【精读】2023网信自主创新调研报告-云计算安全
发布时间：
2024-05-31 17:58
《网信自主创新调研报告》六年连发，见证了XC工作的显著进步与网信产业的蓬勃发展。六年间，应用范围持续扩大，自主创新成为网信产业迅猛增长的核心动力。面对新时期的机遇与挑战，《2023网信自主创新调研报告》以“深化自主创新”为纲，深度剖析了25个产业领域在重点行业的应用、问题及策略，旨在为产业发展提供指引。小佑科技凭借其在云计算安全领域的深厚实力，担任本次报告云计算安全章节的编写组长，全程参与编纂，展现了其在云安全领域的专业性和前瞻性。今天，我们将带您深入了解云计算安全的最新趋势和关键技术，为关注网信安全的读者提供有益参考。
2022年，我国云计算市场规模达4550亿元，较2021年增长40.91%。相比全球19%的增速，我国云计算仍处于快速发展期，预计2025年整体市场规模将突破万亿元。上云之后，云安全成为用户重点关注的问题之一。据统计，近5年我国云安全市场保持45%以上增速，2022年市场规模达到了176.9亿元，同比增速为46.7%，显示出云计算安全市场的巨大潜力。
13.1.1云原生采纳率持续攀升，安全问题日渐突出
云原生技术在部分行业快速应用。互联网、金融、电信能源等行业对云原生已有较高采纳度，并逐渐加大在云原生领域的投入规模。云原生技术架构改变了传统应用设计、开发、部暑和运行模式，其不但继承了传统应用的安全问题，也带来了新的安全风险，如镜像、容器、镜像仓库、集群等新基础设施的安全防护问题:微服务模式导致的工作负载间东西向流量监控问题;基于云原生架构的DevOps全流程安全监控问题等。云原生技术带来的高密度动态调度、敏捷快速迭代等特性，也加大了安全防护难度。过去一年，有94%的组织在其容器环境中遇到安全问题，其中69%的组织检测到错误配置，27%的组织在运行时遇到安全事件，还有24%的组织发现了严重的安全漏洞3。如果没有实施有效的安全防护，黑客可以利用漏洞攻击容器上的服务，或者访问容器云上的敏感信息，进而获取服务器特权，对容器云进行修改并最终完全控制服务器。
13.1.2信任风险由人员向云计算基础设施转变
人员信任风险一直是云计算安全关注的问题。随着云计算的普及，运营方对人员的访问权限进行了更加细化和严格的管理，加上云计算环境下的自动化和标准化可以减少人为操作引入的错误，使得人员信任风险相对减少。
随着新型基础设施建设步伐的加快，IT基础架构的多云混合云部署已逐渐成为新常态，采用大规模虚拟化、分布式架构和自动化管理的云计算环境增加了云计算基础设施的复杂性和关联性。一旦云计算基础设施存在安全漏洞，就可能破坏数据的保密性、完整性或可用性。缺乏统一的安全架构极易导致云上缺少整体的安全规划和一致的安全策略编排，这使安全管理变得更加复杂。
13.1.3安全左移导致责任划分不清晰
传统安全建设中，安全责任更多的是在安全团队内部进行划分，较少会涉及到其他部门，边界相对清晰。在应用云计算技术后，参与基础设施与安全建设的角色范围有所增加涵盖了云服务供应商、安全服务供应商、运维团队以及安全团队，因此安全与云基础设施呈现出融合的态势，安全团队在进行建设时往往需要与云基础设施运维团队进行互动，从而使安全责任的边界变得愈发模糊。此外，云服务供应商或云基础设施运维团队可能会出于云平台稳定性或业务性能的考虑，对云安全措施提出相反的意见。
另外，随着云原生和 DevOps的发展，传统安全责任的划分正在发生改变，安 全责任越来越多地被左移至开发和运维人员，这需要各部门之间更加密切的合作和沟通，才能确保安全措施的实施和落地。一方面，开发和运维人员需要更多地了解安全最佳实践、安全配置和漏洞修复等方面的知识并将其应用到工作中。另一方面，安全团队的角色也发生了变化，他们需要了解业务开发流程并与开发和运维人员密切合作。这种变化使得安全建设变得更加困难。
13.2.1云原生技术复杂度高，安全能力储备不足
云原生技术生态覆盖广、复杂度高，涵盖了容器化、微服务架构、持续交付、弹性基础设施等方面，客观上加大了安全防护难度。用户和厂商对云原生及相关安全技术的储备不足，也是现实情况。
从IT 基础设施视角看，云原生底座包含容器运行时、编排系统、服务网格、Serverless等，以编排系统 Kubernetes为例，核心组件包括kube-apiserver、etcd、kube-scheduler、kube-controller-manager、kubelet、kube-proxy、内部dns、网络组件等。此外，还包含管理界面、资源监控、日志审计等辅助组件。这些组件自身可能(或一定)存在安全漏洞，同时每一个组件的配置问题都可能引发安全风险。
从 DevOps 视角看，传统技术架构只需将安全能力融入到从软件开发到上线的各个环节，只重点关注代码的安全性，但云原生技术基于镜像，形成了不可变基础设施理念，安全关注的方向也由代码转变为代码及其依赖的整体环境，在整个流转的过程中，还需关注镜像仓库、持续交付的工具/平台等。
