对话｜企业怎样构建更完善的容器供应链安全防护体系 ...

对话｜企业怎样构建更完善的容器供应链安全防护体系

云布道师

随着云计算和 DevOps 的鼓起，容器技术和自动化成为软件开发中的必要手段，软件供应链也进入了自动化及 CI/CD 阶段。然而，容器技术和自动化虽然提升了软件的更新速度，但也带来了新的安全挑战。由于更新速度快，供应链一旦遭遇攻击，恶意代码可能会迅速流传到各个开发体系。在这一阶段，安全左移成为实现软件供应链安全的指导性思想，安全的价值体现在软件开发过程中的各个环节。
在此背景下，阿里云策划了一场关于云上安全的深度访谈栏目，汇聚阿里云内部浩繁产品技术专家，携手安全领域从业者，旨在通过全方位、多角度交流碰撞，分析容器安全与软件供应链安全之间的关系，揭示软件开发过程中存在的安全隐患与应对之道，资助用户更好地建立和落地软件供应链安全及容器安全体系。
本期节目约请到的是阿里云产品专家穆寰、阿里云容器服务高级技术专家匡大虎、阿里云容器服务技术专家黄竹刚，围绕软件供应链安全、容器安全的重要挑战以及阿里云怎样资助用户等维度展开了深入的讨论。

     对话｜企业怎样构建更完善的容器供应链安全防护体系
  
企业应用云原生化进入深水区，践行 DevSecOps 离不开容器安全

2024 年 7 月，微软蓝屏席卷了环球，至少 20 多个国家的交通、金融、医疗、零售等行业或公共服务的业务体系受到影响。这一事件的发生再度引发了业界对软件供应链安全的担心。
近年来，针对软件供应链的攻击事件愈演愈烈。客岁 9 月，某黑客组织使用域名仿冒和星标劫持技术向开源包管理器 PyPi 植入一系列恶意包，攻击者可借此攻陷用户装备，偷取金融和个人信息，登录凭据等敏感数据。今年 3 月又爆出了一个威胁评分为满分 10 分的供应链漏洞，攻击者“卧薪尝胆” 3 年时间，通过一系列复杂的混淆和替换技术在一款开源软件 XZ 中植入了后门。幸运的是，由于发现及时，该漏洞并没有造成大范围的严峻后果。
这些安全事件进一步反映出当下供应链安全的严峻形势。今年某外洋安全厂商发布的《 2024 软件供应链攻击演化》报告中，自 2019 年以来，软件供应链攻击均匀每年以 742% 的速度增长。同时今年某安全厂商的开源安全风险分析报告中对 17 个行业一千多个贸易代码库举行了匿名分析，在分析效果中显示，其中 84% 的代码库中包含安全漏洞，更有 74% 的代码库包含高危安全漏洞。
现阶段，越来越多的企业将 DevSecOps 视为保障软件供应链安全的有力手段。 DevSecOps 是一种将安全深度融入软件开发生命周期的新型软件开发实践方法。与传统开发流程不同的是， DevSecOps 主张在软件开发的每个阶段都主动考虑和集成安全性，而不是将安全性视为事后的补充。
与此同时，容器安全在今世软件开发和摆设中，与 DevSecOps 一起成为两个密切相干的概念。
在 DevSecOps 流程中，容器安全被视作整体安全策略的一个重要组成部分。这意味着企业在应用云原生化进程中必要在开发、CI/CD 、摆设和运行阶段都以自动化和连续监控的方式集成容器安全。同时 DevSecOps 流程中夸大的协作和循环反馈的文化理念也能够保证企业容器化应用连续的安全水位。

容器安全面对的三个挑战

容器安全指的是基于容器技术的应用云原生化改造后的安全防护，重要针对应用容器化改造带来的重点安全风险和挑战。相较传统的架构，企业应用在举行容器化转型过程中的安全挑战来自以下三个方面：
起首是云原平生台基础办法。云原平生台层组件相较于传统架构引入了更多的设置项和隔离层，这就给企业安全管理运维职员提出了更高的运维要求。怎样保证平台基础办法层的默认安全性，怎样在遵循最小化权限原则基础上举行授权操作，怎样建立云原生应用体系的安全审计和监控本领，这些新的挑战都必要云服务商和企业安全管理运维职员协同构建并终极实施到企业云原生化转型后的体系应用架构中。
其次是 DevOps 软件供应链。云原生弹性、敏捷和动态可扩展的特征极大地改变了传统应用摆设模式，应用自身的生命周期被大幅缩短，而企业应用的迭代服从则大幅提升，在企业供应链架构变革的同时必要构建和实施适配供应链各阶段的安全防护本领。
末了是应用范式上的改变。随着微服务架构在企业中的广泛应用，传统的基于南北向流量的安全界限模式已经变得不适用，企业必要更加细粒度的身份认证和访问控制；同时 Serverless 和函数计算等新技术开始流行，对于云服务商在基础办法层的安全隔离性和监控本领提出了更高要求，而应用的容器形态则必要新的运行时安全监控告警和资产管理模式与之对应。
实现容器安全的改进策略发起

