云原生安全风险分析与应对策略研究

陈信刚 王思羽 刘坚桥 江西电信云网运营支撑中心 南昌市 330029

1 什么是云原生

云原生是一种构建和运行应用程序的方法，是一套技术体系和方法论。云原生（CloudNative）是一个组合词，Cloud+Native［1］。Cloud表示应用程序位于云中，而不是传统的数据中心；Native表示应用程序从设计之初即考虑到云的环境，原生为云而设计，在云上以最佳姿势运行，充分利用和发挥云平台的弹性、分布式优势［2］。云原生由DevOps、持续交付、微服务和容器四要素组成，云原生有以始为终、运维合一，缩小开发者的认知、灵活开发方向，内聚更强、更加敏捷，资源调度、微服务更容易的特点。

2 云原生安全及其发展阶段

云原生安全包含两层含义，面向云原生环境的安全和具有云原生特征的安全。云原生安全有两个特点，基于云原生无处不在，能适用于各类场景。云原生安全的发展阶段有：

◎安全赋能于云原生体系，构建云原生的安全能力。当前云原生技术发展迅速，但相应的安全防护建设滞后，基础安全如容器、镜像安全覆盖面不足。因而应该研究如何将现有成熟的安全能力（如隔离、访问控制、入侵检测、应用安全）应用于云原生环境，构建安全的云原生系统。

◎云原生的新特性具有诸多优点，例如轻快不变的基础设施、弹性的服务编排、开发运营一体化等。因而，该阶段应研究如何将这些能力赋能于传统安全产品，通过软件定义安全的架构，构建原生安全架构，从而提供弹性、按需、云原生的安全能力，提高“防护-监测-响应”闭环的效率。

◎当安全设备或平台云原生化后，就能提供（云）原生的安全能力，不仅适用于通用云与安全场景、5G、边缘计算等场景，甚至可以独立部署在大型电商等需要轻量级、高弹性的传统场景，最终实现无处不在的安全。

3 原生安全场景面临的挑战

云原生带来了诸多安全风险，如容器镜像存在的安全风险、容器编排平台的风险、云原生应用的风险、云原生应用业务的新风险、Serverless的风险等，在5G核心网、边缘计算、工业互联网云原生场景都存在一定的挑战。

3.1 云原生在5G核心网中面临的挑战

5G核心网可以视为IaaS虚拟化系统或CaaS容器平台，5G核心网网元以虚拟机或容器的形态出现，有些开源和商业的网元采用了容器技术交付和部署，容器化的网元越来越普遍；每个5G核心网网元从设计来看功能独立，因此5G网元承载的服务可以在编排平台的支撑下，以微服务的模式提供5G控制平面的业务服务。这些基于容器、编排和微服务技术的5G核心网网元就面临着云原生安全威胁和风险［3］。

3.2 云原生在边缘计算中面临的挑战

随着5G+工业互联网技术的发展与深度融合，边缘计算技术得到广泛应用。很多边缘计算平台都采用了容器技术和编排系统的技术。边缘计算具有云原生灵活、高效、稳定的特性；但云原生面临的风险也会存在于边缘计算环境中。边缘计算面临的安全挑战有：

（1）资源受限。与传统云计算环境不同的是，边缘计算环境下算力、存储资源有限，传统安全防护软硬件的部署受到限制。

（2）云边平台自身安全性。边缘与云端共同作为云计算环境的组成部分，各自平台系统自身安全性是整个云计算环境安全的基础，因此依然面临传统安全威胁。

（3）边缘应用的时间约束。边缘应用自身具有复杂性、多样性，加上容器技术的应用，边缘计算应用将会越来越体现出高频次、短周期的特点，攻防也会随之变化。

（4）数据隐私与保护。在边缘计算概念中，边缘不再单单是一个个传感器，而是具备一定计算、存储能力的分布式节点，确保边缘计算环境下的数据隐私得到合理应用和保护变得愈加重要［4］。

3.3 云原生在工业互联网中面临的挑战

在工业互联网安全中，构建IT和OT融合的全互联、扁平化、灵活化的工业网络体系结构是工业网络发展的必然趋势，工业互联网连接了IT和OT环境，如果一个恶意的容器应用能横向渗透到OT，则可能会造成灾难性后果。所以需要特别关注云原生与传统环境的边界，避免存在未授权访问。

