiCorp Vault）使用密鑰管理。并非所有實現(xiàn)都具有相同的安全級別。 例如，低于1.7的K8s版本會將您所有的機密存儲在明文文件中。Basic controls基本控制：這層是安

5、全控制和體系架構，是操作容器和基于微服務架構應用的最佳實踐。Risk-based controls基于風險的控制：這些是基于結構化風險評估結果而配置的控制。例如，漏洞管理和配置管理對于運行持久性單體組件（例如MongoDB）的容器更為重要。它們通常由重量級的Linux分發(fā)鏡像組成，這些鏡像的攻擊面比運行良好的微服務容器的攻擊面大得多。另一個示例是可變的基礎結構，而不是不變的，即使在基礎結構自動化中也是如此。盡管有些反模式，但許多最終客戶已經(jīng)實現(xiàn)了不可變的基礎架構，但是與建立新鏡像和重新部署相比，他們發(fā)現(xiàn)更容易將SSH插入實例并進行修復。1.2 構建、集成、部署預備安全1.2.1 鏡像安全標準標

6、準：鏡像是應用交付標準，在應用開發(fā)階段，對鏡像進行安全漏洞掃描，可以有效減少應用漏洞攻擊面，提高應用安全級別。能力要求： 支持對鏡像進行已知漏洞的掃描功能，且能夠對掃描結果進行統(tǒng)計分析 支持漏洞庫的更新 支持對接多個漏洞庫的能力1.2.2 鏡像傳輸安全標準標準：嚴格控制鏡像倉庫的身份驗證和授權限制，防止攻擊者對鏡像進行篡改?？赏ㄟ^一定技術手段發(fā)現(xiàn)被篡改鏡像。能力要求： 支持鏡像文件安全傳輸，如通過TLS加密等 支持鏡像校驗和用來保證鏡像完整性，以防鏡像被篡改破壞1.3 鏡像倉庫安全1.3.1 鏡像倉庫安全標準標準：鏡像倉庫集中存放與管理應用鏡像，最終用戶應對鏡像倉庫進行訪問權限控制，防止應用鏡像被惡意篡改、泄漏，或避免將高危安全隱患帶入生產(chǎn)環(huán)境。能力要求： 支持自定義倉庫訪問策略以管理鏡像的推送、拉取權限 企業(yè)級鏡像倉庫的同步能力 支持基于鏡像掃描結果的鏡像拉取限制，如存在高危漏洞的鏡像禁止從鏡像庫拉取或禁止推入鏡像倉庫等操作1.3.2 鏡像倉庫訪問控制標準標準：鏡像倉庫訪問需要有權限控制，防止非授權人員訪問鏡像倉庫，造成安全隱患。能力要求： 支持鏡像訪問的角色權限控制1.3.3 鏡像倉庫掃描管理標準標準：鏡像倉庫存放與管理應用鏡像，對鏡像進行安全漏洞掃描是最基本安全防范措施。能力要求： 支持對鏡像倉庫存儲鏡像的漏洞掃描能力