云原生安全2.X 进化论

随着云计算技术的蓬勃发展，传统上云实践中的应用升级缓慢、架构臃肿、无法快速迭代等“痛点”日益明显。能够有效解决这些“痛点”的云原生技术正蓬勃发展，成为赋能业务创新的重要推动力，并已经应用到企业核心业务。然而，云原生技术在创造效益的同时，却也面临着严峻的安全问题。当下常见的云原生安全产品在发挥效能的同时也引入新问题。
 
作为国内云安全领域的开拓者，厦门服云信息科技有限公司（品牌名：安全狗）依托多年的云原生容器安全技术创新能力和落地实践经验，详细剖析了云原生安全的过去；并结合当前云原生安全现状，在业界首次提出云原生安全2.X的概念和解决方案；同时依据云原生安全的发展趋势预测了云原生安全的未来方向。
 
一、云原生安全的“过去式”

1.云原生安全1.X

从安全视角来看，云原生技术落地应用也催生了新的云原生安全基础设施，典型产品包括镜像安全、容器安全、网络微隔离、CSPM等等。这些产品主要延续了以往单体应用时代IT安全模型分层的理念，每个产品专注于解决某个层面的风险与威胁。这样基于分层理念的单点安全能力安全狗定义为云原生安全1.X。



2.云原生安全1.X的局限性

云原生安全1.X在实际安全运营过程中，带来一系列局限性，主要包括：单点能力堆叠的防护方式导致更加繁杂的管理工作，阻碍了可见性和安全防护的发展；数十种安全工具无法得到统一控制，漏洞和错误配置繁复；缺乏统一的工具平台支持，方案之间衔接安全盲点百出。
造成这些问题的深层原因，是基于分层理念的单点能力组合式产品方案，与云原生在架构上各层之间模糊化并产生了结构性矛盾。
 
二、云原生安全的“进行时”

1.云原生安全发展趋势

安全狗通过总结发现，Gartner近几年先后提出多个单点安全能力的云原生安全模型，包括：CWPP、CSPM)CIEM) 等模型。而Gartner最后提出云原生应用保护平台(CNAPP)，是统领上述单点模型方案的单一整体平台，云原生安全的发展趋势逐渐呈现一体化。



2.云原生安全2.X

云原生安全的未来，即，“一体化”全栈云原生安全模型方案，可定义为云原生安全2.X。覆盖从代码到云的全栈整体安全的，满足软件资产管理和安全一体化、环境安全一体化、网络层安全一体化、工作负载安全一体化、应用安全一体化等五大安全一体化特征的云原生安全平台，则可称为云原生安全2.X产品方案。
 
3.云原生安全2.X落地模型

云原生安全2.X 是安全狗在业界首次提出的概念。在具体落地方面，安全狗也提出了5+X一体化落地架构模型，其中5个安全一体化是基础，是必须要实现的内容，X代表扩展。



三、安全狗云原生安全2.X云甲

1.云甲介绍

安全狗云原生应用安全解决方案（CNAPP）采用主机安全Agent和安全容器相结合的技术，既落地了“安全左移”的概念，又能对云原生容器做全面保护，同时能灵活地跟容器编排体系相结合，是云原生应用安全最佳实践。
 
安全狗云原生安全2.X通过将容器云平台通用安全能力下沉到“N合1”安全基座上，有效避免单品堆叠部署的局限性。一个Agent同时覆盖主机安全、容器安全、网络微隔离、多租户、安全策略联邦、云原生安全合规、资产精细化采集等云原生全栈安全需求，并且安全组件具有稳定、资源占用少、不影响业务等特点。同时可依托外联WAF、API安全网关和内联RASP虚拟补丁引擎形成“里应外合”一体化方案，有效赋能应用安全。可与容器云平台、数字化安全运营平台无缝衔接，数据共享和联防联抗，满足了安全集成协同需求。



四、云原生安全的“将来时”

结合对云原生安全过去与当下的剖析，安全狗也对云原生安全的未来扩展应用方向进行了展望。

1. 云原生“零信任”扩展方案

第1个扩展方向是云原生“零信任”扩展方案。一个个散落在云平台上的服务实例可类比为一个个散落在不同网络里远程接入的办公终端。基于这种类比，Google在2019年12月发表了BeyondProd白皮书，描述了一种基于零信任的应用于云原生的安全架构。这个图是Istio 实现云原生零信任的架构参考方案。云原生架构结合零信任安全架构可为研发团队和安全团队提供巨大的便利，使应用能够更安全地运行在生产环境中。



2. 云原生5G边缘计算扩展方案

第2个扩展方向是云原生5G边缘计算扩展方案。5G边缘计算节点分布在多个机房，涉及多个运营方和责任方，因而对安全提出了更高的要求，而当前主流的基于云资源池模式的边缘计算安全方案存在很大的局限性。
 
安全狗认为具备“威胁检测、访问控制和态势感知”能力的一体化“N合1”5G MEC云原生安全保护平台将成为新的发展方向。



3. 云原生蜜罐扩展方案

第3个扩展方案是云原生安全蜜罐。参考实现架构如下图所示。它克服了传统蜜罐因为成本、真实度等问题不能实现高覆盖的问题：



• 一是蜜罐模拟环境统一部署在专用网络，与用户业务资产天然隔离，而且不同租户间的蜜网相互隔离，即使逃逸到主机也不影响真实业务资产；

• 二是将VPC网络中的黑洞流量导流至蜜罐，再通过策略配置，选择性响应。不占用用户主机、网络资源，以极低的成本大幅提覆盖率。

• 三是与运行在主机安全Agent共享资源，也就是主机安全Agent扩展一下，实现一种轻量级的非正常业务流量识别出来，引流到蜜罐集中，进一步提升蜜罐部署密度。

五、小结

只有对云原生安全有全面了解，才可以“数往知来”。只有明晰云原生安全的局限与优点，才能推陈出新。相信在不远的未来，云原生安全的发展将更上一层楼。