作为数字化转型的底座，云原生在构建新一代基础设施的同时，随之也带来了诸多新型安全挑战，传统的防御体系已经无法适应，导致云原生应用程序面临着极大的安全风险，成为目前业界最为关切和亟待解决的问题。
安全419了解到，近日，字节跳动旗下云服务平台火山引擎携手国际权威分析机构Forrester发布《中国云原生安全市场现状及趋势白皮书》（以下简称：白皮书），以金融、汽车制造、互联网、消费、能源及运营商行业的行业160+位企业CISO及安全负责人、决策者的真实调研数据为基础，系统阐述企业所处的云原生安全风险境况并提供对应建议。
透过这项调研，我们或许可以为企业构建云原生安全防护体系找到切实可行的方法。
从云到云原生，是从“应用迁移上云”到“应用针对云环境而设计开发及运行”的跃迁，其引入了容器、微服务等新兴技术，推动架构现代化、应用负载分布式以及平台创新化，在云平台和云实践两方面带来范式性转变。
首先，云原生平台不仅在部署架构层面加速从孤立云环境的集中式部署向多云、混合云和云边协同的分布式部署转型，而且在基础架构层面朝着包括容器化和虚拟化在内的混合架构迁移，与此同时，应用架构也在进行着从单体式向分布式、从组件化历经服务化向大规模微服务化的转换。
其次，随着传统的流程驱动、手动方式的基础设施运维被基础设施即代码（IaC）、站点可靠性工程（SRE）和自动化（RPA）取代，基于云原生技术的全云实践推动企业开发和运维团队从瀑布式向敏捷与DevOps模式转型，实现更加灵活高效的云端协作，而且在开发领域层面，帮助开发团队从传统的核心业务系统开发加速拓展至更广泛的新兴领域。
可以说，云原生直接改变了企业的开发方式、运营方式和管理模式，给数字化转型带来巨大的技术支撑契机。主要体现在帮助企业在瞬息万变的市场环境下建立灵活的业务能力，以应对市场需求的不断变化，降低创造性思维的门槛，解决客户和业务方面的挑战，并且能够对潜在危机建立预案，在无论何种情况下都能基于产品愿景和品牌承诺实现有效交付。
正是云原生对企业在自适应性、创造性和韧性上的战略意义，让以云原生为核心的下一代云平台，成为构建适应未来的现代企业的核心引擎。根据Forrester预测，2023年全球超过40%的企业将会采用云原生优先战略。
云原生普及引发新生安全需求 传统安全体系亟待变革
与此同时，随着云原生技术被引入到企业的技术架构中，更严峻的风险挑战接踵而来，不仅包括面向云原生基础设施的传统安全威胁，也包括针对云原生技术特征的挑战。
一方面，传统环境下的安全问题在云原生环境下依然是存在的，比如 DDoS攻击、漏洞利用、越权篡改、数据泄露等。由于云原生架构可以使应用充分利用云计算的特性，企业需要更重视内在的持续安全，因此围绕边界防护逻辑而建立的传统安全体系在此时显得捉襟见肘。
另一方面，云原生技术也带来诸多新原生安全问题，比如微服务、容器运行时的短生命周期，持续集成和持续交付（CI/CD）全流程监控缺失，镜像及供应链的复杂性等等。不仅如此，云原生技术的快速迭代和部署频率更高，给企业安全团队的人力、资源、技能等带来更大挑战。
因此，白皮书提出，云原生技术发展带来新的安全需求，势必要打破原有的信息安全视角。在应对不断出现的针对云原生基础设施、平台及容器的安全威胁过程中，原有的安全体系亟待变革：
防护对象的变化。安全管理的边界扩展到了容器层面，需要采用新的安全策略和工具来保护容器的安全性，如容器镜像的验证和加密、容器漏洞扫描和运行时监测等。
架构的变化。多云及混合云下的应用架构及工作负载更加复杂，需要采用分布式安全策略和技术，如服务间的身份验证和授权、服务网格的加密通信、微服务的监测和异常检测等。
管理模式的变化。云原生应用的快速迭代和部署频率也对安全治理模式提出了新的要求。传统的安全治理模式通常是基于静态的规则和策略，针对云原生DevOps安全治理需要采用持续安全集成和交付的实践，结合自动化的安全测试、漏洞扫描和合规性检查等工具，以确保安全策略和控制的持续有效性。
构建云原生安全面临技术、组织、文化等方面的诸多挑战
以上趋势洞察在调研数据上得到印证，在已经采用云原生技术的企业中，超过半数（55%）的受访者表示企业已经部署容器安全技术组件保障容器镜像及运行时安全，33%的受访者表示企业计划在未来12个月内引入容器安全技术工具及产品。
然而，事实上，从全生命周期视角来看，针对云原生系统的安防防护仍然存在诸多盲区和薄弱环节。
首先体现在技术层面：
传统的安全技术和工具无法满足云原生环境的需求，74%的受访者认为企业目前缺乏成熟的一体化解决方案以覆盖所有的云应用数据及工作负载；
云原生环境的复杂性和动态性使得安全管理变得更加复杂，73%的受访者反馈，为了保障云原生系统安全既需要整合企业现有的安全组件和产品，同时需要应对大规模的容器化部署、微服务架构和多云环境等挑战；
