被吹爆的雲原生,終於被錘爆了

最近兩年,雲原生的概念

簡直快被“

吹爆

”了

被吹爆的雲原生,終於被錘爆了

彷彿大家不整點兒雲原生

這雲就算白上了

但有個

不容忽視

的事實是

我們上雲原生的步伐

轟轟烈烈

卻對雲原生帶來的新威脅

所知甚少

稍不留神,我們的新IT底座

就會被“

錘爆

被吹爆的雲原生,終於被錘爆了

為什麼會被錘爆?

作為雲原生的技術底座

容器是雲上“最小”算力單元

其小快靈的特點,深受追捧

可是容器雖小,隱患卻大呀

被吹爆的雲原生,終於被錘爆了

都有哪些隱患呢?

Gartner的報告針對容器全生命週期

進行了

攻擊面

分析

竟然有十幾個環節存在安全隱患

被吹爆的雲原生,終於被錘爆了

想不到吧,不光攻擊面增大了

攻擊的時間視窗也延長了

因為,雲原生不僅改變了軟體支撐架構

更改變了軟體的開發和部署模式

所以,從

軟體被開發

那一刻

安全威脅就如影隨形了

被吹爆的雲原生,終於被錘爆了

DevOps、CI/CD什麼的,確實很棒

但也讓安全隱患有了更多機會鑽空子

因此,這第一波“彈坑”

就藏在開發、封裝階段

被吹爆的雲原生,終於被錘爆了

無論是

程式碼生產、映象打包

環節

還是第三方

依賴檔案下載

環節

都可能“

夾帶私貨

”,暗藏漏洞和風險

第二波“彈坑”

是在映象管理環節

被吹爆的雲原生,終於被錘爆了

不管是採用公有映象倉庫

還是自建私有倉庫

都免不了“藏汙納垢”,混入

問題

映象

據統計,容器映象的

漏洞掃描透過率

只有48%

被吹爆的雲原生,終於被錘爆了

這就意味著,大量

問題映象

被應用到使用者的生產環境

還沒上線就已經險象環生

然鵝,更大的威脅在後面

前兩關雖然埋了不少雷

但業務沒上線,駭客也算攻擊無門

被吹爆的雲原生,終於被錘爆了

接下來,雲原生業務部署上線

進入「執行時」環節

真正致命的威脅開始了

被吹爆的雲原生,終於被錘爆了

前面埋下的後門/漏洞/不規範配置

都會在此時一股腦爆發出來

而執行時本身,又面臨各種新攻擊

粗粗數一下彈坑,可謂槍槍致命

被吹爆的雲原生,終於被錘爆了

除了這些“不法操作”

容器環境還有先天“發育不良”

比如容器網路是個

大二層

例項之間可以隨便互訪

安全威脅很容易實現“橫移”

被吹爆的雲原生,終於被錘爆了

既然雲原生環境這麼兇險

各安全大廠還不喜大普奔

速速拿出看家本領嚴防死守?

您說對了

大家的確都關注到這塊需求

被吹爆的雲原生,終於被錘爆了

遺憾的是

傳統安全的幾大金剛

傳統IT架構

下呼風喚雨

面對

雲原生環境

,卻有點水土不服

被吹爆的雲原生,終於被錘爆了

防火牆也好,WAF也好,漏掃/殺軟也好

要麼

,只能隔靴搔癢,查不了這麼細

比如對雲原生環境的

東西流量

不感冒

或者對

程式碼級缺陷

無從下手

被吹爆的雲原生,終於被錘爆了

要麼

就是“體型”太重,侵入式部署

容器扛不動,威脅沒防住

系統不堪重負,影響正常業務體驗

被吹爆的雲原生,終於被錘爆了

傳統安全產品“水土不服”

這一點都不奇怪

來看看CNCF的雲原生安全體系

或許就更容易搞清緣由

(CNCF:The4C‘sofCloudNativeSecurity)

被吹爆的雲原生,終於被錘爆了

CNCF這張圖的描述

跟Gartner的研究結論異曲同工

從內到外,4個“C”

