零信任安全是解決容器安全的一把利器

來源:大京網(wǎng)

Gartner預測,到2022年,全球超過75%的組織將在生產(chǎn)中運行容器化的應用程序,相對于以往的30%呈現(xiàn)大幅增加。盡管采用容器可以更快的開發(fā)、部署和擴展應用程序,但是也面臨著安全挑戰(zhàn),比如在數(shù)據(jù)保護、容器鏡像漏洞、網(wǎng)絡攻擊、未經(jīng)授權(quán)的訪問和其它一系列的安全風險問題。根據(jù)Forrester的一項調(diào)查顯示,43%的受訪者表示容器安全是面臨的一個主要挑戰(zhàn)。云深互聯(lián)CEO陳本峰表示,對于開發(fā)人員來說,容器可能是一個強大的工具,但隨著網(wǎng)絡攻擊者越來越多地將其作為目標,它們正成為一個安全噩夢。通過獲得對容器的未授權(quán)訪問權(quán),黑客可以潛在地跨越大型虛擬環(huán)境,造成各種各樣的危害。

在遠程訪問從偶爾轉(zhuǎn)變?yōu)樾鲁B(tài)的時代,用戶需要從企業(yè)網(wǎng)絡的傳統(tǒng)邊界之外訪問企業(yè)應用程序和服務。微服務和容器化應用程序的日益普及使事情變得更加復雜。容器及其底層基礎(chǔ)設施在傳統(tǒng)網(wǎng)絡安全實踐的邊界內(nèi)不能很好地發(fā)揮作用,傳統(tǒng)網(wǎng)絡安全實踐通常強調(diào)邊界的安全。隨著組織尋求解決這些挑戰(zhàn)的方法,零信任模型等策略在保護容器化工作負載方面獲得了更多關(guān)注。

傳統(tǒng)安全策略的“短板”

攻擊者經(jīng)常對容器進行訪問控制或利用應用程序代碼進行攻擊滲透,這可能會導致內(nèi)核崩潰、執(zhí)行權(quán)限提升或其他對系統(tǒng)的威脅。

傳統(tǒng)上,內(nèi)部網(wǎng)絡的應用程序、服務器、網(wǎng)絡軟件或硬件默認是被信任的,不需要對客戶端連接進行身份驗證,僅僅依賴于靜態(tài)的共享憑證便可以進行訪問或執(zhí)行。通常,內(nèi)部網(wǎng)絡連接,即使是敏感服務的連接,也不使用任何加密。

然而,惡意攻擊者使用特洛伊木馬、安全訪問漏洞或者通過利用這種隱含的信任網(wǎng)絡都可以造成嚴重破壞。從嗅探明文網(wǎng)絡數(shù)據(jù)包到發(fā)現(xiàn)數(shù)據(jù)庫或其他關(guān)鍵系統(tǒng)的應用程序密碼,一直到獲得對網(wǎng)絡設備的控制,這種情況為不可接受的風險打開了大門,包括數(shù)據(jù)外流或丟失。
 

零信任安全是解決容器安全的“一把利器”

剛剛我們講到了傳統(tǒng)安全模型的失效,特別是由于網(wǎng)絡、動態(tài)IP的復雜,以及傳統(tǒng)防火墻的局限,容器的動態(tài)會給傳統(tǒng)安全環(huán)境帶來更多安全問題。

零信任基于設備的網(wǎng)絡位置或用戶在受信任網(wǎng)絡上進行身份驗證,以驗證任何服務、設備、應用程序或數(shù)據(jù)存儲庫,將“信任,但要驗證”的舊原則改寫為“從不信任,始終驗證”。它用身份驗證訪問和集中網(wǎng)絡控制取代了隱式的相互信任,這有助于解決去中心化IT環(huán)境的安全挑戰(zhàn),并使零信任成為云中容器安全的理想模型。

零信任安全模型在解決容器安全時,遵循如下幾個原則:

容器之間不存在隱式的相互信任,而是通過身份驗證訪問服務。這種強制身份驗證阻礙了黑客從一個被攻擊的容器或系統(tǒng)輕松遷移到同一集群中的另一個容器或系統(tǒng)的能力,從而限制了被攻擊范圍。

