隨著容器化架構(gòu)的發(fā)展勢(shì)頭越來(lái)越強(qiáng)勁，企業(yè)正在意識(shí)到容器安全性的重要性越來(lái)越大。不可否認(rèn)，容器提供了可移植性、靈活性和可擴(kuò)展性等深遠(yuǎn)優(yōu)勢(shì)，但它們也帶來(lái)了前所未有的安全挑戰(zhàn)。在本報(bào)告中，我們將闡述容器安全的基本原則和策略，并深入探討兩種具體方法——秘密管理和修補(bǔ)。此外，我們還將研究用于保護(hù)密鑰、令牌和密碼的工具和技術(shù)。
【資料圖】
開(kāi)發(fā)人員和 DevOps 團(tuán)隊(duì)已經(jīng)接受使用容器進(jìn)行應(yīng)用程序部署。Gartner在一份報(bào)告中表示，“到 2025 年，全球超過(guò) 85% 的組織將在生產(chǎn)中運(yùn)行容器化應(yīng)用程序，與 2019 年的不到 35% 相比有了顯著增長(zhǎng)。” 另一方面，各種統(tǒng)計(jì)數(shù)據(jù)表明，容器的流行也使它們成為成功利用它們的網(wǎng)絡(luò)犯罪分子的目標(biāo)。
根據(jù)Red Hat在 2023 年 Kubernetes 安全狀況報(bào)告中發(fā)布的一項(xiàng)調(diào)查，67% 的受訪(fǎng)者表示，安全是他們?cè)诓捎萌萜骰瘯r(shí)最關(guān)心的問(wèn)題。此外，37% 的受訪(fǎng)者表示，他們因容器或 Kubernetes 安全事件而遭受收入或客戶(hù)損失。這些數(shù)據(jù)點(diǎn)強(qiáng)調(diào)了容器安全的重要性，使其成為當(dāng)前正在使用或計(jì)劃采用容器化應(yīng)用程序的組織之間討論的關(guān)鍵和緊迫話(huà)題。
容器安全策略使用綜合的多層次方法可以最有效地處理容器安全，每個(gè)方法都涉及不同的策略和原則。采用這種方法可以最大限度地降低暴露風(fēng)險(xiǎn)并保護(hù)應(yīng)用程序免受威脅。
圖 1：容器安全的多層方法
應(yīng)用程序安全側(cè)重于保護(hù)在容器內(nèi)執(zhí)行的應(yīng)用程序，這可以通過(guò)實(shí)施輸入驗(yàn)證、安全編碼實(shí)踐和加密來(lái)實(shí)現(xiàn)。相比之下，容器運(yùn)行時(shí)環(huán)境應(yīng)該定期進(jìn)行漏洞掃描和修補(bǔ)。最后，主機(jī)層被認(rèn)為是最關(guān)鍵的安全層，因?yàn)樗?fù)責(zé)運(yùn)行容器。可以通過(guò)實(shí)施基線(xiàn)配置來(lái)強(qiáng)化主機(jī)操作系統(tǒng)、部署防火墻、實(shí)施網(wǎng)絡(luò)分段以及使用入侵檢測(cè)和入侵防御系統(tǒng)來(lái)保護(hù)它。
容器基礎(chǔ)設(shè)施的每一層都提供了應(yīng)用一組總體安全原則和策略的機(jī)會(huì)。下面，我們概述了一些關(guān)鍵策略，以幫助更好地理解如何將這些原則付諸行動(dòng)。
保護(hù)容器化環(huán)境核心原則和策略描述設(shè)計(jì)安全最小權(quán)限、職責(zé)分離、縱深防御風(fēng)險(xiǎn)評(píng)估漏洞掃描和修復(fù)、威脅建模、安全策略訪(fǎng)問(wèn)管理RBAC、MFA、集中式身份管理運(yùn)行時(shí)安全網(wǎng)絡(luò)分割、容器隔離、入侵檢測(cè)與防御事件管理和響應(yīng)日志管理、事件計(jì)劃和響應(yīng)、持續(xù)監(jiān)控
容器分割為了確保容器段內(nèi)的通信安全，可以將容器部署為微服務(wù)，確保只允許授權(quán)連接。這是使用云原生容器防火墻、容器區(qū)域、服務(wù)網(wǎng)格技術(shù)等實(shí)現(xiàn)的，這些技術(shù)使用細(xì)粒度策略控制到虛擬網(wǎng)絡(luò)的流量。網(wǎng)絡(luò)分段將物理網(wǎng)絡(luò)劃分為子網(wǎng)，而容器分段在覆蓋網(wǎng)絡(luò)上工作，為基于資源的身份提供額外的控制。
