【云安全】云上资产发现与信息收集

一、云基础设施组件

1、定义

  在云计算基础架构中，基础设施组件通常包括：计算、存储、网络和安全等方面的资源。例如，计算资源可以是虚拟机、容器或无服务器计算引擎；存储资源可以是对象存储或块存储；网络资源可以是虚拟网络或负载均衡器；安全资源可以是身份验证和访问控制机制。

2、传统基础架构VS云基础架构

  云基础设施在传统基础架构计算、存储、网络硬件层的基础上，增加了虚拟化层、云层：

  1）虚拟化层：大多数云基础设施都广泛采用虚拟化技术，包括：计算虚拟化、存储虚拟化、网络虚拟化等。通过虚拟化层，屏蔽了硬件层自身的差异和复杂度，向上呈现为标准化、可灵活扩展和收缩、弹性的虚拟化资源池；

  2）云层：对资源池进行调配、组合，根据应用系统的需要自动生成、扩展所需的硬件资源，将更多的应用系统通过流程化、自动化部署和管理，提升效率。

二、云原生

  云原生（cloud native）是一种基于云的基础之上的软件架构思想,以及基于分布部署和统一运管的分布式云，以容器、微服务、DevOps等技术为基础建立的一套云技术产品体系。云原生从字面意思上来看可以分成云和原生两个部分。云是和本地相对的，传统的应用必须跑在本地服务器上，现在流行的应用都跑在云端，云包含了IaaS,、PaaS和SaaS。原生就是土生土长的意思，我们在开始设计应用的时候就考虑到应用将来是运行云环境里面的，要充分利用云资源的优点，比如云服务的弹性和分布式优势。

  云原生不是一个产品，而是一套技术体系和一套方法论。云原生既包含技术（微服务、容器等基础设施），也包含管理（DevOps、持续交付、重组等）。云原生也可以说是一系列云技术、企业管理方法的集合。云原生目前主要的技术包括：容器化、DevOps、CI/CD、微服务。

三、云上信息收集技术

1、云上信息收集技术介绍

1）首先，在云环境中，资产和信息主要存储在云基础设施、云组件以及使用API密钥（AK/SK）进行访问的云服务中。而在传统环境中，这些资产和信息通常存储在企业自己的服务器和应用程序中。因此，需要使用特定的技术手段来识别和管理这些云资源。

2）其次，由于云环境中的资产和信息分散在多个云平台和服务中，因此在进行资产发现和信息收集时需要考虑跨平台和跨服务的问题，并且需要使用适当的API和协议来获取和处理数据。

3）另外，云环境的动态性也是一个重要的区别。由于云环境中的资源可以随时动态变化，因此需要采用实时监控和自动化管理的方法来保证资产发现和信息收集的准确性和完整性。

2、攻击者视角收集信息

  从攻击者的角度出发，通常情况下，攻击者不像防守者（尤其是入侵检测系统、EDR 等）那样拥有近乎上帝视角下的信息收集能力。因此,攻击者需要、且有必要去挖掘纵深渗透过程中接触到的每一个信息的可利用性。基于这些观察，我们将云原生环境中处于不同层次上的集群、主机、容器、进程及文件都定义为资产，并提出以下两个观点：

  1）发现更多未知资产等同于提高信息收集的“广度”，挖掘已知资产的属性等同于提高信息收集的“深度”；

  2）上层资产的属性 = 下层资产 + 上层资产自身的元数据。

3、防守方视角收集信息

  从防守方的角度出发，可以基于云平台提供的API，动态监测云上各种类型资产的信息，云厂商一般提供资产中心解决方案，第三方厂商一般通过资产适配器将资产引入资产安全管理平台。除了云平台提供的API和资产中心解决方案，防守方还可以借助网络安全工具对云上资产进行监测和管理。这些工具可以扫描云上资产的漏洞、弱点等安全问题，并提供实时的告警和应急响应措施。此外，防守方可以采用资产发现工具和配置管理工具，帮助识别和跟踪云上资产，确保其符合公司的安全标准和政策要求。另外，防守方也可以通过安全评估服务，例如云原生的入侵攻击与模拟平台，对云上资产进行全面的安全评估，以便及时发现并解决潜在的安全风险。

  同时，也可以使用测绘的手段，通过扫描网络空间上的资产，如服务器、路由器、交换机等设备，获取它们的详细信息，例如IP地址、操作系统、服务端口等。这些信息可以被用来建立资产指纹，即对每个资产进行独特的标识，以便后续跟踪和管理。结合资产测绘搜索引擎，可以实现对网络空间中所有可见资产的准确定位和分类，并持续监控其状态变化，及时发现并解决安全问题。