2024云原生安全技術(shù)規(guī)范

云原生安全技術(shù)規(guī)范IIIII目 次范圍 1規(guī)范性引用文件 1術(shù)語(yǔ)和定義 1縮略語(yǔ) 2概述 3云原生安全能力要求 5容器基礎(chǔ)設(shè)施安全能力要求 5容器編排平臺(tái)安全能力要求 13微服務(wù)安全能力要求 23服務(wù)網(wǎng)格安全能力要求 26無(wú)服務(wù)器計(jì)算安全能力要求 27PAGEPAGE10范圍本文件主要為了提升云原生類(lèi)產(chǎn)品技術(shù)，幫助更多安全從業(yè)人員解決在規(guī)劃、實(shí)施和維護(hù)云原生安全體系架構(gòu)時(shí)遇到的問(wèn)題，針對(duì)云原生安全體系中涉及的每類(lèi)技術(shù)制定的標(biāo)準(zhǔn)。本文件適用于為云原生類(lèi)產(chǎn)品廠商或甲方構(gòu)建安全的云原生類(lèi)產(chǎn)品提供參考和指導(dǎo)。規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，標(biāo)日期的引用文件，僅該日期所對(duì)應(yīng)的版本適用于本文件；不標(biāo)注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T25069-2010信息安全技術(shù)術(shù)語(yǔ)GB/T35273-2020信息安全技術(shù)個(gè)人信息安全規(guī)范GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求JR/T0095-2012中國(guó)金融移動(dòng)支付應(yīng)用安全規(guī)范GM/T0005-2021隨機(jī)性檢測(cè)規(guī)范GM/T0028-2014密碼模塊安全技術(shù)要求GM/T0054-2018信息系統(tǒng)密碼應(yīng)用基本要求術(shù)語(yǔ)和定義GB/T25069—2010、GB/T35273-2020、ISACA-Glossary界定的下列術(shù)語(yǔ)和定義適用于本文件。3.1信息技術(shù)Information Technology用于輸入、存儲(chǔ)、處理、傳輸和輸出數(shù)據(jù)的硬件、軟件、通信和其他設(shè)施的總稱(chēng)。3.2角色Character在過(guò)程或組織的語(yǔ)境中所執(zhí)行的功能。3.3對(duì)象Object系統(tǒng)中可供訪問(wèn)的實(shí)體。例如:數(shù)據(jù)、資源、進(jìn)程等。3.4入侵Intrusion對(duì)某一網(wǎng)絡(luò)或聯(lián)網(wǎng)系統(tǒng)的未經(jīng)授權(quán)的訪問(wèn),即對(duì)某一信息系統(tǒng)的有意無(wú)意的未經(jīng)授權(quán)的訪問(wèn)(包括針對(duì)信息的惡意活動(dòng))。3.5授權(quán)Authorization賦予某一主體可實(shí)施某些動(dòng)作的權(quán)限的過(guò)程3.6數(shù)據(jù)保護(hù)Data Protection采取管理或技術(shù)措施,防范未經(jīng)授權(quán)訪問(wèn)數(shù)據(jù)。3.7泄露Breach違反信息安全策略,使數(shù)據(jù)被未經(jīng)授權(quán)的實(shí)體使用縮略語(yǔ)下列縮略語(yǔ)適用于本文件。IT InformationTechnology 信息技術(shù)DPIA DataPrivacyImpactAssessment 數(shù)據(jù)隱私影響評(píng)估SDK SoftwareDevelopmentKit 軟件開(kāi)發(fā)工具包SQL StructuredQueryLanguage 結(jié)構(gòu)化查詢(xún)語(yǔ)言KASLR kerneladdress-spacelayoutrandomization 內(nèi)核地址空間隨機(jī)變TLS TransportLayerSecurity 傳輸層安全性協(xié)議API ApplicationProgrammingInterface 應(yīng)用程序接口SELinux Security-EnhancedLinux Linux的強(qiáng)制訪問(wèn)控制安全模KMS KeyManagementService 密鑰管理服務(wù)SSL SecureSocketsLayer 安全套接字協(xié)議LDAP LightweightDirectoryAccessProtocol 輕型目錄訪問(wèn)協(xié)SCIM SystemforCross-domainIdentityManagement 跨域身份管理介OIDC OpenIdConnect 身份認(rèn)證SIEM SecurityInformationEventManagement 安全信息與事件管gRPC