每一層都危機重重

攻擊面這麼大,鏈條這麼長

每一層對安全能力的要求都不同

不是“懂王”的話,根本搞不定

被吹爆的雲原生,終於被錘爆了

因此,市面上能提供相關產品和服務的

大部分都是有“

雲原生基因

”的公司

一類

是新興雲原生安全創業公司

他們往往在一兩個層面扎得很深

比如提供程式碼安全、DevSecOps、映象漏掃…

或者打包在CWPP、CSPM之類的方案裡

被吹爆的雲原生,終於被錘爆了

另一類

則是主流雲計算大廠

他們提供內建的雲平臺級安全服務

再結合雲市場中的生態夥伴產品

從外層向內層延伸,逐步完善防禦鏈條

被吹爆的雲原生,終於被錘爆了

當然,還有第三類

那就是少數“

不服氣

”的傳統安全企業

他們早早看到了雲計算大趨勢

開始密集“操作”,實現

安全+雲

的跨界

這其中,最典型的

當屬山石網科

被吹爆的雲原生,終於被錘爆了

曾經,國外防火牆我只服PAN

而國內防火牆,我只服山石網科

無論效能、功能、顏值

山石的“牆”都是響噹噹

被吹爆的雲原生,終於被錘爆了

作為傳統安全領域的老司機

山石網科的“雲轉型”戰略

非常前瞻和堅決

從2013年開始,山石就殺入雲賽道

陸續推出一系列雲安全產品

構築起雲時代的“

安全全家桶

被吹爆的雲原生,終於被錘爆了

面對雲原生安全的一系列新挑戰

山石正式釋出「雲鎧」

主攻

容器安全

領域

為“脆弱”的容器,穿上“聖衣”

再也不怕被“錘爆”

被吹爆的雲原生,終於被錘爆了

前面我們講過

圍繞雲原生的攻擊面很大

但真正造成破壞性影響的

往往都在「執行時」環節

程式碼缺陷、映象漏洞只是埋了雷

最終引爆,還是在生產執行環境下

被吹爆的雲原生,終於被錘爆了

so

山石雲鎧

一下子就抓住了要害

【容器執行時防護】

被吹爆的雲原生,終於被錘爆了

來看看「

雲鎧

」具體是怎麼用吧

打鐵先要自身硬

要保護雲原生環境

首先自己也得是雲原生架構

雲鎧其實是個“兩件套”

1、被封裝成容器映象的“鎧甲本體”

2、用YAML指令碼寫成的“用甲手冊”

被吹爆的雲原生,終於被錘爆了

在實際的雲原生部署環境中

K8S平臺會根據YAML指令碼指示

從映象倉庫,拉取雲鎧映象

然後把雲鎧作為“

平行容器

部署到工作節點上

被吹爆的雲原生,終於被錘爆了

作為“平行容器”

雲鎧可以按需擴充套件

具備了彈性伸縮的防護能力

無論工作節點部署到哪裡

雲鎧都能如影隨形,收放自如

被吹爆的雲原生,終於被錘爆了

部署完成後

雲鎧就可以全面保護「容器執行時」

我們來看幾個重點功能

首先

雲鎧對所有的雲原生家底兒

進行全面

資產梳理和配置檢查

映象、應用、網路、叢集分類梳理

並對資產資料的變化提供秒級同步

被吹爆的雲原生,終於被錘爆了

雲原生環境資產梳理,是安全保障的基礎,雲鎧基於K8S來重組和管理資產分組,並可以全量和實時增量進行同步,追蹤資產變化動態調整防控物件。

第二

雲鎧提供容器

業務互訪關係畫像

服務依賴、流量趨勢、互訪關係、異常告警

全部一目瞭然

被吹爆的雲原生,終於被錘爆了

協助雲原生運維人員看清雲內流量,瞭解服務依賴關係,為業務軌跡追溯和審計、運維質量保障、安全事件溯源提供第一手資料。

第三

雲鎧提供容器間

微隔離防護

相容容器平臺各種CNI網路模型

並實時監測容器執行時行為

(程序、網路服務、檔案系統訪問、系統指令呼叫等等)

被吹爆的雲原生,終於被錘爆了

為容器業務提供東西和南北向網路防火牆,隔離病毒和木馬擴散,並實時監控容器在執行過程中的動態行為,基於行為建模,對異常呼叫進行監測分析和控制(私開埠、掛馬、挖礦、容器逃逸……)。

當然

雲鎧也沒有忽視前期“

埋雷

”隱患

預置了強大的映象漏掃功能

既支援對映象倉庫的漏掃

也支援掃描宿主機內的映象

從而防患於未然

被吹爆的雲原生,終於被錘爆了

支援Harbor等主流映象倉庫,支援對有更新的映象自動掃描,同時可控制任務數量或僅掃描活躍映象,節省網路資源

在部署實戰中

山石雲鎧可適用於多種雲原生場景

公有云/容器雲/私有云/裸金屬/異構平臺

……

被吹爆的雲原生,終於被錘爆了

雲原生時代,我們見證了各種紅利

卻又時時擔心被“錘爆”

山石雲鎧

幫你守護雲原生的”小宇宙“

被吹爆的雲原生,終於被錘爆了

頂部