4 如何指导与保障云原生安全落地

云原生技术正逐步出现，容器、微服务、声明式API等代表技术的应用正在逐步落地，生态逐步健全，因此企业应同步加强云原生安全的部署，云原生安全践行的原则：

（1）安全左移：在云原生建设初期将安全投资更多地放到开发安全，包括安全编码供应链（软件库、开源软件）安全、镜像安全；

（2）聚焦“不变”：容器对应的镜像、文件系统都是不变的，由相同或继承的镜像启动的容器进程及其行为是相似的，用于微服务的容器进程是少数且行为是可预测的，可以通过学习进行画像；

（3）业务安全：保护最贴近最终价值且处于最顶层的业务。

4.1 “内生安全”理念指导云原生安全

云原生安全缺乏体系化的规划和建设，以“部分改善”为主要措施，对云原生安全的动态、全局的理解不够清晰。云原生安全应进化到“内生安全”时代，改变单一的栅栏式的防护现状，演变到与云业务融合的多维度全方位的防御［5］。“内生安全”理念是指将网络安全能力与信息化环境融合内生，不再是外挂和局部的，从而在数字化环境的内部，获得无处不在的“免疫力”。

（1）构建内生安全体系的关键：面向企业数字化的网络安全体系化建设与工程化落地，坚持“三同步”原则；运用三种聚合手段：技术聚合、数据聚合、人才聚合；以网络、身份、应用、数据、行为，以及数据驱动的安全运营，多维度技术与运行手段，构建支撑企业数字化业务运营的内生安全能力体系。

（2）构建内生安全体系的重点：因地制宜梳理所需云原生安全能力需求，规划最优组合；将安全能力合理地分配部署建设，深度融合，全面覆盖；确保云业务持续安全运行，实现云原生安全管理和响应闭环。

4.2 安全三同步保障云原生安全

云原生技术作为云计算基础设施的关键，为了保障云原生平台用户及云原生产品的安全运行，需在云原生安全的规划、建设和使用阶段持续贯彻落实三同步要求［5］。

（1）项目规划阶段：同步考虑并规划云原生安全设施建设需求，包括需要的云原生平台、用户及云原生产品的安全技术保障能力和如何建设原生安全管理平台等，以确保云原生安全成为云原生系统的有机组成；

（2）项目建设阶段：需从云原生建设的各个方面引入并融合安全能力，并确定各方的安全职责，确保云原生安全设施严格按照规划设计要求进行同步建设，上线验收时确保云原生系统和产品通过安全风险评估或符合等保要求；

（3）项目使用阶段：确保云网的所有环节都充分对接，确保云安全设施正常运行、云上安全识别、监测、处置的各项流程贯通，一旦发生安全事件能迅速处置和响应。

5 提升云原生安全的几点举措

安全是相对的，企业安全投入也是有限的，因此要结合企业安全现状和实际面临的问题，按需、分步施策，逐渐完善企业云上安全防御体系。

（1）安全左移。完善上云IP、容器、镜像、组件等资产全生命周期管理，建立安全上云三同步管控流程，开通时同步纳入SOC资产管理，进行漏洞、基线加固，上线通过安全验收。定期对镜像进行升级。构建云上组件采集分析机制，定期组织组件脆弱性治理。

（2）完善纵深防御体系。重点完善全流量与EDR覆盖面，由点到面对云上系统安全进行监测与防护，减少内核漏洞；引入云虚拟机、容器微隔离技术，降低暴露面风险。

（3）加强容器安全体系建设。定期对容器镜像进行扫描，容器运行时合规检查，对镜像使用设置安全规则，对生产环境中镜像进行严格管控。

（4）加强网络边界治理。目前各类云池众多，客户资产与自有资产混合入云情况一定程度还存在，暴露面集约管控存在一定风险。各地自建的或代建的安全责任归属电信的云池增多，而且不能部署在省中心时，须在当地配套IPS、防火墙、云隔等设备，同时要将这类设施经过专线接入省中心公网，统一互联网暴露面。要强化云上资源池分域管控，资源池逻辑隔离，减少东西向流量安全风险。

（5）完善安全维护作业规程。结合安全上云的新技术新系统运用，要进一步完善相应安全维护作业规程，将安全上云系统、组件同步纳入安全维护作业流程，确保持续运维安全。