gRPCRemoteProcedureCalls 遠(yuǎn)程過(guò)程調(diào)用系統(tǒng)XSS CrossSiteScripting 跨站腳本攻擊SSRF Server-SideRequestForgery 服務(wù)端請(qǐng)求為偽造XXE XMLExternalEntityInjection XML外部實(shí)體注入RCE remotecommand/codeexecute 遠(yuǎn)程命令/代碼執(zhí)行漏洞URL UniformResourcelLocator 統(tǒng)一資源定位系統(tǒng)RBAC Role-BasedAccessControl 基于角色的訪問(wèn)控制ABAC Attribute-BasedAccessControl 基于屬性的訪問(wèn)控制SIEM SecurityInformationandEventManagement 安全信息和事件管理KASLR KernelAddressSpaceLayoutRandomization 內(nèi)核地址空間布局隨機(jī)SMEP SupervisorModeExecutionPrevention 管理模式執(zhí)行保護(hù)SMAPSupervisorModeAccessPrevention管理模式訪問(wèn)保護(hù)KPTIKernelTableIsolation內(nèi)核頁(yè)表隔離概述云原生得以迅速發(fā)展，一方面得益于開(kāi)發(fā)運(yùn)營(yíng)一體化（DevOps）的廣泛采用，另一方面在IT云原生安全也可按照開(kāi)發(fā)運(yùn)營(yíng)安全（DevSecOps）和云化系統(tǒng)安全兩個(gè)維度考慮安全機(jī)制。表1計(jì)（Plan）、開(kāi)發(fā)（Dev）、運(yùn)營(yíng)階段(Ops)，細(xì)分為需求、設(shè)計(jì)、編碼、測(cè)試、集成、交付、防護(hù)、檢測(cè)和響應(yīng)階段；而縱軸則是按照云原生系統(tǒng)和技術(shù)的層次劃分，包括容器基礎(chǔ)設(shè)施安全、容器編排平臺(tái)安全、微服務(wù)安全、服務(wù)網(wǎng)格安全、無(wú)服務(wù)器計(jì)算安全五個(gè)部分，二維象限中列舉安全機(jī)制（藍(lán)色標(biāo)注部分）已基本覆蓋全生命周期的云原生安全要求。（黃色標(biāo)注部分這一部分能力主要體現(xiàn)在檢測(cè)和響應(yīng)階段，并會(huì)同時(shí)覆蓋DevSecOps中Ops階段的能力。云原生安全能力要求容器基礎(chǔ)設(shè)施安全能力要求內(nèi)核安全【基礎(chǔ)要求】應(yīng)具備定期檢測(cè)系統(tǒng)內(nèi)核漏洞的能力，當(dāng)發(fā)現(xiàn)內(nèi)核存在漏洞時(shí)，發(fā)出告警信息；應(yīng)具備系統(tǒng)內(nèi)核升級(jí)管理和系統(tǒng)內(nèi)核自動(dòng)化批量滾動(dòng)更新的能力；RootkitRootkitRootkit殺；（IDTGDT、系統(tǒng)調(diào)用表）完整性校驗(yàn)的能力；應(yīng)具備識(shí)別內(nèi)核自我防御模塊（例如：GCC_PLUGIN_RANDSTRUCT、GCC_PLUGIN_LATENT_ENTROPY）應(yīng)具備系統(tǒng)內(nèi)核配置自動(dòng)檢測(cè)，內(nèi)核安全模塊（例如：SELinux、SMACKTomoyoAppArmor、Yama、Seccomp）狀態(tài)識(shí)別的能力；應(yīng)具備收集內(nèi)核、系統(tǒng)調(diào)用、應(yīng)用的審計(jì)記錄和日志的能力；本地用戶才能夠觸發(fā)文件系統(tǒng)的模塊加載的能力?！驹鰪?qiáng)要求】應(yīng)具備檢測(cè)內(nèi)核堆棧緩沖區(qū)溢出等攻擊的能力；應(yīng)具備保證內(nèi)存完整性的能力，應(yīng)具備限制內(nèi)核內(nèi)存權(quán)限，支持內(nèi)核內(nèi)存棧不可的能力；應(yīng)具備最小化系統(tǒng)調(diào)用訪問(wèn)的能力，只允許可信進(jìn)程訪問(wèn)特定系統(tǒng)調(diào)用；應(yīng)啟用內(nèi)核地址空間布局隨機(jī)化（KASLR）機(jī)制；應(yīng)支持配置內(nèi)核頁(yè)表隔離（KPTI）隔離用戶空間與內(nèi)核空間的內(nèi)存。容器安全配置核查主機(jī)配置核查應(yīng)對(duì)容器守護(hù)進(jìn)程的審計(jì)能力進(jìn)行檢查；應(yīng)對(duì)容器文件及目錄的審計(jì)能力進(jìn)行檢查。容器守護(hù)進(jìn)程配置核查應(yīng)禁止容器之間基于默認(rèn)網(wǎng)橋模式的網(wǎng)絡(luò)通信；應(yīng)具備守護(hù)進(jìn)程的實(shí)時(shí)恢復(fù)的能力；應(yīng)具備配置集中和遠(yuǎn)程日志記錄的能力；應(yīng)關(guān)閉實(shí)驗(yàn)特性功能；應(yīng)限制容器獲取額外的權(quán)限。