《云原生架构安全白皮书》（2021年）解读（附白皮书全文下载链接）

发布时间：

2021-05-28 12:11

由中国信息通信研究院主办，云计算开源产业联盟、云原生产业联盟、云原生计算基金会（CNCF）支持的2021“云原生产业大会” 于2021年5月26日在京召开。本次大会重磅推出了业界首份《云原生架构安全白皮书》（2021年），全方位、深度解读我国云原生技术现状、未来趋势及产业热点。小佑科技作为云原生容器安全专家深度参与了白皮书的编写和制定。

1 白皮书背景

云原生技术包括容器、微服务、DevOps、Serverless。在过去几年中，云原生技术在生产环境采纳率急速升高。据统计，2020年43.9%的国内用户已在生产环境中采纳容器技术，超过七成的国内用户已经或计划使用微服务架构进行业务开发部署等。伴随着云原生技术带来的弹性、敏捷等优势，边界更加模糊甚至消失，用户面临新的安全要求和挑战，需要新的安全措施和指导方针。因此，信通院组织编写了这版《云原生架构安全白皮书》（2021）（简称“白皮书”），为云原生安全建设提供具有前瞻性和权威性的理解。

2 白皮书主要内容

《白皮书》以安全需求为出发点，阐述了安全防护整体架构和详细的防护体系，最后介绍了可落地的安全产品，结构完整，内容也较为充实，具备重要指导意义。

从物理机到云计算，再到云原生，安全防护很多因素发生了改变：

管理对象	从物理机到容器
生命周期	过去以年计，现在是以分钟或小时计
防护边界	物理边界改变为应用或服务为边界
应用架构	单体改变为微服务
开发过程	瀑布模式改变为DevOps模式

改变带来了新的风险与挑战，例如以下几个常见问题。

云原生计算环境层面
• 编排工具自身如果存在漏洞，则可能导致非法提权和逃逸攻击。• 业务应用镜像的构建、提交、拉取部署整个流水线过程中，如果权限设置不当、传输通信不加密、账号管理不足、应用存在被利用的漏洞等，可能形成镜像漏洞、过期镜像及恶意镜像。• 逃逸攻击可能直接危害底层宿主机和整个云计算系统的安全。• 容器网络与传统物理网络不同，访问控制手段缺失会增加横向攻击风险造成威胁蔓延。

微服务架构层面：
• 微服务架构的采用意味着微服务数量的增多，和暴露的端口数量的急剧增加，进而导致攻击面扩大。另外，微服务间的网络流量多为东西向流量，传统网络安全设备难以防护。

DevOps流程层面：
• DevOps所倡导的理念是追求敏捷、协作与快速迭代，开发人员往往为了追求便捷的开发环境与快速的迭代节奏选择将安全系统配置如权限管理、访问控制等优先级降低，为效率与便捷让步，最终可能导致敏感数据权限管理不当在内部泄露、系统资源无防护在内部开放。

在明确风险与挑战后，《白皮书》给出了整体的安全架构。整体安全架构属于全文纲领，与风险需求前后呼应，总领概括了后面的防护体系。在防护体系中，容器化部署带来的风险对应云原生计算环境安全解决方案；微服务、serverless、API这三个应用架构的风险对应云原生应用安全解决方案；DevOps流程引入的的风险则对应云原生研发运营安全解决方案；另外基础设施安全属于云原生安全的基础，数据安全、安全管理不算是全新内容，但会受到云原生环境的影响，面临新的挑战。

整体架构遵循了四大设计原则，与时俱进，采用云原生时代的安全理念来指导云原生安全的建设。