Prisma Cloud：構(gòu)建Kubernetes的全生命周期防護體系

來源：中關(guān)村在線 2022-04-18 18:33:55

分享到：

時至今日，基于容器、微服務(wù)、云原生等技術(shù)驅(qū)動的數(shù)字化轉(zhuǎn)型和應(yīng)用現(xiàn)代化已成為大勢所趨，尤其Kubernetes與容器生態(tài)正在強勢發(fā)展，幾乎每個月都有新功能上線，Kubernetes使得微服務(wù)與容器等技術(shù)更能滿足企業(yè)生產(chǎn)和應(yīng)用現(xiàn)代化等需求。對于數(shù)字化企業(yè)來說，應(yīng)用就是生產(chǎn)力。應(yīng)用和IT現(xiàn)代化，決定了企業(yè)創(chuàng)新的速度。越來越多的企業(yè)正在將IT架構(gòu)和應(yīng)用現(xiàn)代化列入其數(shù)字轉(zhuǎn)型計劃中，然而與此同時，圍繞Kubernetes的安全問題也日益凸顯。

Kubernetes最初源于谷歌內(nèi)部的Borg，提供了面向應(yīng)用的容器集群部署和管理系統(tǒng)。Kubernetes的目標旨在消除編排物理/虛擬計算，網(wǎng)絡(luò)和存儲基礎(chǔ)設(shè)施的負擔(dān)，并使應(yīng)用程序運營商和開發(fā)人員完全將重點放在以容器為中心的原語上進行自助運營。2014年，Google開源了Kubernetes項目。Kubernetes一詞源于希臘語，意為“舵手”或“飛行員”，在龐大的生態(tài)系統(tǒng)支持下，Kubernetes在近年來取得了快速的成長。在2018年，Kubernetes就已成為容器編排領(lǐng)域事實上的標準。

Gartner預(yù)測，到2022年，預(yù)計將有75%的全球化企業(yè)在生產(chǎn)中使用云原生的容器化應(yīng)用。不過，任何創(chuàng)新都是有成本的。Dynatrace委托研究機構(gòu)Vanson Bourne進行的一項調(diào)查中顯示，86%的企業(yè)已采用云原生技術(shù)，其中包括微服務(wù)、容器及Kubernetes，以加快技術(shù)創(chuàng)新、獲得更為豐碩的業(yè)務(wù)成果。但也有63%的受訪者表示，企業(yè)云環(huán)境的復(fù)雜性已超出了人類能夠管理的極限。74%的CIO擔(dān)憂，云原生技術(shù)的廣泛使用會大幅增加在“確保正常運轉(zhuǎn)”上所投入的人工成本和時間，69%的受訪者正在尋求全新的運營方式，他們認為“Kubernetes的興起”增加了IT環(huán)境復(fù)雜性，使其難以通過純手動方式管理。

根據(jù)CNCF的年度調(diào)查顯示，絕大多數(shù)企業(yè)（83%）在生產(chǎn)環(huán)境中運行了Kubernetes。Unit 42監(jiān)測到許多專門用于攻擊Kubernetes的惡意軟件。要想確保云上工作的安全性，就需要企業(yè)、云安全提供商和整個網(wǎng)絡(luò)安全行業(yè)共同協(xié)作，解決漏洞和錯誤配置等問題?！坝捎贙ubernetes在容器自動化管理工具市場中已經(jīng)占據(jù)主導(dǎo)地位，因此它的安全漏洞的發(fā)現(xiàn)也客觀上影響了整個標準，雖然后來谷歌發(fā)布了一些補丁去修復(fù)漏洞，但很多基于它開發(fā)出來的商業(yè)化容器管理平臺或工具仍然存在安全隱患?！盤alo Alto Networks（派拓網(wǎng)絡(luò)）中國區(qū)大客戶技術(shù)總監(jiān)張晨說。