容器守護(hù)進(jìn)程文件配置核查應(yīng)嚴(yán)格限制守護(hù)進(jìn)程文件、目錄權(quán)限；應(yīng)嚴(yán)格限制倉(cāng)庫(kù)證書(shū)文件權(quán)限；TLSCA應(yīng)嚴(yán)格限制服務(wù)器證書(shū)文件權(quán)限；應(yīng)嚴(yán)格限制服務(wù)器證書(shū)密鑰文件權(quán)限。BUILD應(yīng)保證鏡像軟件包最小化；支持對(duì)鏡像進(jìn)行漏洞掃描，并安裝必要的安全補(bǔ)?。粦?yīng)禁止配置文件存儲(chǔ)賬號(hào)密碼及私鑰。容器運(yùn)行時(shí)保護(hù)配置核查應(yīng)禁止使用特權(quán)容器；應(yīng)禁止宿主機(jī)上的敏感系統(tǒng)掛載在容器上；應(yīng)禁止主機(jī)特權(quán)端口與容器進(jìn)行映射；應(yīng)對(duì)容器資源（例如：內(nèi)存、處理器、網(wǎng)絡(luò)、存儲(chǔ)等）使用進(jìn)行限制；應(yīng)禁止共享主機(jī)的進(jìn)程命名空間、網(wǎng)絡(luò)命名空間、用戶命名空間、IPCUTS容器安全加固宿主機(jī)的安全加固要求【基礎(chǔ)要求】應(yīng)及時(shí)修復(fù)系統(tǒng)漏洞、應(yīng)用補(bǔ)丁以及更新版本；應(yīng)禁用或刪除無(wú)用賬號(hào)；應(yīng)限制系統(tǒng)管理員賬號(hào)遠(yuǎn)程登錄；應(yīng)關(guān)閉不必要的服務(wù)和端口；應(yīng)設(shè)置用戶登錄的密碼強(qiáng)度和使用期限。【增強(qiáng)要求】應(yīng)采用精簡(jiǎn)的安全的操作系統(tǒng)；應(yīng)采用無(wú)密碼的遠(yuǎn)程登錄方式；應(yīng)配置賬戶登錄失敗鎖定策略。運(yùn)行環(huán)境的安全加固要求【基礎(chǔ)要求】應(yīng)將容器平臺(tái)更新到最新的穩(wěn)定版本；應(yīng)采用低權(quán)限用戶的權(quán)限運(yùn)行容器；應(yīng)具備限制通過(guò)特權(quán)方式運(yùn)行容器的能力；應(yīng)具備限制每個(gè)容器所使用的資源的能力；應(yīng)具備使用隔離的網(wǎng)絡(luò)進(jìn)行容器間通信的能力。【增強(qiáng)要求】應(yīng)具備容器間隔離的能力；應(yīng)將容器的文件系統(tǒng)和掛載卷設(shè)為只讀權(quán)限；應(yīng)具備限制容器內(nèi)部的系統(tǒng)調(diào)用的能力。容器自身的安全加固要求【基礎(chǔ)要求】容器中不應(yīng)運(yùn)行無(wú)用的進(jìn)程或服務(wù)；容器中不應(yīng)包含無(wú)用的軟件包。【增強(qiáng)要求】容器中包含的軟件包都應(yīng)經(jīng)過(guò)安全驗(yàn)證；容器中不應(yīng)攜帶密碼等敏感信息。容器運(yùn)行時(shí)安全安全檢測(cè)【基礎(chǔ)要求】應(yīng)對(duì)運(yùn)行時(shí)容器進(jìn)行安全檢測(cè)，包括：應(yīng)具備對(duì)運(yùn)行時(shí)容器的漏洞進(jìn)行掃描的能力；接、惡意進(jìn)程調(diào)用、外部暴力破解、特權(quán)命令執(zhí)行等；webshell應(yīng)具備基于安全檢測(cè)結(jié)果和告警策略進(jìn)行告警的能力，支持對(duì)告警規(guī)則的配置；應(yīng)具備檢測(cè)、跟蹤、匯總和報(bào)告來(lái)自容器的系統(tǒng)調(diào)用的能力，包括檢測(cè)命名空間應(yīng)具備對(duì)容器端口掃描行為進(jìn)行檢測(cè)并告警的能力；應(yīng)具備對(duì)容器啟動(dòng)行為異常檢測(cè)的能力?！驹鰪?qiáng)要求】應(yīng)對(duì)運(yùn)行時(shí)容器進(jìn)行安全檢測(cè)，包括：應(yīng)具備對(duì)容器間的流量進(jìn)行可視化展現(xiàn)的能力；產(chǎn)生的逃逸行為，以及利用漏洞導(dǎo)致的逃逸行為;應(yīng)具備對(duì)容器內(nèi)訪問(wèn)敏感信息的行為進(jìn)行檢測(cè)的能力；應(yīng)具備檢測(cè)無(wú)文件攻擊的行為的能力，包含但不限于內(nèi)存級(jí)惡意代碼檢測(cè)；應(yīng)具備基于創(chuàng)建容器行為模型的未知威脅檢測(cè)的能力；IP、惡意域名等。