云安全攻防（三）之 面向云原生环境的安全体系

面向云原生环境的安全体系

根据云原生环境的构成，面向云原生环境的安全体系可包含三个层面的安全体制，它们分别是容器安全、编排系统安全和云原生应用安全，下面，我们逐步来讲解这三点：

容器安全

容器环境，又或者是叫容器云，其本质是云计算的一种实现方式，我们可以将其称之为PaaS或者CaaS。容器技术是云原生体系的底层，因而容器安全也是云原生安全的基础。近几年来，随着容器技术越来越多地被大家所青睐，容器安全也逐渐得到了广泛的关注和重视，从事实的角度来讲容器逃逸比虚拟机逃逸容易许多容器环境的安全是云原生安全的重中之重，容器层面的安全可以分为以下的几个部分：

• 容器环境基础设施的安全性，比如主机上的安全配置是否会影响到其上运行的容器，主机上的安全漏洞和恶意进程是否会影响到容器，容器上的进程是否可以利用主机上的安全漏洞等
• 容器的镜像安全，包括镜像中的软件是否存在安全漏洞，镜像在构建过程中是否存在安全风险，镜像在传输过程中是否被恶意篡改等
• 容器在运行时的安全，比如运行的容器之间是否存在隔离，隔离是否充分，容器与容器之间的通信是否安全，容器内的恶意程序运行时是否会影响到其他容器或者是宿主机的安全，容器使用资源的情况是否安全等等
• 整个容器的生态的安全性，比如Docker自身的安全性，Service Mesh/Serverless 对容器安全的影响，容器中安全密钥的管理，容器化后的数据隐私保护等

除了物理安全，容器云环境的安全可以粗略分为两个主要方面：一方面是容器云内部的安全，包括宿主机安全、虚拟化安全、容器网络的安全、管理平台的安全以及数据安全等；另一个方面就是容器云内外之间的网络安全，也就是通常讲的南北向网络安全。

这样，对于容器云的安全方案，可以分别从两个方面进行设计，对于南北向的网络安全，可以通过安全资源池引流的方式，实现相应的安全检测与防护，这也是业界多数云安全解决方案的实现方式。对于容器云内部的安全，可以通过相应的容器安全机制实现。最后将这两部分统一接入云安全集中管理系统，进行统一的安全管理和运营

编排系统的安全

容器技术和编排系统管理系统是云原生生态的两大核心部分,容器技术负责执行，编排系统负责控制和管理，共同构成云原生技术有机体。Kubernetes 已经成为事实上的云原生编排系统，那么Kubernetes 的安全就成为非常重要的编排安全部分。作为最流行的云原生管理和编排系统，Kubernetes具有强大的功能，但同时也具有较高的程序复杂性，也存在着一定的风险性，列如容器基础设施存在的风险、Kubernetes组件接口存在的风险、集群网络存在的风险、访问控制机制存在的风险、软件自身存在的漏洞等

云原生的应用安全

编排系统支撑着诸多微服务框架和云原生应用，如无服务、服务网格等，这些新型的微服务体系也同样存在各种安全风险。例如，攻击者通过编写一段无服务的代码获得处在运行无服务程序容器的Shell权限，进而对容器进行网络渗透。云原生的应用安全包括以下几个方面，面向云原生应用的零信任体系、云原生应用的传统安全机制、业务安全和API安全，虽然业务安全和API安全在Web时代就已经存在，但在云原生的时代出现了新的特点