同时，由于以工作负载为代表的资产更加多样化和复杂化，69%的受访者认为提升云原生环境可见性及洞察力也是安全团队需要持续解决的问题。
技术挑战只是其一，企业同时还面临着来自组织及文化层面的挑战：
云原生安全需要开发、运维和安全的跨团队合作，75%的受访者认为内部不同部门间难以形成统一的认知及内部协同；
其次，云原生安全是一个相对新的领域，74%的受访者表示其企业在云原生安全的控制机制、最佳实践、新兴技术和漏洞趋势等方面缺乏相关的经验和洞察；
而且，全球经济下行及市场的不确定性为企业IT投资带来了较大压力，74%的受访者认为如何使云服务提供商的产品价值最大化也是企业面临的难题。
采用现代安全思维 依托合作伙伴加速构建云原生安全体系
对此，白皮书提出，在考虑构建云原生安全体系时，需要注重包括安全左移在内的全生命周期原生安全。这意味着在软件开发和部署过程中将安全性考虑纳入早期阶段，并嵌入全生命周期流程，保障镜像构建、存储、分发以及运行时的安全。其建议的设计原则包括：
￮ 确保安全策略和控制在整个多云及混合云环境中的统一和一致性；
￮ 实现自动化安全，包括自动化漏洞扫描、强化的CI/CD流程，以及自动化响应和恢复机制等；
￮ 采用零信任原则来构建云原生应用和基础设施，包括最小权限原则、网络隔离、身份验证和授权、容器和微服务的隔离，以及强密码和密钥管理等；
￮ 可见性及可观察性，确保对云原生环境的监控和日志记录足够全面和详细，包括实时监控、日志聚合和分析、行为分析，以及异常检测和警报等；
￮ 安全需求和威胁是不断变化的，因此云原生安全体系需要持续演进，包括定期评估和更新安全策略、及时升级和修补漏洞，以及跟踪最新的云原生安全技术和最佳实践等。
进入架构设计阶段，白皮书给予建议，云原生安全架构需要涵盖云、边、端一体化的全生命周期安全防护：
￮ 在需求设计阶段，从全生命周期阶段确保DevSecOps，即在云原生应用的需求设计阶段，需要做到安全融入产品设计，实现“设计安全”，从代码及供应链上进行主动漏洞扫描、异常代码检测等。
￮ 在开发阶段（Dev），要遵循“安全左移”原则，达到上线即安全。
￮ 在运营阶段（Ops），要遵循“持续监控及响应”原则，融合资产清点、微隔离、入侵检测、安全响应、溯源分析、威胁狩猎等安全能力，形成预测、防御、检测、响应的安全闭环，做到“自适应安全”。
￮ 最终，通过云原生架构及全生命周期安全保障，赢取原生安全的目标。
同时白皮书也明确，依靠企业自有的团队难以应对诸多问题，选择合适的合作伙伴可以帮助企业缩短学习曲线，并快速建立云原生应用开发及基础设施安全的能力。
安全419了解到，在白皮书发布当天，火山引擎也正式发布其云原生安全解决方案，通过提供覆盖云原生应用从设计、开发、部署到运行的一站式全生命周期云原生防护体系，实现云原生应用设计即安全、上线即安全和自适应运营安全，帮助企业在云原生应用的全生命周期中，生成原生化的安全免疫能力，建立起敏捷、可靠的云原生安全体系。
作为从字节跳动内部孵化而出的方案，其能力覆盖情况与市场验证效果成为业界关切的焦点。
根据介绍，这套方案提供覆盖云原生应用生命周期的全链路防护，将云原生安全能力覆盖整个CI/CD生命周期，与DevOps工作流深度集成，并有效实现安全左移。并且兼容多云架构扩展安全运营能力，提供多云资产与身份管理、多云分析与态势感知等能力，通过数据整合、联动响应、精准溯源实现全面的风险洞察与防护。
可以看到，这与白皮书建议的全覆盖、一体化的架构设计相吻合，由于云原生应用数据往往分布在多个云平台和地理位置上，支持和集成多云环境，以确保在多云架构下一致的安全策略和防护措施是至关重要的。
在实践应用方面，我们了解到，这套方案源于字节跳动大规模云原生业务系统安全实践验证，支撑了字节跳动百万级主机、千万级容器的云原生业务系统的安全稳定运行。并且还在外部企业实现了落地，如某头部汽车制造商将既有DevOps平台与该方案融合，在每个阶段设置安全扫描与阻断卡点，将安全问题控制在开发测试阶段，大大降低了安全修复成本与生产环境下的安全风险。
此外火山引擎还透露，未来将在多云安全、大模型安全、隐私和数据安全等领域持续发力，推动其安全领域解决方案的持续进化。
数字化转型、混合多云已经成为业务转型升级的不可逆选择，面对新兴技术与异构环境带来的诸多机遇与挑战，企业在积极拥抱先进技术与应用的同时，需要积极开启云原生安全实践，这不仅是为了解决云计算普及引发的安全问题，更在于以原生的思维构建云、端一体化的安全，推动安全与云计算深度融合，推进云上数字化创新的发展新进程。
京公网安备 11010802033237号