安全防護(hù)【基礎(chǔ)要求】應(yīng)對(duì)運(yùn)行時(shí)容器進(jìn)行安全防護(hù)，包括：應(yīng)具備對(duì)容器系統(tǒng)、容器文件進(jìn)行訪問(wèn)控制的能力；應(yīng)具備對(duì)容器間的網(wǎng)絡(luò)流量進(jìn)行訪問(wèn)控制的能力；用特權(quán)用戶運(yùn)行等；證書(shū)和遠(yuǎn)程訪問(wèn)配置；shell意入侵的能力；應(yīng)具備通過(guò)虛擬補(bǔ)丁防護(hù)攻擊的能力；應(yīng)具備對(duì)容器運(yùn)行時(shí)防護(hù)策略進(jìn)行自定義配置，并對(duì)防護(hù)信息進(jìn)行展示的能力。【增強(qiáng)要求】應(yīng)對(duì)運(yùn)行時(shí)容器進(jìn)行安全防護(hù)，包括：應(yīng)具備基于黑名單、白名單的容器程序運(yùn)行控制的能力；控制容器進(jìn)程、文件操作或網(wǎng)絡(luò)訪問(wèn)，隔離失陷容器，暫停容器運(yùn)行等；應(yīng)具備與其他安全產(chǎn)品進(jìn)行關(guān)聯(lián)分析，聯(lián)動(dòng)處置的能力；應(yīng)具備提供自動(dòng)響應(yīng)方式的能力。鏡像安全鏡像構(gòu)建安全【基礎(chǔ)要求】Jenkins、GitLab建應(yīng)用的不安全配置等；設(shè)置超級(jí)管理員等；應(yīng)具備識(shí)別鏡像是否基于基礎(chǔ)鏡像構(gòu)建的能力；操作系統(tǒng)基礎(chǔ)鏡像（busybox、Alpine、CentOS、Ubuntu、Debian）編程語(yǔ)言基礎(chǔ)鏡像（JavaPythonNodeJs）應(yīng)用基礎(chǔ)鏡像（NginxTomcatJetty）Docker（DockerHub）、Google（gcr.io）OS廠商官網(wǎng)等機(jī)構(gòu)發(fā)布應(yīng)具備對(duì)構(gòu)建鏡像相關(guān)的代碼、文件和組件進(jìn)行安全檢查的能力?！驹鰪?qiáng)要求】a) 應(yīng)具備對(duì)安全鏡像進(jìn)行簽名的能力，以保障鏡像的分發(fā)安全。鏡像脆弱性評(píng)估【基礎(chǔ)要求】的漏洞掃描；應(yīng)具備對(duì)鏡像進(jìn)行基線合規(guī)檢查的能力；應(yīng)具備對(duì)鏡像內(nèi)木馬病毒進(jìn)行檢測(cè)的能力；應(yīng)具備對(duì)鏡像內(nèi)敏感文件和敏感信息進(jìn)行檢查的能力；應(yīng)具備對(duì)鏡像內(nèi)網(wǎng)頁(yè)后門(mén)進(jìn)行檢測(cè)的能力；應(yīng)具備對(duì)鏡像是否來(lái)自受信倉(cāng)庫(kù)進(jìn)行檢查的能力；應(yīng)具備根據(jù)脆弱性評(píng)估結(jié)果劃分鏡像安全風(fēng)險(xiǎn)等級(jí)和提供解決方案建議的能力?！驹鰪?qiáng)要求】應(yīng)具備通過(guò)原理掃描的方式發(fā)現(xiàn)和驗(yàn)證鏡像漏洞的能力；應(yīng)具備可適配定制化需求的自定義掃描策略能力。高危鏡像阻斷【基礎(chǔ)要求】行告警或阻斷的能力；行告警或阻斷的能力；志進(jìn)行查閱的能力；【增強(qiáng)要求】a) 鏡像傳輸安全【基礎(chǔ)要求】a) 應(yīng)具備鏡像簽名校驗(yàn)的能力，禁止未簽名或者簽名校驗(yàn)失敗的鏡像部署或上線。【增強(qiáng)要求】a) 應(yīng)具備鏡像簽名密鑰管理的能力，支持針對(duì)不同分類(lèi)的鏡像使用不同密鑰。鏡像倉(cāng)庫(kù)安全訪問(wèn)控制應(yīng)具備主流的鑒權(quán)認(rèn)證方法的能力；應(yīng)設(shè)置網(wǎng)絡(luò)訪問(wèn)控制策略以避免私有倉(cāng)庫(kù)暴露于互聯(lián)網(wǎng)。安全通信應(yīng)使用有效的鏡像倉(cāng)庫(kù)證書(shū)應(yīng)具備鏡像上傳或下載階段加密傳輸?shù)哪芰}(cāng)庫(kù)鏡像掃描應(yīng)具備鏡像倉(cāng)庫(kù)中對(duì)指定鏡像的軟件漏洞、惡意文件、配置等掃描檢測(cè)的能力；應(yīng)具備鏡像倉(cāng)庫(kù)預(yù)設(shè)掃描、立即掃描等掃描任務(wù)管理的能力；應(yīng)具備鏡像批量/單項(xiàng)掃描的能力；應(yīng)具備鏡像倉(cāng)庫(kù)中鏡像掃描結(jié)果信息展示的能力；應(yīng)具備鏡像倉(cāng)庫(kù)掃描策略自定義配置的能力；應(yīng)具備對(duì)上傳鏡像進(jìn)行一致性和完整性檢測(cè)的能力；應(yīng)具備對(duì)上傳鏡像進(jìn)行風(fēng)險(xiǎn)評(píng)估的能力。審計(jì)管理a) 應(yīng)具備對(duì)倉(cāng)庫(kù)所有必要操作記錄以審計(jì)管理的能力。權(quán)限管理a) 應(yīng)鏡像。事件告警a) 應(yīng)具備鏡像倉(cāng)庫(kù)的掃描告警通知相關(guān)方的能力。容災(zāi)備份a) 應(yīng)具備異地容災(zāi)備份的能力。