圖像掃描在部署容器之前，分析容器基礎(chǔ)鏡像、庫(kù)和包是否存在任何漏洞非常重要。這可以通過(guò)使用圖像掃描工具來(lái)完成，例如Anchore和Docker Scout。
運(yùn)行時(shí)保護(hù)為了實(shí)時(shí)識(shí)別和響應(yīng)潛在的安全事件，監(jiān)控容器內(nèi)的活動(dòng)至關(guān)重要。運(yùn)行時(shí)安全工具可以通過(guò)識(shí)別未經(jīng)授權(quán)的訪(fǎng)問(wèn)、惡意軟件和異常行為來(lái)協(xié)助完成此任務(wù)。
訪(fǎng)問(wèn)控制為了盡量減少未經(jīng)授權(quán)訪(fǎng)問(wèn)主機(jī)的可能性，只有授權(quán)人員才能被授予訪(fǎng)問(wèn)容器化環(huán)境的權(quán)限。為此，可以部署強(qiáng)大的身份驗(yàn)證和授權(quán)機(jī)制，例如多因素身份驗(yàn)證、基于角色的訪(fǎng)問(wèn)控制 (RBAC) 和 OAuth。
容器安全中的機(jī)密管理機(jī)密管理可防止外部和內(nèi)部威脅，并通過(guò)集中化來(lái)簡(jiǎn)化憑據(jù)管理。它試圖保護(hù)控制對(duì)各種服務(wù)、容器資源和數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)的敏感信息（密鑰、令牌等）。最終，它確保敏感數(shù)據(jù)的安全并滿(mǎn)足法規(guī)遵從性要求。
由于秘密的重要性，它們應(yīng)該始終被加密并安全地存儲(chǔ)。此類(lèi)信息處理不當(dāng)可能會(huì)導(dǎo)致數(shù)據(jù)泄露、侵犯知識(shí)產(chǎn)權(quán)和失去客戶(hù)信任。常見(jiàn)的失誤包括以純文本形式存儲(chǔ)秘密、對(duì)其進(jìn)行硬編碼或?qū)⑵涮峤坏皆创a控制系統(tǒng)/存儲(chǔ)庫(kù)。
常見(jiàn)類(lèi)型的秘密概述為確保機(jī)密的安全，清楚了解各種類(lèi)型至關(guān)重要：
密碼是最常用的秘密。它們用于對(duì)用戶(hù)進(jìn)行身份驗(yàn)證并提供對(duì)容器中的 Web 服務(wù)、數(shù)據(jù)庫(kù)和其他資源的訪(fǎng)問(wèn)。密鑰有多種用途，例如加密和解密數(shù)據(jù)以及為設(shè)備和服務(wù)提供身份驗(yàn)證。常見(jiàn)的密鑰類(lèi)型包括 SSH 密鑰、API 密鑰和加密密鑰。令牌用于提供對(duì)資源或服務(wù)的臨時(shí)訪(fǎng)問(wèn)。身份驗(yàn)證令牌，例如訪(fǎng)問(wèn)令牌、OAuth 和刷新令牌，用于對(duì)第三方服務(wù)或 API 進(jìn)行身份驗(yàn)證。數(shù)據(jù)庫(kù)憑據(jù)可以是用于訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)和特定于數(shù)據(jù)庫(kù)的機(jī)密的用戶(hù)名、密碼和連接字符串。流行的密鑰管理工具概述在評(píng)估安全解決方案時(shí)，重要的是要考慮一系列因素，例如加密、訪(fǎng)問(wèn)控制、集成功能、自動(dòng)化、監(jiān)控、日志記錄和可擴(kuò)展性。這些都是可取的特征，可以有助于形成穩(wěn)健有效的安全態(tài)勢(shì)。相反，還應(yīng)考慮缺乏透明度、功能有限、集成度差和成本等缺陷。
除了上面列出的能力，對(duì)安全解決方案的綜合評(píng)估還考慮了公司當(dāng)前基礎(chǔ)設(shè)施（AWS、Azure、谷歌云等）的具體需求和要求，以及與其現(xiàn)有工具的兼容性，以確保最好的結(jié)果。
下面列出了一些在行業(yè)中經(jīng)過(guò)驗(yàn)證的工具，供您參考：