Palo Alto Networks（派拓網(wǎng)絡(luò)）中國區(qū)大客戶技術(shù)總監(jiān)張晨

去年，派拓網(wǎng)絡(luò)的威脅研究與咨詢團隊Unit 42曾在Google Kubernetes Engine（GKE）中發(fā)現(xiàn)多個漏洞和攻擊技術(shù)。這些威脅不僅影響了Google Cloud用于管理Kubernetes集群的一款產(chǎn)品GKE Autopilot，同時甚至影響到了GKE標準。Unit 42發(fā)現(xiàn)GKE Autopilot漏洞能夠讓攻擊者升級權(quán)限，并接管整個集群。攻擊者可以隱秘地竊取信息，部署惡意軟件，實施加密挖礦攻擊，以及破壞工作負載。谷歌隨后解決了這些問題，并在GKE中部署了大量補丁保護集群。到目前為止，Unit 42未發(fā)現(xiàn)這些漏洞被廣泛利用。

早在數(shù)年前，派拓網(wǎng)絡(luò)就在幫助客戶的業(yè)務(wù)向公有云、混合云遷移，并利用Prisma Cloud協(xié)助其保障混合云架構(gòu)的安全性。Prisma Cloud支持主流的公有云服務(wù)商，提供了完善的容器化技術(shù)堆棧和應(yīng)用組件的支持，能夠無縫集成到容器的開發(fā)、部署、運行等各個環(huán)節(jié)，提供按需定制的解決方案。過去4-5年的時間內(nèi)，派拓網(wǎng)絡(luò)在公有云解決方案上大力投入，不斷并購新的技術(shù)融入到Prisma Cloud平臺上。截至目前，Prisma Cloud已獲得了77%的財富100強企業(yè)信賴，涵蓋金融、科技、互聯(lián)網(wǎng)、工業(yè)、電信等領(lǐng)域，全球客戶近3000家。

張晨認為，企業(yè)在轉(zhuǎn)向混合云的過程中要關(guān)注四個方面，首先要了解上云之后會面對怎樣的安全合規(guī)問題、安全漏洞，以及可能發(fā)生的配置錯誤，這就使得企業(yè)要具備可見性的能力，同時隨著更多的企業(yè)選擇新的IT架構(gòu)，像容器內(nèi)部的問題也應(yīng)得到足夠的重視，爭取提早發(fā)現(xiàn)。在客戶選擇公有云時，往往會選擇多云部署，此時就要考慮到業(yè)務(wù)的連續(xù)性，避免單點故障，能夠在復(fù)雜的架構(gòu)下通過深度檢測發(fā)現(xiàn)潛在風(fēng)險。在容器環(huán)境進行開發(fā)時，開發(fā)和代碼運維團隊要與安全團隊協(xié)作，將必要的安全機制在開發(fā)階段就融入到安全檢測中，做到安全前置（左移），滿足基礎(chǔ)架構(gòu)即代碼（Infrastructure as a Code）等需求。目前，派拓網(wǎng)絡(luò)可以為基礎(chǔ)架構(gòu)即代碼的團隊提供支持主流框架的編寫工具和平臺，以及代碼階段的掃描，進行配置和合規(guī)的安全檢查，或者是對第三方軟件供應(yīng)鏈的掃描等等。

在容器化的云原生環(huán)境中，Prisma Cloud還具備態(tài)勢感知能力，可以幫助客戶自動掃描其在公有云上的應(yīng)用配置是否有錯誤或缺失，保障上云之后的合規(guī)性。運行過程中，派拓網(wǎng)絡(luò)的云原生容器化平臺可以在鏡像的制作、部署、運行等全生命周期確保安全穩(wěn)定。上云之后，Prisma Cloud會對身份和實施進行微分段安全，查看容器內(nèi)部之間的網(wǎng)絡(luò)流量是否存在異常行為。

隨著Kubernetes技術(shù)的不斷進步，目前簡單的錯誤配置和漏洞已經(jīng)越來越少見，而攻擊者也在不斷升級攻擊行為。研究發(fā)現(xiàn)，即使是Kubernetes中較為細微的問題，也可能成為攻擊的切入點。GKE被攻擊的事件表明，即使是像谷歌這樣具備領(lǐng)先技術(shù)能力的廠商，在對Kubernetes進行二次包裝的時候同樣會帶來更多的安全風(fēng)險，導(dǎo)致整個集群被攻破。