容器日志審計(jì)【基礎(chǔ)要求】應(yīng)具備統(tǒng)一的多數(shù)據(jù)源、多云原生組件的日志收集和處理能力；應(yīng)具備多種云原生探針采集器（例如：DaemonSet、Sidecar、LogDriver等）部署的能力；應(yīng)具備異構(gòu)日志格式化、統(tǒng)計(jì)分析、可視化的能力；應(yīng)具備在日志數(shù)據(jù)中包含必要云原生資源的信息（例如：Namespace、PodContainer、Image、Node等）的能力；應(yīng)具備安全策略配置的能力，可根據(jù)預(yù)先配置的規(guī)則檢測(cè)出違規(guī)或異常行為；WORD、PDF、EXCEL、HTML應(yīng)具備敏感數(shù)據(jù)過(guò)濾和數(shù)據(jù)脫敏的能力；應(yīng)具備結(jié)構(gòu)化日志輸出和第三方對(duì)接的能力；6月，應(yīng)可還原指定時(shí)間范圍的日志數(shù)據(jù)；應(yīng)具備審計(jì)日志保護(hù)的能力，包括審計(jì)日志不應(yīng)被未授權(quán)的訪問(wèn)、修改和破壞。【增強(qiáng)要求】應(yīng)具備多來(lái)源相同日志去重的能力；測(cè)、根因分析的能力；線上實(shí)時(shí)的算法庫(kù)的能力；應(yīng)具備基于日志實(shí)時(shí)計(jì)算的業(yè)務(wù)指標(biāo)分析和告警的能力。容器編排平臺(tái)安全能力要求容器編排平臺(tái)安全配置核查檢測(cè)規(guī)則要求組件基礎(chǔ)安全配置【基礎(chǔ)要求】應(yīng)具備禁止運(yùn)行特權(quán)容器的能力；應(yīng)具備禁止容器共享主機(jī)進(jìn)程命名空間的能力；應(yīng)具備禁止命名空間中的容器直接訪問(wèn)宿主機(jī)的網(wǎng)絡(luò)資源的能力；應(yīng)具備控制以超級(jí)管理員權(quán)限或超級(jí)管理員組成員身份運(yùn)行容器應(yīng)用的能力；應(yīng)具備禁止容器升級(jí)到超級(jí)管理員權(quán)限的能力；應(yīng)具備鎖定無(wú)寫(xiě)入權(quán)限應(yīng)用的容器文件系統(tǒng)的能力；應(yīng)具備編排平臺(tái)集群控制器設(shè)置密碼保護(hù)的能力；應(yīng)支持使用加密通道作為控制臺(tái)的連接方式；API/端口；API【增強(qiáng)要求】應(yīng)具備設(shè)置一個(gè)只讀的根文件系統(tǒng)的能力；應(yīng)具備設(shè)置容器的強(qiáng)制訪問(wèn)控制機(jī)制（例如：SELinux）的能力；應(yīng)具備限制容器執(zhí)行系統(tǒng)調(diào)用的能力（例如：seccomp）；應(yīng)具備在面向互聯(lián)網(wǎng)的環(huán)境中使用安全容器（例如基于虛擬機(jī)技術(shù)的容器）力；應(yīng)具備將控制器管理服務(wù)綁定到環(huán)回地址上，以最小化攻擊面的能力；應(yīng)具備配置容器鏡像的來(lái)源，確保只有安全的鏡像才能夠部署的能力。資源隔離與加固配置【基礎(chǔ)要求】應(yīng)將不同的應(yīng)用部署在不同的命名空間中，而非默認(rèn)命名空間；應(yīng)具備網(wǎng)絡(luò)流量控制的能力；應(yīng)具備限制命名空間或節(jié)點(diǎn)的資源使用的能力；應(yīng)具備控制對(duì)敏感端口的網(wǎng)絡(luò)訪問(wèn)的能力；應(yīng)保護(hù)編排平臺(tái)配置文件，防止非授權(quán)的訪問(wèn)?！驹鰪?qiáng)要求】力；應(yīng)具備加密集群中的所有通信流量的能力；能力；應(yīng)具備禁止匿名請(qǐng)求的能力；應(yīng)具備禁用基本身份認(rèn)證方式的能力；應(yīng)具備使用基于角色的訪問(wèn)控制并使用最小授權(quán)原則的能力；應(yīng)具備為管理員賬號(hào)分配最小權(quán)限的能力；應(yīng)具備確保編排平臺(tái)配置為只使用強(qiáng)加密密碼的能力；應(yīng)具備訪問(wèn)編排平臺(tái)的請(qǐng)求應(yīng)使用明確授權(quán)的能力；應(yīng)具備啟動(dòng)編排平臺(tái)證書(shū)認(rèn)證的能力；應(yīng)具備編排平臺(tái)服務(wù)器/客戶端證書(shū)輪換的能力。安全管理安全管理中心組件進(jìn)行集中的管控、檢測(cè)和審計(jì)的能力；應(yīng)具備制定容器編排平臺(tái)安全配置核查的工作機(jī)制和流程的能力。審計(jì)日志配置應(yīng)具備在主機(jī)層面、應(yīng)用層面和云端進(jìn)行日志記錄的能力；應(yīng)具備合理設(shè)置日志本地存儲(chǔ)，防止因網(wǎng)絡(luò)通信問(wèn)題造成的丟失的能力。