HashiCorp Vault – 一種開(kāi)源工具，提供集中式機(jī)密管理、機(jī)密輪換和動(dòng)態(tài)機(jī)密等功能。Kubernetes Secrets – Kubernetes 環(huán)境中的內(nèi)置秘密管理工具，允許用戶(hù)存儲(chǔ)敏感信息，例如 Kubernetes 對(duì)象。建議在使用 Kubernetes Secrets 時(shí)使用加密、RBAC 規(guī)則和其他安全最佳實(shí)踐進(jìn)行配置。AWS Secrets Manager – 一種基于云的工具，可擴(kuò)展且高度可用。它支持在 Amazon ECS 和 EKS 上運(yùn)行的容器，提供自動(dòng)秘密輪換，并可以與 Lambda 等 AWS 服務(wù)集成。Azure Key Vault – 通常由在 Azure Kubernetes 服務(wù)上運(yùn)行的容器使用。它可以支持各種密鑰類(lèi)型并與大多數(shù) Azure 服務(wù)集成。Docker Secrets – 一種內(nèi)置的機(jī)密管理工具，可以在 Docker Swarm 中存儲(chǔ)和管理機(jī)密。請(qǐng)注意，此工具僅適用于 Swarm 服務(wù)，不適用于獨(dú)立容器。短暫的密鑰密鑰管理領(lǐng)域的一個(gè)新興趨勢(shì)是使用生命周期有限、定期自動(dòng)輪換、按需生成的短期秘密。這是對(duì)與長(zhǎng)期未加密的秘密相關(guān)的風(fēng)險(xiǎn)的回應(yīng)，因?yàn)檫@些新秘密通常只持續(xù)幾分鐘或幾小時(shí)，一旦過(guò)期就會(huì)自動(dòng)刪除。
容器安全中的補(bǔ)丁為了降低已知威脅的暴露風(fēng)險(xiǎn)，確保容器使用最新的軟件版本非常重要。打補(bǔ)丁可確保定期更新軟件以解決任何開(kāi)放的漏洞。如果不應(yīng)用補(bǔ)丁，惡意行為者可以利用漏洞并導(dǎo)致惡意軟件感染和數(shù)據(jù)泄露。成熟的組織使用自動(dòng)修補(bǔ)工具來(lái)使他們的容器環(huán)境保持最新。
修補(bǔ)工具為了使容器映像與最新的安全補(bǔ)丁保持同步，市場(chǎng)上有許多可用的工具。Kubernetes和Swarm是使用最廣泛的編排工具，它們提供集中式平臺(tái)并允許用戶(hù)自動(dòng)化容器部署。Ansible和Puppet是其他流行的自動(dòng)化工具，用于自動(dòng)部署 Docker 鏡像的補(bǔ)丁。
實(shí)施補(bǔ)丁的最佳實(shí)踐在容器環(huán)境中應(yīng)用補(bǔ)丁可以顯著增強(qiáng)組織的安全狀況，前提是它們遵循行業(yè)最佳實(shí)踐：
定期掃描容器以識(shí)別漏洞并使基礎(chǔ)映像保持最新。盡可能使用帶有自動(dòng)化工具的自動(dòng)修補(bǔ)過(guò)程，以減少人工干預(yù)。在部署到生產(chǎn)環(huán)境之前，在測(cè)試環(huán)境中使用官方圖像和測(cè)試補(bǔ)丁。跟蹤修補(bǔ)活動(dòng)、監(jiān)控日志并對(duì)生成的警報(bào)或問(wèn)題采取行動(dòng)。創(chuàng)建自動(dòng)構(gòu)建管道以測(cè)試和部署已打補(bǔ)丁的容器。結(jié)論隨著越來(lái)越多的組織采用容器化環(huán)境，了解潛在的安全風(fēng)險(xiǎn)并采取主動(dòng)的容器安全方法至關(guān)重要。這涉及實(shí)施核心安全原則和策略、使用可用工具以及優(yōu)先考慮容器化數(shù)據(jù)和應(yīng)用程序的安全性。多層安全、機(jī)密管理和自動(dòng)修補(bǔ)等策略有助于防止安全漏洞。
此外，將修補(bǔ)流程與 CI/CD 管道集成可以提高效率。對(duì)于組織而言，了解最新的容器安全趨勢(shì)和解決方案以有效保護(hù)其容器化環(huán)境非常重要。
標(biāo)簽：