针对上述挑战，阿里云表示，绝大多数的企业云原生安全的发展都落后于应用的云原生化进程，而想要改进则必要集中在以下三个方向：
起首是身份和访问管理。线上授予的权限与实际必要的权限之间存在巨大差异，无疑会给攻击者可乘之机。
其次是漏洞和设置管理。大多数的企业生产镜像都没有颠末安全加固和最小化的裁剪收敛，别的许多线上应用由于开发调试的一时方便而在容器层设置了过高的特权。
在云原生 Kubernetes 集群的典型攻击路径中，由于云原生技术架构的复杂性，容器应用、运行时、Kubernetes 编排引擎、镜像仓库以及内核层都可能给整个应用体系引入新的风险，而近年来不断爆出云原生社区相干的 CVE 漏洞中，攻击者可以使用的攻击方式也是多种多样，像一样平常的提权、仿冒、篡改、抵赖、拒绝服务等典型攻击手段都出现在了近两年公开披露的漏洞使用方式中。
末了是监控和响应。由于大多数用户缺少针对容器资产的运行时监控和防护手段，在针对突发的攻击事件时无法有效完成定位和溯源。

因此，阿里云发起必须针对容器场景采取对应的安全防护手段。比方，默认安全和最小化授权，基于安全左移原则的漏洞和风险分级管理机制，建立容器摆设的安全准入机制，针对容器的运行时监控告警以及云原生安全资产管理。
针对容器安全，阿里云的办理方案

在实践层面，围绕容器构建、摆设及应用运行这三个阶段，阿里云推出了针对性的产品和服务。
针对容器构建阶段的安全需求，阿里云容器镜像服务 ACR 提供了隔离的镜像构建环境、智能化的镜像构建诊断、镜像漏洞扫描、镜像加签、SBOM 软件物料清单分析以及成品漏洞信息反查等多个安全特性，助力企业构建安全的容器成品。
针对容器摆设阶段的安全需求，阿里云容器服务 ACK 提供了精细化的集群访问控制、完备的集群操作审计、与应用相结合的镜像验签、工作负载安全策略等安全特性。
针对应用运行阶段的安全需求，阿里云容器服务 ACK 提供了应用维度的最小化授权方案 RRSA 、节点池和 Pod 维度的网络安全组和安全策略以及容器内操作审计、安全沙箱容器和机密容器等多个安全方案。

阿里云表示，针对容器软件供应链日益严峻的安全形势，容器服务 ACK 、ACR 、ASM 通过一系列安全产品本领，实现了“连点成线”的供应链风险分析和防御机制，同时面向企业安全管理员提供了开箱即用的产品本领。
今年，面向供应链安全的典型客户需求，ACR 容器镜像服务支持 OCI 社区 1.1 版本的镜像和分发规范，标记着客户可以通过 ACR 管理和分发镜像署名以及 SBOM 如许的非镜像 OCI 成品，同时结合 ACK 的策略管理本领，资助企业客户实现通用的成品自动化加签和验证方案，保证摆设到生产集群中的镜像是完整可信的。
同时 ACK 容器服务还针对授权过大和容器逃逸后的节点内横向攻击等风险，有针对性地提供了对应的加固和防护本领。
阿里云网格服务 ASM 提供一个全托管式的服务网格平台，兼容社区 Istio 开源服务网格，用于简化服务的管理，包罗服务调用之间的流量路由与拆分管理、服务间通讯的认证安全以及网格可观测性本领，资助企业实现应用无感的零信任安全。
基于此，用户可以通过结合 ACR 、ACK 、ASM 所提供的多种安全本领以及阿里云云安全中央所提供运行时安全本领，构建涵盖整个软件开发生命周期的端到端的企业安全运营和防护体系。
结语：阿里云携手客户共筑供应链安全

实现软件供应链安全，不光必要企业采用针对性的策略，还必要建立对应的企业安全文化意识。除此之外，阿里云认为，做好软件供应链安全还必要从多个方面入手：
起首，加强基础办法的安全性。阿里云致力于提供高可靠性和高安全性的云计算基础办法，为企业软件供应链提供一个稳固可信的平台基础安全本领。
其次，技术创新是保障供应链安全的重要手段。阿里云使用人工智能、机密计算等前沿技术，资助企业监测和预测潜在的安全威胁，提升供应链的整体预警和响应本领。
末了，阿里云提倡普惠和协同的安全理念。阿里云容器服务会同上下游合作搭档的细密合作，通过提供机动可扩展的安全办理方案，建立有关云原生和容器安全最佳实践和安全威胁情报的信息共享和责任共担的机制，在 DevSecOps 理念的指导下构建更完善的供应链安全防护体系。

在将来，阿里云容器服务会在内部践行 DevSecOps 流程的同时，还会通过 ACK 、ACR 、ASM 、云安全中央等服务提供涵盖容器供应链安全流程关键阶段的核心安全产品本领，携手客户共筑供应链安全。

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。