云原生：原生云安全理念兴起，推动安全与云深度融合

云世 2021-10-28

592

（一）云原生重塑 IT 架构，端到端安全风险引关注

云原生技术正在全球范围内被快速采纳，根据 IDC 预测，到 2022 年全球 60%的组织机构将增加对云原生应用及平台的资金投入。以容器、微服务、DevOps 为代表的云原生技术的引入，促使 IT 架构从稳态转向敏捷。IT 架构的变换也使得基于边界的传统安全模型不再适用，新架构下的安全风险备受关注。

表 1 传统安全与云原生体系安全的主要区别

	传统安全	云原生安全
安全模型	重视边界安全	注重端到端的全链路安全性。
身份管理	基于 IP 地址的身份管理	基于服务的身份管理
隔离粒度	虚拟机或物理机级别，隔离依靠物理设备或管理程序实现隔离。	容器级别，使用 namespace 和 cgroup 等技术实现进程级隔离。
威胁应对	被动。快速检测威胁是首要任务。确定漏洞后才执行用于缓解威胁的步骤。	主动。恶意软件活跃于易受攻击的软件上以及静态不变的系统上。首先要做的是强势改变系统状态，从而消除恶意软件生存所需的条件。
漏洞修补方式	增量修补。修补程序以增量方式应用到系统，因为每个修补程序都要由内部团队审批。	通过彻底重新部署进行修补。带有最新组件的全新镜像利用自动化和不可变基础架构的理念应用到数据中心。

1. 基础设施轻量化在隔离和组件交互方面带来新的挑战

以容器和编排为核心基础的云原生技术架构，将容器取代虚拟机成为资源承载调度的最小单元。部署模式的改变带来全新安全问题：

在隔离性方面，不同于虚拟机的独立操作系统，容器技术共享宿主机操作系统，这种进程级别的“软”隔离，增加了逃逸风险；
在数据共享方面，紧密联系的多个容器通常共享某些数据，这些容器中的某一个被攻破都会导致数据泄露，使得攻击面大大增加；
在组件交互方面，容器及其编排系统的组件高度解耦、分散部署，协同交互的组件链条增长，中间态的攻击风险增加。同时新技术的不熟悉也导致因部署不合规而被攻击的现象频发。

2. 容器镜像全链路追踪管控成为难题

容器镜像是云原生技术架构中软件交付流转的主要形态，贯穿应用研发、测试、预生产和生产运营的全生命周期，流转链路长、涉及人员机构复杂，安全管控难度较高。

基础镜像来源复杂，源头管控难，除官方镜像仓库外，还存在大量第三方镜像仓库，镜像来源难以统一把控，同时包括官方镜像在内的大量基础镜像均存在一定程度的安全漏洞，也为镜像安全的源头控制增加了难度。
传输过程中间人攻击篡改难校验，现阶段容器签名技术尚未被企业、用户大范围采用，若用户采用非加密方式在镜像仓库下载传输容器镜像，传输过程中被中间人篡改而难以发现。
全链路交互人员复杂，链路监测追踪难实现。容器镜像的完整生命周期涉及跨部门的多团队协作，开发、测试和运维人员会根据不同需求操作容器镜像，任何一个环节的改动都会增加镜像的安全风险。实现容器镜像全生命周期的流转监测、更改、部署和反向追踪难度较大。

3. 应用微服务化增加攻击风险，存在连锁攻破可能

容器技术保证了运行环境的强一致性，为应用服务的拆分解耦提供了前提，应用微服务化进程加速，同时也带来新的安全隐患：

单体应用拆分导致端口数量暴增，攻击面大幅增加。微服务将单体架构的传统应用拆分成众多个服务，应用间交互的端口成指数级增长，相较于单体应用架构集中在一道口防护的简单易行，微服务化应用在端口防护、访问权限、授权机制等方面的难度陡增。
强关联微服务间连锁攻破风险高。尽管微服务提倡隔离、轻量、独立开发部署、业务松耦合，但现实情况中很多场景下的多个服务间是紧密联系的，这些强关联的微服务间是点对点的形式进行沟通连接，随着连接点的增多，整个连接体系中的单一服务因漏洞被攻破会增加整个系统的破解风险。

（二）原生云安全推动安全与云深度融合

随着云计算应用的普及与成熟，安全问题日益受到关注，原生云安全理念应运而生，原生云安全理念并不是只解决云原生技术带来的安全问题，而是一个全新的安全理念，旨在将安全与云计算深度融合，推动云服务商提供更安全的云服务，帮助云计算客户更安全的上云。

原生云安全架构

原生云安全指云平台安全的原生化和云安全产品的原生化。安全原生化的云平台能够将安全融入从设计到运营的整个过程中，向用户交付更安全的云服务；原生化的云安全产品能够内嵌融合于云平台，解决用户云计算环境和安全架构割裂的痛点。