監(jiān)控配置應(yīng)具備各類(lèi)事件的告警和日志創(chuàng)建的能力；應(yīng)具備配置統(tǒng)一的監(jiān)控告警平臺(tái)的能力；應(yīng)具備設(shè)置合理的報(bào)警規(guī)則的能力；應(yīng)具備將必要告警通知相應(yīng)的人員和部門(mén)的能力。其他應(yīng)具備及時(shí)升級(jí)編排平臺(tái)到最新的版本的能力；應(yīng)具備在升級(jí)編排平臺(tái)時(shí)刪除不用的組件的能力。容器編排平臺(tái)安全加固【基礎(chǔ)要求】KuberneteskubeletAPIServer、Etcd）；應(yīng)具備對(duì)集群內(nèi)組件的身份認(rèn)證、密鑰等敏感信息進(jìn)行加密保護(hù)的能力；應(yīng)具備集群內(nèi)組件使用安全協(xié)議傳輸通信（例如：TSL/SSL）的能力；應(yīng)具備對(duì)集群組件的安全漏洞庫(kù)實(shí)時(shí)更新的能力；應(yīng)具備限制外部網(wǎng)絡(luò)訪問(wèn)容器的能力；應(yīng)具備對(duì)集群共享數(shù)據(jù)庫(kù)（例如：Etcd）存儲(chǔ)內(nèi)容加密的能力。【增強(qiáng)要求】應(yīng)具備對(duì)集群內(nèi)組件的身份認(rèn)證、密鑰等敏感信息進(jìn)行托管保護(hù)的能力；應(yīng)具備容器編排組件入侵檢測(cè)的能力應(yīng)具備對(duì)集群私有數(shù)據(jù)庫(kù)存儲(chǔ)內(nèi)容加密的能力。認(rèn)證授權(quán)在主體（包括：用戶、設(shè)備、應(yīng)用、API等）訪問(wèn)容器編排平臺(tái)所管理的資源時(shí)，需要對(duì)訪問(wèn)主體的身份進(jìn)行認(rèn)證，并對(duì)訪問(wèn)行為進(jìn)行授權(quán)鑒別；以確保主體身份的合法性和操作行為的合規(guī)性。認(rèn)證要求【基礎(chǔ)要求】API信，可追責(zé)；應(yīng)具備配置外部身份源（例如：LDAP、SCIM）的能力；應(yīng)具備認(rèn)證信息可以設(shè)置安全周期范圍，超過(guò)安全周期需重新認(rèn)證的能力；應(yīng)具備對(duì)用戶名/的簽名、有效性進(jìn)行驗(yàn)證的能力；應(yīng)具備集成外部單點(diǎn)登錄服務(wù)功能和標(biāo)準(zhǔn)認(rèn)證協(xié)議（例如：OAuth2.0、OIDC的能力；應(yīng)使用安全協(xié)議完成身份認(rèn)證過(guò)程，認(rèn)證失敗后實(shí)施安全控制措施；應(yīng)具備客戶端證書(shū)認(rèn)證的能力，實(shí)現(xiàn)雙向認(rèn)證，支持多種協(xié)調(diào)通信加密方案；并減少靜態(tài)令牌認(rèn)證范圍；應(yīng)支持提供多種認(rèn)證方式（例如:OpenID、KeystonePassword、匿名請(qǐng)求等并減少匿名認(rèn)證范圍；【增強(qiáng)要求】應(yīng)具備認(rèn)證協(xié)議的安全配置的能力，防止篡改、重置、假冒等攻擊；應(yīng)支持多種認(rèn)證憑證類(lèi)型，包括但不限于用戶名/物特征等；可根據(jù)不同安全需求支持不同認(rèn)證憑證及多種認(rèn)證憑證的組合，應(yīng)具備對(duì)于用戶身份敏感信息（例如：郵箱、手機(jī)號(hào)等）加密存儲(chǔ)的能力；應(yīng)具備擴(kuò)展自定義認(rèn)證方法的能力；應(yīng)禁止靜態(tài)令牌、靜態(tài)文件、匿名請(qǐng)求等靜態(tài)認(rèn)證方式。授權(quán)要求在主體（包括：用戶、設(shè)備、應(yīng)用、API等）訪問(wèn)容器編排平臺(tái)所管理的資源時(shí)，需要對(duì)訪問(wèn)行為進(jìn)行授權(quán)鑒別，以最小權(quán)限原則控制訪問(wèn)授權(quán)，容器編排平臺(tái)對(duì)于訪問(wèn)授權(quán)的安全要求包括：【基礎(chǔ)要求】應(yīng)具備采用基于角色的訪問(wèn)控制策略的能力，支持跨域授權(quán)；應(yīng)具備采用基于集群資源的授權(quán)管理方式的能力，支持跨域授權(quán)；用；控制，拒絕不符合授權(quán)的訪問(wèn)，保留授權(quán)驗(yàn)證記錄；應(yīng)具備權(quán)限范圍配置的能力，以確保權(quán)限定義和授權(quán)邊界清晰；應(yīng)具備提供控制訪問(wèn)會(huì)話功能的能力，以停止非授權(quán)的集群資源訪問(wèn)；應(yīng)具備提供永遠(yuǎn)拒絕（例如：AlwaysDeny）/始終允許（例如：AlwaysAllow）局訪問(wèn)控制策略的能力?！驹鰪?qiáng)要求】權(quán)限配置，以最小權(quán)限原則不過(guò)度授權(quán)；應(yīng)具備可擴(kuò)展的第三方授權(quán)組件，并提供與容器內(nèi)置組件的無(wú)縫銜接的能力。