从业务运行视角看，业务进程基于云原生技术进行了一次封装。容器作为业务载体，在运行过程面临逃逸、横向移动等安全风险，在传统技术无法获取安全数据的情况下，安全人员需要建立新的防护手段。另外，基于容器实现机理，业务容器由于升级迭代、故障漂移等情况消逝时，在运行过程中的行为以及自身基本信息不会留存，这对湖源造成了困难。
13.2.2多云、混合云业态加剧了安全信任风险
13.2.3 传统 IT 架构安全职责 无法适用于云计算安全体系
云计算技术架构打破了传统IT 架构的安全责任划分。当云计算建设和安全建设独立时，往往安全责任边界相对清晰，但当云计算融合安全共同建设时(特别是当引入云原生技术后)，运维部门和安全部门需要协同合作，一旦业务或安全出现问题，各部门之间的责任划分相对难以界定。
云原生业务环境承载在传统IT架构之上，而正是传统IT 架构导致了安全职责的分裂。不同部门对云原生安全的关注点是不同的，如主机平台部门负责服务器和容器云平台的部署，关注点是主机和平台环境安全;网络部门负责服务器和容器云网络的管理，关注点是主机和容器的网络安全:开发维护部门负责容器镜像、实例的构建、业务的运行维护关注点是容器镜像(代码)和业务安全;安全部门对企业整体安全及合规负责，关注点是标准、规范以及实战安全水平随着开发人员、测试人员被纳入到云原生安全责任模型中安全措施从应用开发之初就被引入，安全责任需要追湖到多个职能部门，如果没有清晰的安全责任划分，就会出现各自为战的情况。
另外，不同部门根据自己的安全能力需要各自部署的产品或工具之间存在大量重叠和兼容性问题，例如主机平台部门部署的 EDR 产品同时兼有微隔离能力，而网络部门部署的微隔离产品同时也兼有主机安全能力。这会导致不同云原生安全产品争夺相同监控对象，对云原生主机环境和计算资源造成影响。
13.3.1建立云原生安全体系，形成业务全生命周期防护
云原生技术生态还在不断发展，在开展云原生安全体系建设过程中，面临着前所未有的技术复杂、企业组织文化冲击等方面的挑战。在云原生安全建设上需从两方面着手:
一是补强技术短板，理解和接受云原生理念。云原生技术引入了镜像、容器、编排系统等新的资源对象，因此不论是用户还是厂商，都需要在关注传统安全威胁的同时，加大对云原生相关技术的关注度，快速补强技术短板。另外，由于云原生在防护对象、架构、管理模式等方面与传统计算模式存在较大差异，在技术能力补强的同时，还需要充分理解云原生理念，如在云原生环境下，业务容器只换不修;安全关注点由代码转变到代码及运行所需的环境;业务接受动态调度且固定标识由 IP 变换为标签等。
二是建立云原生安全体系。当前云原生安全建设不再是在云原生应用上线时一次性的安全扫描，而是将“安全前置，到云原生应用的开发阶段，并且将“安全后移”到云原生应用运行阶段的全生命周期，从业务需求分析、业务软件开发、业务软件测试、业务软件发布并一直延伸至业务软件的运维，让安全不存在“间隙”。
13.3.2由被动防御向主动防御转变，打造整体可信链条
传统的云计算安全防护手段没有从安全威胁发生的源头即计算平台自身着手解决问题，而是把注意力放在对系统的外围保护上。只有构建从底层硬件平台到上层可信应用，建立起全网安全互联的纵深网络空间信任体系，才能彻底改变“封堵”查杀”的被动局面，确保各类云计算平台处于预期稳定的安全环境，网络应用处于可信、可控的状态，形成覆盖全网的主动防御、自身免疫的可信云计算空间，提高网络空间安全防护能力。
从被动防御向主动防御转变，是一个科学问题，也是技术发展的必然趋势。主动防御技术从逻辑正确验证、计算体系结构和计算模式等多个方面，在云计算环境中构建独立于云计算系统的可信云架构，提供可信服务并为云计算环境安全机制提供可信支撑。云计算环境所有节点可信元件通过可信协同方式构成的云可信框架，可支持在进行云计算的同时实施安全防护，为云计算安全提供基础。
基于主动防御的云计算安全管理防御体系能够深入解析安全威胁，增强预警风险，协调安全性信息反馈，实施阻断与修复，以可信的链接平台体系为内核，透过对用户身份验证、数据加密、授权管控等多层次的安全控制，采用静态度量、动态度量、可信报告等主动防御手段形成了云计算安全管理防御系统的可信架构，为云计算技术的运用提供强有力的基础保障。
13.3.3打造一体化云计算安全职责体系
云原生业务环境虽然承载在传统IT 架构之上,但早已呈超融合之势。云原生安全能力自然也随着云原生业务环境的融合而融合才能达到最佳效率。全面保护云原生应用程序需要使用来自多个供应商的多种工具，这些工具很少进行融合集成，而且通常只为安全专业人员设计，而不是与开发人员合作。对于组织而言，这种孤立的方法在确定实际风险的优先级方面无效，并导致过多的警报和浪费开发人员的时间。云原生应用保护平台(CNAPP)提供了一种集成方法，可实现跨团队协作，以保护日益复杂的攻击面。
© 2023 北京小佑科技有限公司