1. 云平台安全原生化，交付用户更安全的云服务

原生云安全强调云平台安全原生化，云服务商从云平台的设计阶段起考虑安全因素、纳入解决方案，将安全前置，让云计算成为更安全可信的新型基础设施。与大部分云计算客户相比，云服务商具备更强、更专业的安全技术和管理能力。当云计算平台深度融合了云服务商的安全能力，云计算客户在此基础上使用云服务，一些安全责任由云服务商承担，部分安全问题已被云服务商解决，云计算客户无需再关注，与云计算客户以往自建 IT 架构相比，将更加安全便捷。

云服务商可以从三大方面充分发挥自身安全能力优势，不断促进云平台安全原生化：

一是从研发阶段关注云计算安全问题，前置安全管理。针对云服务的安全，通过在产品研发早期便融入安全措施来提升软件质量，覆盖软件研发运营整个过程，降低解决安全问题的成本，具体措施如图所示，包括：

1）管理架构，建立合适的人员组织架构与制度流程，保证研发运营流程安全的具体实施；
2）安全培训，针对人员进行安全培训，增强安全意识，进行相应考核管理；
3）明确安全要求，前期明确安全要求，如设立质量安全门限要求，进行安全审计，对于第三方组件进行安全管理等；
4）安全需求分析与设计，在研发阶段之前，进行安全方面的需求分析与设计，从合规要求以及安全功能需求方面考虑，进行威胁建模，确定安全需求与设计；
5）安全研发测试，搭配安全工具确保编码安全，同时对于开源及第三方组件进行风险管理，在测试过程中，针对安全、隐私问题进行全面、深度的测试；
6）安全发布，服务上线发布前进行完整性审查，制定事先响应计划，确保发布安全；
7）运营安全，上线运营阶段，进行安全监控与安全运营，通过渗透测试等手段进行风险评估，针对突发事件进行应急响应，并及时复盘，形成处理知识库，汇总运营阶段的安全问题，形成反馈机制，优化研发运营全流程；
8）服务停用下线，制定服务下线方案与计划，

明确隐私保护合规方案，确保数据留存符合最小化原则。

可信研发运营安全体系

关于安全前置的实现，目前业界的共识为通过安全解决方案将安全融入现有研发流程，不破坏现有的研发环境。Gartner 也提出要使用安全测试工具和流程去适应研发人员；使用新型工具和方法来最大程度降低对于研发人员的影响。新型的工具主要包括静态应用程序安全测试、交互式应用程序安全测试、软件组成分析、运行时应用自保护。

二是落地应用新兴安全技术，推动云平台整体安全。随着云计算安全态势的日益严峻与场景复杂化发展，安全技术也在迅速衍生，新安全技术的落地与应用，能够有效提升云平台安全性。

1）零信任革新无边界网络安全架构。云计算使得网络安全边界概念消失，传统的基于边界的网络安全架构和防护机制难以有效应用，零信任架构应运而生。零信任以数字身份为基石，对人、设备、应用等所有访问主体赋予数字身份，通过信任评估模型和算法，对身份进行持续的信任等级评估，动态的授予最小权限，彻底推翻边界安全架构下对信任的假设和滥用，以适应云计算环境下复杂的网络安全环境。

2）智能+安全，提升应用效率与深度。随着 AI 技术的不断发展和成熟，越来越多的云服务商将其与云安全技术结合，实现云安全智能分析、检测和防御。

在智能分析方面，AI 技术能够对云安全相关的海量数据进行深入挖掘以提取有效信息，极大程度提升分析效率。
在智能检测方面，利用AI 技术，能够发现人为难以察觉的潜在的安全事件，对可能发生的风险进行预警。
在智能防御方面，结合历史事件与经验，提出精细化的事件处置建议或自动响应事件，实现安全运营闭环。

3）保密计算保障云上数据使用中安全。目前，在数据全生命周期加密处理中，数据加密存储和传输已发展较为成熟，而加密数据的计算作为生命周期中的关键环节，仍存在较大缺口。Gartner 在“Hype Cycle for Cloud Security”中首次列入保密计算（confidential computing）技术，国内外头部云服务商也已经开展相关技术研究或应用工作。保密计算基于可信执行环境（TEE），以可信硬件为载体，提供硬件级强安全隔离和通用计算环境，加密数据只能在可信执行环境中计算和运行，所有数据参与方均无法触及和控制计算行为，能够有效保障云上数据使用中的安全。目前，保密计算在用户数据与隐私保护、多方/跨境数据合作、密钥管理等场景下已经得到应用并取得显著效果。