在Palo Alto Networks（派拓網(wǎng)絡(luò)）Prisma Cloud方案架構(gòu)師李國慶看來，針對Kubernetes的威脅正在從簡單的技術(shù)攻擊事態(tài)演變?yōu)楦呒壍腒ubernetes定制攻擊，“針對這種變化，如果只是保護集群的外圍邊緣，肯定是不夠的。我們鼓勵企業(yè)采用檢測和預(yù)防后續(xù)攻擊這樣的安全解決方案，來制定相關(guān)的安全審計策略。就Kubernetes和類似的自動化工具來說，我們建議，無論它所在的公有云配置本身，還是控制的主機節(jié)點，或是軟件安全的配置，亦或是訪問許可、漏洞，以及第三方軟件提供商，對其進行二次包裝等各個方面，要進行全局統(tǒng)一策略下的安全建設(shè)、檢測和響應(yīng)?！?/p>

可以說，Prisma Cloud是一個跨主機、虛擬機、容器、云平臺、服務(wù)器的安全解決方案，能夠滿足企業(yè)在全生命周期的安全需求，包括貫穿始終的漏洞和配置掃描、在各個階段提供代碼掃描、鏡像掃描、運營式防護等能力，以及內(nèi)置的四層防火墻、東西向防火墻、七層WAF等等。訪問Kubernetes的時候，可以通過準入控制進行相應(yīng)的策略制定，事件之后，派拓網(wǎng)絡(luò)還會確保Kubernetes調(diào)用的每一項活動都受到過濾和審計。

在API層面，派拓網(wǎng)絡(luò)提供了對Kubernetes API和API Server的防護措施，提供了分布式的防火墻內(nèi)嵌在Prisma Cloud中，來進行相關(guān)的管理和安全操作，采用分布到每個節(jié)點的安全代理對WAF和API進行防護。無論是對API的規(guī)范、參數(shù)的合法性和邊界，還是調(diào)用方式，都可以基于需求和響應(yīng)進行保護。通過OPA運行，對于Kubernetes和API server的任何調(diào)用，派拓網(wǎng)絡(luò)都能進行相關(guān)防御或?qū)徲嫴僮?，加上對事件的審計和準入控制，以及對Kubernetes版本的CVE、CS的檢查，構(gòu)成了確保Kubernetes全流程安全的完整鏈條。

“企業(yè)應(yīng)該考慮以零信任作為指導(dǎo)思想，以這樣的安全規(guī)劃理念重新審視IT架構(gòu)的不足和問題，然后按照重要緊急、重要非緊急的方式將這些問題排序，梳理出最重要的工作任務(wù)。從數(shù)據(jù)安全的角度，我們在關(guān)鍵網(wǎng)絡(luò)節(jié)點和每一個運行個體上，要去引入具備深度檢測能力的解決方案，以及加強自動化安全運維的能力。此外，很多企業(yè)還會引入具備安全威脅感知和自動化管理能力的綜合安全管理平臺，提升對未知威脅和重要攻擊事件的識別、定位和處置能力?！睆埑空劦?，“隨著全球互聯(lián)互通，企業(yè)之間的業(yè)務(wù)單元并購、交織越來越頻繁，第三方供應(yīng)鏈帶來的安全漏洞和風(fēng)險會日益凸出。很多行業(yè)客戶都開始進行安全方案的重新審視，只有這樣才能適應(yīng)新的IT架構(gòu)和環(huán)境，隨之產(chǎn)生的問題也要用新的方法來應(yīng)對。”

少妇spa推油被扣高潮_成年女人黄小视频_亚洲三级高清免费_麻豆果冻传媒2021精品_A级毛片无码免费真人

Prisma Cloud：構(gòu)建Kubernetes的全生命周期防護體系

相關(guān)新聞

熱門文章

熱點專題