容器中的所有服務器通過安裝在服務器的硬件受信任臺模塊(TPM)中的本地證書建立信任根。這些證書驗證和驗證管理員訪問以及任何代碼或配置更改。任何不是由授權(quán)管理員發(fā)起的系統(tǒng)更新或應用程序,并且不是來自授權(quán)和可信的代碼存儲庫,都將被拒絕。

所有基礎(chǔ)設施和代碼更改都使用服務器的本地證書進行加密散列,并記錄日志,以提供一個不可變的記錄,用于故障排除和遵從審計。

共享操作系統(tǒng)上的容器在虛擬機和虛擬網(wǎng)絡中被沙箱化。

容器間或服務到服務的通信通過本地證書和TPM進行身份驗證和加密。容器之間不存在基于本地IP地址的隱式信任。

IAM (identity and access management)、PKI (public key infrastructure)等服務集中管理安全策略和安全對象,包括用戶、用戶證書、雙因素認證集成、RBAC (role-based access control)、機器和代碼證書等。

總的來說,這些原則和相關(guān)控制使組織能夠加強云中的容器安全。它們確保容器和微服務只能與顯式授權(quán)的其他服務通信。此外,這些保護措施使容器能夠在多個云環(huán)境中運行,包括跨云區(qū)域或在混合云上運行,具有與單云部署相同的保護。容器可以依賴底層基礎(chǔ)設施來實施安全控制。

為什么零信任是解決容器安全的“最優(yōu)解”

零信任自興起以來,已經(jīng)十余年時間,尤其是兩年在國內(nèi)備受關(guān)注,這代表著技術(shù)未來的趨勢和方向,也代表著零信任技術(shù)帶來的更好的解決方案。零信任架構(gòu)一般遵循以下原則:

安全控制應等地適用于所有實體,無論是軟件還是硬件,無論其網(wǎng)絡位置如何。

網(wǎng)絡連接應由服務器和客戶端在兩端進行身份驗證?,F(xiàn)在通常需要服務器進行客戶端身份驗證,但客戶端還應驗證它們是否已連接到有效服務器。當連接跨越多個事務時,應重新驗證連接,并根據(jù)需要重新授權(quán)請求。

授權(quán)授予應遵循最小特權(quán)原則,僅允許客戶端工作負載所需的最低限度的權(quán)限。

所有網(wǎng)絡連接和交易都應受到持續(xù)監(jiān)控以進行分析。

正是由于零信任具體如上的幾個特,才能更好的基于“無邊界”的安全模型解決云原生技術(shù)下容器化帶來的諸多安全問題,幫助企業(yè)解決威脅問題。

深云SDP實現(xiàn)無邊界全局視角的安全

陳本峰表示,云深互聯(lián)基于零信任的理念架構(gòu),采用SDP技術(shù)為企業(yè)提供無邊界、一站式安全接入服務,覆蓋云管端實現(xiàn)全流程的安全體驗。自主研發(fā)設計的深云SDP客戶端基于終端環(huán)境檢測&應用可信檢查,保證業(yè)務入口的合規(guī)、安全。

基于SDP技術(shù),實現(xiàn)網(wǎng)絡隱身,避免探測、監(jiān)聽,極大縮小網(wǎng)絡攻擊面;

SDP安全云、SDP連接器缺省拒絕一切訪問流量(deny all),僅允許合法、合規(guī)終端訪問(only you)。

深云SDP允許只能訪問授權(quán)應用,其他資源都“隱身”,避免內(nèi)部橫向攻擊。

隨著云遷移、容器化應用程序的不斷增多,面臨的安全問題也會越來越明顯。零信任的理念特可以很好的解決此類安全問題,也希望更多的企業(yè)采用零信任技術(shù),解決自身遇到的安全問題,保證業(yè)務的正常運行。

標簽: 零信任安全 容器安全 網(wǎng)絡軟件 應用程序

推薦

財富更多》

動態(tài)更多》

熱點