三是提高交付云服务的安全性，SaaS 安全迎来新挑战。随着云服务市场的迅速发展，如何交付更安全的云服务显得尤为重要。根据中国信通院《中国公有云发展调查报告（2020 年）》统计，有 42.4%的企业在选择公有云服务商时会考虑服务安全性，是影响企业选择的重要因素。云服务安全性的重点关注方向包括外部环境、云平台、管理流程、人员管理、合规管理以及业务连续性管理等方面。

云服务安全性重点关注方向

疫情期间，协同办公、视频会议、电子签约、数字营销等 SaaS 产品成为企业刚需，SaaS 服务为各行各业数字化转型、信息化升级提供了便利，同时，也带来了新的安全挑战。除服务功能、服务可用性外， SaaS 服务的安全性是企业选择和使用 SaaS 时的核心考量因素，让SaaS 更安全是服务提供商的重要发展方向。针对 SaaS 安全，目前关注较多的问题包括：

如何保障数据安全、
如何实现完善的多租户隔离、
如何保障 SaaS 应用程序部署时的安全性、
如何实现有效的网络安全防护以及 SaaS 服务的安全合规、
如何保障安全备份与恢复、
如何保障身份鉴别及权限管理等问题。

2. 云安全产品原生化，为用户提供更有力保障

原生云安全提倡安全产品原生化。云服务商、安全厂商等提供内嵌于云、能够有效解决云上安全风险的原生安全产品；云计算客户能够利用原生安全产品，建设与云计算环境融合的安全体系与架构，规避传统安全架构与云计算环境割裂等问题，更加安全的使用云计算。内嵌于云的原生安全产品，能够充分了解和利用云平台，最大限度发挥安全防护能力，极大程度提升云计算客户体验。

原生安全产品特性和优势主要体现在四方面：

1）产品采用内嵌的方式而无需外挂部署，云计算客户可以更加便捷的使用，产品运行更加稳定和安全；
2）产品充分利用云平台原生的资源和数据优势，拥有弹性的计算和网络能力，整合、关联分析云平台内海量数据，深入挖掘潜在安全风险；
3）产品与客户云资产有效联动，实现从检测、告警到处置的安全运营自动化闭环；
4）解决云计算架构带来的特有安全问题，实现云计算的使用安全。云服务商自身也是云安全的提供商，安全厂商在安全领域有其特有的优势。根据中国信息通信研究院《中国私有云发展调查报告（2020 年）》统计，55.2%的企业表示私有云安全产品和服务由第三方安全厂商提供，选择私有云服务商提供安全产品和服务的企业占比为 37.6%。因此，为实现真正意义上的原生云安全，云服务厂商与安全厂商应加强合作，共建云安全生态。

单类云安全产品趋于整合，形成综合的云安全解决方案。针对综合的云安全解决方案，原生云化部署充分利用云平台原生资源和数据优势，与云资产联动，避免安全管理复杂化、碎片化，实现安全运营自动化闭环，提升云的整体安全性。

目前综合的云安全解决方案主要包括三种类型：

1）云工作负载保护平台（CWPP），以工作负载为中心的安全解决方案，旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求，不受地理位置的影响，为物理机、虚拟机、容器和无服务器工作负载提供统一的可视化和控制力。CWPP 产品通常结合使用网络分段、系统完整性保护、应用程序控制、行为监控、基于主机的入侵防御和可选的反恶意软件保护等措施，保护工作负载免受攻击。CWPP 集成云防火墙、主机安全、恶意软件扫描、应用程序控制、漏洞管理、日志管理和监控等云安全产品的能力。

2）云访问安全代理（CASB），核心价值是解决深度可视化、数据安全、威胁防护、合规性这四类问题。

a）深度可视化包括影子 IT 发现、组织机构云服务格局的统一视图以及从任何设备或位置访问云服务中数据的用户详细信息；
b）数据安全指实施以数据为中心的安全策略，以防止基于数据分类、数据发现以及因监控敏感数据访问或提升权限等用户活动而进行有害活动；
c）威胁防护指防止有害设备、用户和应用程序访问云服务，包括通过嵌入式 UEBA 识别异常行为、威胁情报、网络沙箱以及恶意软件识别和缓解；
d）合规性指确定云中的敏感数据，并执行数据泄露防护策略，满足合规需求。CASB 主要集成访问控制（IAM）、数字证书等身份与访问控制类与数据加密等数据安全类产品的能力。

3）云安全态势管理（CSPM），核心解决的是云平台在使用过程中的配置安全问题，配置问题包括了几种类型：账号特权、网络和存储配置、以及安全配置（如加密设置），如果发现配置不合规，CSPM 会采取行动进行修正。CSPM 与访问控制配置、网络配置、存储配置、数据库配置等与云安全配置管理相关的安全产品密切关联。