密鑰管理編排平臺(tái)相關(guān)的密鑰管理應(yīng)包括對(duì)密鑰的生成、存儲(chǔ)、分發(fā)、導(dǎo)入、導(dǎo)出、使用、備份、恢復(fù)、歸檔與銷(xiāo)毀等環(huán)節(jié)進(jìn)行管理和策略制定的全過(guò)程。密鑰生成【基礎(chǔ)要求】應(yīng)具備產(chǎn)生的密鑰不重復(fù)，并保證其機(jī)密性的能力；密鑰應(yīng)在密碼模塊內(nèi)部產(chǎn)生，不以明文方式出現(xiàn)在密碼模塊之外；應(yīng)具備檢查和剔除弱密鑰的能力；止時(shí)間?！驹鰪?qiáng)要求】GM/T0005GM/T0028塊中產(chǎn)生；應(yīng)使用國(guó)家密碼管理部門(mén)批準(zhǔn)的硬件物理噪聲源產(chǎn)生隨機(jī)數(shù)。密鑰存儲(chǔ)【基礎(chǔ)要求】應(yīng)具備密鑰加密存儲(chǔ)的能力，采取必要的安全防護(hù)措施，防止密鑰被非法獲??；GM/T0028【增強(qiáng)要求】GM/T0028通過(guò)國(guó)家密碼管理部門(mén)核準(zhǔn)的硬件密碼產(chǎn)品；應(yīng)具備密鑰泄露時(shí)的應(yīng)急處理和響應(yīng)措施的能力。密鑰分發(fā)【基礎(chǔ)要求】應(yīng)具備密鑰分發(fā)安全措施的能力，以防止在分發(fā)過(guò)程中泄露；應(yīng)具備身份鑒別的能力，以保障數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性；應(yīng)具備抗截取、假冒、篡改、重放等攻擊的能力，以保障密鑰的安全性。密鑰導(dǎo)入與導(dǎo)出【基礎(chǔ)要求】a) 括采用加密、知識(shí)拆分或者使用專(zhuān)用設(shè)備等方法?！驹鰪?qiáng)要求】a) 應(yīng)具備保證系統(tǒng)密碼服務(wù)不間斷的能力。密鑰使用【基礎(chǔ)要求】密鑰應(yīng)明確用途，并按用途正確使用；采取必要的安全防護(hù)措施，防止密鑰的泄露，以及防止密鑰被非法替換和使用；對(duì)于公鑰密碼體制，在使用公鑰之前應(yīng)對(duì)其進(jìn)行驗(yàn)證；應(yīng)按照密鑰更換周期要求更換密鑰；應(yīng)采取有效的安全措施，保證密鑰更換時(shí)的安全性；應(yīng)支持密鑰泄露時(shí)停止使用，并啟動(dòng)相應(yīng)的應(yīng)急處理和響應(yīng)措施。密鑰備份與恢復(fù)【基礎(chǔ)要求】份或恢復(fù)；或恢復(fù)的主體、備份或恢復(fù)的時(shí)間等。密鑰歸檔【基礎(chǔ)要求】應(yīng)采取有效的安全措施，保證歸檔密鑰的安全性和正確性；歸檔密鑰只能用于解密該密鑰加密的歷史信息或驗(yàn)證該密鑰簽名的歷史信息;歸檔密鑰應(yīng)進(jìn)行數(shù)據(jù)備份，并采用有效的安全保護(hù)措施。密鑰銷(xiāo)毀【基礎(chǔ)要求】a) 應(yīng)具備在緊急情況下銷(xiāo)毀密鑰的能力。網(wǎng)絡(luò)安全【基礎(chǔ)要求】IPIP應(yīng)具備缺省放行和阻斷的訪問(wèn)控制能力；應(yīng)具備對(duì)具體某個(gè)網(wǎng)絡(luò)連接訪問(wèn)放行和阻斷動(dòng)作的控制能力；應(yīng)具備對(duì)容器應(yīng)用的訪問(wèn)控制能力；應(yīng)具備對(duì)宿主機(jī)應(yīng)用的訪問(wèn)控制能力；應(yīng)支持對(duì)邏輯邊界的訪問(wèn)控制能力，邏輯邊界包含命名空間和租戶；應(yīng)具備扺抗繞過(guò)能力；應(yīng)具備對(duì)容器網(wǎng)絡(luò)或容器端口掃描行為進(jìn)行檢測(cè)并告警的能力；SQL服務(wù)攻擊、異常報(bào)文攻擊等。【增強(qiáng)要求】主機(jī)應(yīng)用等；應(yīng)具備基于域名的訪問(wèn)控制能力；應(yīng)具備根據(jù)環(huán)境內(nèi)業(yè)務(wù)訪問(wèn)關(guān)系自動(dòng)生成的能力；應(yīng)具備記錄網(wǎng)絡(luò)會(huì)話日志能力；應(yīng)具備根據(jù)協(xié)議設(shè)置流量隔離能力；應(yīng)具備針對(duì)租戶、節(jié)點(diǎn)、以及容器等對(duì)象的統(tǒng)一的訪問(wèn)控制能力；應(yīng)具備對(duì)隔離策略自定義創(chuàng)建、更新、刪除和自動(dòng)推薦的隔離策略管理能力。應(yīng)具備對(duì)編排平臺(tái)下的容器最小部署單元的自動(dòng)隔離能力。應(yīng)具備與其他安全產(chǎn)品進(jìn)行關(guān)聯(lián)分析，聯(lián)動(dòng)處置的能力；應(yīng)具備多種自動(dòng)響應(yīng)方式的能力。