最近兩年,雲原生的概念
簡直快被“
吹爆
”了
彷彿大家不整點兒雲原生
這雲就算白上了
但有個
不容忽視
的事實是
我們上雲原生的步伐
轟轟烈烈
卻對雲原生帶來的新威脅
所知甚少
稍不留神,我們的新IT底座
就會被“
錘爆
”
為什麼會被錘爆?
作為雲原生的技術底座
容器是雲上“最小”算力單元
其小快靈的特點,深受追捧
可是容器雖小,隱患卻大呀
都有哪些隱患呢?
Gartner的報告針對容器全生命週期
進行了
攻擊面
分析
竟然有十幾個環節存在安全隱患
↓
想不到吧,不光攻擊面增大了
攻擊的時間視窗也延長了
因為,雲原生不僅改變了軟體支撐架構
更改變了軟體的開發和部署模式
所以,從
軟體被開發
那一刻
安全威脅就如影隨形了
↓
DevOps、CI/CD什麼的,確實很棒
但也讓安全隱患有了更多機會鑽空子
因此,這第一波“彈坑”
就藏在開發、封裝階段
↓
無論是
程式碼生產、映象打包
環節
還是第三方
依賴檔案下載
環節
都可能“
夾帶私貨
”,暗藏漏洞和風險
第二波“彈坑”
是在映象管理環節
↓
不管是採用公有映象倉庫
還是自建私有倉庫
都免不了“藏汙納垢”,混入
問題
映象
據統計,容器映象的
漏洞掃描透過率
只有48%
↓
這就意味著,大量
問題映象
被應用到使用者的生產環境
還沒上線就已經險象環生
然鵝,更大的威脅在後面
前兩關雖然埋了不少雷
但業務沒上線,駭客也算攻擊無門
↓
接下來,雲原生業務部署上線
進入「執行時」環節
真正致命的威脅開始了
↓
前面埋下的後門/漏洞/不規範配置
都會在此時一股腦爆發出來
而執行時本身,又面臨各種新攻擊
粗粗數一下彈坑,可謂槍槍致命
↓
除了這些“不法操作”
容器環境還有先天“發育不良”
比如容器網路是個
大二層
例項之間可以隨便互訪
安全威脅很容易實現“橫移”
↓
既然雲原生環境這麼兇險
各安全大廠還不喜大普奔
速速拿出看家本領嚴防死守?
您說對了
大家的確都關注到這塊需求
遺憾的是
傳統安全的幾大金剛
在
傳統IT架構
下呼風喚雨
面對
雲原生環境
,卻有點水土不服
防火牆也好,WAF也好,漏掃/殺軟也好
要麼
,只能隔靴搔癢,查不了這麼細
比如對雲原生環境的
東西流量
不感冒
或者對
程式碼級缺陷
無從下手
↓
要麼
就是“體型”太重,侵入式部署
容器扛不動,威脅沒防住
系統不堪重負,影響正常業務體驗
↓
傳統安全產品“水土不服”
這一點都不奇怪
來看看CNCF的雲原生安全體系
或許就更容易搞清緣由
(CNCF:The4C‘sofCloudNativeSecurity)
CNCF這張圖的描述
跟Gartner的研究結論異曲同工
從內到外,4個“C”
每一層都危機重重
攻擊面這麼大,鏈條這麼長
每一層對安全能力的要求都不同
不是“懂王”的話,根本搞不定
因此,市面上能提供相關產品和服務的
大部分都是有“
雲原生基因
”的公司
一類
是新興雲原生安全創業公司
他們往往在一兩個層面扎得很深
比如提供程式碼安全、DevSecOps、映象漏掃…
或者打包在CWPP、CSPM之類的方案裡
↓
另一類
,
則是主流雲計算大廠
他們提供內建的雲平臺級安全服務
再結合雲市場中的生態夥伴產品
從外層向內層延伸,逐步完善防禦鏈條
↓
當然,還有第三類
↓
那就是少數“
不服氣
”的傳統安全企業
他們早早看到了雲計算大趨勢
開始密集“操作”,實現
安全+雲
的跨界
這其中,最典型的
當屬山石網科
曾經,國外防火牆我只服PAN
而國內防火牆,我只服山石網科
無論效能、功能、顏值
山石的“牆”都是響噹噹
作為傳統安全領域的老司機
山石網科的“雲轉型”戰略
非常前瞻和堅決
從2013年開始,山石就殺入雲賽道
陸續推出一系列雲安全產品
構築起雲時代的“
安全全家桶
”
↓
面對雲原生安全的一系列新挑戰
山石正式釋出「雲鎧」
主攻
容器安全
領域
為“脆弱”的容器,穿上“聖衣”
再也不怕被“錘爆”
前面我們講過
圍繞雲原生的攻擊面很大
但真正造成破壞性影響的
往往都在「執行時」環節
程式碼缺陷、映象漏洞只是埋了雷
最終引爆,還是在生產執行環境下
↓
so
山石雲鎧
一下子就抓住了要害
【容器執行時防護】
↓
來看看「
雲鎧
」具體是怎麼用吧
打鐵先要自身硬
要保護雲原生環境
首先自己也得是雲原生架構
↓
雲鎧其實是個“兩件套”
1、被封裝成容器映象的“鎧甲本體”
2、用YAML指令碼寫成的“用甲手冊”
在實際的雲原生部署環境中
K8S平臺會根據YAML指令碼指示
從映象倉庫,拉取雲鎧映象
然後把雲鎧作為“
平行容器
”
部署到工作節點上
↓
作為“平行容器”
雲鎧可以按需擴充套件
具備了彈性伸縮的防護能力
無論工作節點部署到哪裡
雲鎧都能如影隨形,收放自如
↓
部署完成後
雲鎧就可以全面保護「容器執行時」
我們來看幾個重點功能
首先
雲鎧對所有的雲原生家底兒
進行全面
資產梳理和配置檢查
映象、應用、網路、叢集分類梳理
並對資產資料的變化提供秒級同步
↓
雲原生環境資產梳理,是安全保障的基礎,雲鎧基於K8S來重組和管理資產分組,並可以全量和實時增量進行同步,追蹤資產變化動態調整防控物件。
第二
雲鎧提供容器
業務互訪關係畫像
服務依賴、流量趨勢、互訪關係、異常告警
全部一目瞭然
↓
協助雲原生運維人員看清雲內流量,瞭解服務依賴關係,為業務軌跡追溯和審計、運維質量保障、安全事件溯源提供第一手資料。
第三
雲鎧提供容器間
微隔離防護
相容容器平臺各種CNI網路模型
並實時監測容器執行時行為
(程序、網路服務、檔案系統訪問、系統指令呼叫等等)
↓
為容器業務提供東西和南北向網路防火牆,隔離病毒和木馬擴散,並實時監控容器在執行過程中的動態行為,基於行為建模,對異常呼叫進行監測分析和控制(私開埠、掛馬、挖礦、容器逃逸……)。
當然
雲鎧也沒有忽視前期“
埋雷
”隱患
預置了強大的映象漏掃功能
既支援對映象倉庫的漏掃
也支援掃描宿主機內的映象
從而防患於未然
↓
支援Harbor等主流映象倉庫,支援對有更新的映象自動掃描,同時可控制任務數量或僅掃描活躍映象,節省網路資源
在部署實戰中
山石雲鎧可適用於多種雲原生場景
公有云/容器雲/私有云/裸金屬/異構平臺
……
雲原生時代,我們見證了各種紅利
卻又時時擔心被“錘爆”
山石雲鎧
幫你守護雲原生的”小宇宙“