网站建设seo 视频教程,郑州建网站十大,下载百度app到手机上,谷歌google地图随着云计算技术的蓬勃发展#xff0c;传统上云实践中的应用升级缓慢、架构臃肿、无法快速迭代等“痛点”日益明显。能够有效解决这些“痛点”的云原生技术正蓬勃发展#xff0c;成为赋能业务创新的重要推动力#xff0c;并已经应用到企业核心业务。然而#xff0c;云原生技…随着云计算技术的蓬勃发展传统上云实践中的应用升级缓慢、架构臃肿、无法快速迭代等“痛点”日益明显。能够有效解决这些“痛点”的云原生技术正蓬勃发展成为赋能业务创新的重要推动力并已经应用到企业核心业务。然而云原生技术在创造效益的同时却也面临着严峻的安全问题。当下常见的云原生安全产品在发挥效能的同时也引入新问题。作为数字经济时代下的特殊产物云原生安全解决方案的未来与演进又该何去何从
安全狗推出云原生安全2.X专题用翔实的系列文章为读者揭晓云原生安全的演进之路以及未来趋势。
在前面多篇文章中安全狗云原生安全专家从云原生安全的演变之路点此查看、云原生安全2.X的五大特征点此查看、云原生安全2.X落地实操点此查看等多个方面详细地介绍了云原生安全的“过去”与“当下”。本篇将提炼前面几篇中提到的重点并对于云原生安全的“未来”进行延展与“预测”。
一
云原生安全的“过去式”
01
云原生安全1.X
从安全视角来看云原生技术落地应用也催生了新的云原生安全基础设施典型产品包括镜像安全、容器安全、网络微隔离、CSPM等等。这些产品主要延续了以往单体应用时代IT安全模型分层的理念每个产品专注于解决某个层面的风险与威胁。这样基于分层理念的单点安全能力定义为云原生安全1.X。 图1
02
云原生安全1.X的局限性
云原生安全1.X在实际安全运营过程中带来一系列局限性主要包括单点能力堆叠的防护方式导致更加繁杂的管理工作阻碍了可见性和安全防护的发展数十种安全工具无法得到统一控制漏洞和错误配置繁复缺乏统一的工具平台支持方案之间衔接安全盲点百出。
造成这些问题的深层原因是基于分层理念的单点能力组合式产品方案与云原生在架构上各层之间模糊化并产生了结构性矛盾。
二
云原生安全的“进行时”
01
云原生安全发展趋势
通过总结可以发现Gartner近几年先后提出多个单点安全能力的云原生安全模型包括CWPP、CSPM)CIEM) 等模型。而Gartner最后提出云原生应用保护平台(CNAPP)是统领上述单点模型方案的单一整体平台云原生安全的发展趋势逐渐呈现一体化。 图2
02
云原生安全2.X
云原生安全的未来即“一体化”全栈云原生安全模型方案可定义为云原生安全2.X。覆盖从代码到云的全栈整体安全的满足软件资产管理和安全一体化、环境安全一体化、网络层安全一体化、工作负载安全一体化、应用安全一体化等五大安全一体化特征的云原生安全平台则可称为云原生安全2.X产品方案。
03
云原生安全2.X落地模型
云原生安全2.X是安全狗在业界首次提出的概念。在具体落地方面安全狗也提出了5X一体化落地架构模型其中5个安全一体化是基础是必须要实现的内容X代表扩展 图3
三
安全狗云原生安全2.X云甲
01
云甲介绍
安全狗云原生安全解决方案CNAPP采用主机安全Agent和安全容器相结合的技术既落地了“安全左移”的概念又能对云原生容器做全面保护同时能灵活地跟容器编排体系相结合是云原生应用安全最佳实践。
安全狗云原生安全2.X通过将容器云平台通用安全能力下沉到“N合1”安全基座上有效避免单品堆叠部署的局限性。一个Agent同时覆盖主机安全、容器安全、网络微隔离、多租户、安全策略联邦、云原生安全合规、资产精细化采集等云原生全栈安全需求并且安全组件具有稳定、资源占用少、不影响业务等特点。同时可依托外联WAF、API安全网关和内联RASP虚拟补丁引擎形成“里应外合”一体化方案有效赋能应用安全。可与容器云平台、数字化安全运营平台无缝衔接数据共享和联防联抗满足了安全集成协同需求。
02
云甲架构
安全狗云甲以安全大基座的方式支撑了资产管理与安全一体化、环境安全一体化、工作负载安全一体化、网络安全一体化的落地实现。 图4
四
云原生安全的“将来时”
结合对云原生安全过去与当下的剖析笔者也对云原生安全的未来扩展应用方向进行了展望。
01
云原生“零信任”拓展
第1个扩展方向是云原生“零信任”扩展方案。一个个散落在云平台上的服务实例可类比为一个个散落在不同网络里远程接入的办公终端。基于这种类比Google在2019年12月发表了BeyondProd白皮书描述了一种基于零信任的应用于云原生的安全架构。这个图是Istio 实现云原生零信任的架构参考方案。云原生架构结合零信任安全架构可为研发团队和安全团队提供巨大的便利使应用能够更安全地运行在生产环境中。 图5
02
云原生5G边缘计算拓展方案
第2个扩展方向是云原生5G边缘计算扩展方案。5G边缘计算节点分布在多个机房涉及多个运营方和责任方因而对安全提出了更高的要求而当前主流的基于云资源池模式的边缘计算安全方案存在很大的局限性 不能有效检测和防护新型无文件/无恶意软件云攻击且安全组件自身资源缺乏管控 面向5G MEC的安全服务能力管理难以统一MEC的分布式边缘节点众多且资源有限 在5G MEC全栈安全能力和建设成本方面存局限性边缘能力分散导致建设成本增加难以在安全投入成本和安全能力提供之间平衡 客户对5G MEC数据不出园区的安全需求日益凸显这就要求面向5G MEC的安全产品必须在复杂、多元的客户私有化环境中具备“灵活按需、能力全面、稳定成熟、成本可控”等诸多苛刻部署要求
笔者认为具备“威胁检测、访问控制和态势感知”能力的一体化“N合1”5G MEC云原生安全保护平台将成为新的发展方向。 图6
03
云原生蜜罐拓展方案
第3个扩展方向是云原生安全蜜罐。参考实现架构如下图所示。它克服了传统蜜罐因为成本、真实度等问题不能实现高覆盖的问题 图7 一是蜜罐模拟环境统一部署在专用网络与用户业务资产天然隔离而且不同租户间的蜜网相互隔离即使逃逸到主机也不影响真实业务资产 二是将VPC网络中的黑洞流量导流至蜜罐再通过策略配置选择性响应。不占用用户主机、网络资源以极低的成本大幅提覆盖率。 三是与运行在主机安全Agent共享资源也就是主机安全Agent扩展一下实现一种轻量级的非正常业务流量识别出来引流到蜜罐集中进一步提升蜜罐部署密度。
五
总结
只有对云原生安全全面了解了才可以“数往知来”。只有明晰云原生安全的局限与优点才能推陈出新。希望云原生安全2.X主题系列文章能为读者们“抛砖引玉”集“星星之火”推动我国云原生安全未来发展更上一层楼。