編排系統(tǒng)日志審計(jì)【基礎(chǔ)要求】ID，結(jié)果、賬戶、角色、時(shí)間等多維度信息，以便后期快速定位錯(cuò)誤應(yīng)支持記錄容器編排系統(tǒng)中不同資源（如計(jì)算資源，網(wǎng)絡(luò)資源，存儲(chǔ)資源）建、更新、刪除、訪問(wèn)等操作；誤應(yīng)具備選擇記錄日志的級(jí)別的能力，以便應(yīng)對(duì)資源開(kāi)銷(xiāo)，具體級(jí)別可以包括：應(yīng)具備選擇記錄日志類(lèi)型的能力，例如基本日志、告警日志、錯(cuò)誤日志等時(shí)能通過(guò)一定的緩存機(jī)制保證數(shù)據(jù)的連續(xù)性。記錄哪些事件”，“應(yīng)包含哪些數(shù)據(jù)”等的生命周期可簡(jiǎn)單分為以下階段：應(yīng)具備針對(duì)收集日志的數(shù)據(jù)格式進(jìn)行結(jié)構(gòu)化調(diào)整的能力應(yīng)具備針對(duì)收集日志中的事件進(jìn)行自動(dòng)聚合的能力，以便于后期進(jìn)行分類(lèi)查詢(xún)應(yīng)具備向外導(dǎo)出日志的能力，以便與外部日志分析系統(tǒng)（例如:SIEM）進(jìn)行聯(lián)動(dòng)TLS；條件進(jìn)行查詢(xún)應(yīng)具備為日志存儲(chǔ)提供參數(shù)配置的能力【增強(qiáng)要求】的運(yùn)行狀態(tài)，找出日志事件可能隱藏的規(guī)律和隱患應(yīng)具備自動(dòng)根據(jù)冷/熱數(shù)據(jù)采用不同的硬件策略的能力微服務(wù)安全能力要求APIAPI【基礎(chǔ)要求】APIAPI的權(quán)限隔離；API應(yīng)具備對(duì)基本數(shù)據(jù)類(lèi)型過(guò)濾的能力，包括通過(guò)增加規(guī)則過(guò)濾常規(guī)漏洞的攻擊；應(yīng)具備特定請(qǐng)求（IP、UA）封禁的能力；API（例如：gRPC、GraphQL、Restful、SOAP）能力；API（例如：身份信息、地理位置）能力；APIAPIAPI【增強(qiáng)要求】API行分析的能力、反爬蟲(chóng)機(jī)制、數(shù)據(jù)防泄漏的能力；APIAPI應(yīng)具備數(shù)據(jù)防篡改的簽名機(jī)制的能力，以防范中間人攻擊。APIAPIAPIWeb（例如：SQLi、XSS、SSRF、XXE、RCE）；APIAPI（例如：fastjson、shiro、log4j、spring）測(cè)的能力；API機(jī)制；APIAPI測(cè)其脆弱性；API【增強(qiáng)要求】APIAPIAPI微服務(wù)應(yīng)用安全認(rèn)證能力要求【基礎(chǔ)要求】應(yīng)具備針對(duì)不符合認(rèn)證策略流量預(yù)警的能力；應(yīng)具備面向外部服務(wù)訪問(wèn)認(rèn)證的能力；應(yīng)具備面向內(nèi)部服務(wù)訪問(wèn)認(rèn)證的能力；應(yīng)具備跨集群、混合云環(huán)境中的微服務(wù)內(nèi)部與外部訪問(wèn)認(rèn)證的能力?！驹鰪?qiáng)要求】無(wú)授權(quán)能力要求【基礎(chǔ)要求】應(yīng)具備配置微服務(wù)之間能否訪問(wèn)的策略的能力應(yīng)具備針對(duì)不符合授權(quán)策略的流量預(yù)警的能力應(yīng)具備面向外部服務(wù)訪問(wèn)授權(quán)的能力應(yīng)具備面向內(nèi)部服務(wù)訪問(wèn)授權(quán)的能力應(yīng)具備以微服務(wù)粒度檢測(cè)與繪制微服務(wù)之間訪問(wèn)關(guān)系的能力應(yīng)具備跨集群、混合云環(huán)境下的微服務(wù)內(nèi)部與外部授權(quán)機(jī)制的能力應(yīng)具備基于角色的訪問(wèn)控制的能力【增強(qiáng)要求】APIAPI應(yīng)具備通過(guò)網(wǎng)絡(luò)訪問(wèn)日志推薦授權(quán)策略的能力應(yīng)具備當(dāng)微服務(wù)訪問(wèn)出現(xiàn)變化時(shí)，可配置默認(rèn)策略，并發(fā)出變動(dòng)預(yù)警消息的能力API【基礎(chǔ)要求】APIAPI應(yīng)支持客戶端訪問(wèn)服務(wù)端的憑證（例如：Token）授權(quán)認(rèn)證機(jī)制；應(yīng)支持服務(wù)端對(duì)客戶端訪問(wèn)驗(yàn)證時(shí)間戳超時(shí)機(jī)制；應(yīng)支持服務(wù)訪問(wèn)簽名機(jī)制保證數(shù)據(jù)完整性；【增強(qiáng)要求】APIAPIAPI通信安全【基礎(chǔ)要求】應(yīng)具備微服務(wù)間雙向通信加密（例如：mTLS）的能力；應(yīng)具備對(duì)通信安全策略可配置的能力?！驹鰪?qiáng)要求】a) API憑證管理【基礎(chǔ)要求】a) 應(yīng)具備高可用的重