云原生安全

什么是云原生安全？云原生安全包含兩層含義：面向云原生環(huán)境的安全和具有云原生特征的安全

面向云原生環(huán)境的安全

面向云原生環(huán)境的安全的目標(biāo)是防護(hù)云原生環(huán)境中的基礎(chǔ)設(shè)施、編排系統(tǒng)和微服務(wù)系統(tǒng)的安全。這類(lèi)安全機(jī)制不一定會(huì)具有云原生的特性，比如容器化、可編排的，而是以傳統(tǒng)的方式部署的，甚至是硬件設(shè)備，其作用是保護(hù)日益普及的云原生環(huán)境。對(duì)于容器云（CaaS）的抗拒絕服務(wù)，可以采用分布式拒絕服務(wù)緩解（DDOS Mitigation）機(jī)制，但考慮到性能限制，一般此類(lèi)緩解機(jī)制都是以硬件形態(tài)交付和部署的，正是這種傳統(tǒng)的安全機(jī)制保障了面向云原生安全系統(tǒng)的可用性。云原生內(nèi)部的安全機(jī)制以云原生形態(tài)居多，比如服務(wù)網(wǎng)格通常使用旁掛串接（Sidecar）的安全容器，微服務(wù)的API安全通常使用微API網(wǎng)關(guān)容器，這些安全容器都是云原生的部署模式，具備云原生的特性。

具有云原生特征的安全

具有云原生特征的安全是指具有云原生特性的各類(lèi)安全機(jī)制。此類(lèi)安全機(jī)制具有彈性、敏捷、輕量級(jí)、可編排性等特性。云原生是一種理念上的創(chuàng)新，它通過(guò)容器化、資源編排和微服務(wù)重構(gòu)傳統(tǒng)的開(kāi)發(fā)運(yùn)營(yíng)體系，加快業(yè)務(wù)上線和變更的速度。云原生系統(tǒng)的種種優(yōu)良特性同樣會(huì)給安全廠商帶來(lái)很大的啟發(fā)，從而重構(gòu)它們的安全產(chǎn)品、平臺(tái)、改變其交互方式和更新模式。

以DDOS攻擊為列，在數(shù)據(jù)中心的安全體系中，抗拒絕服務(wù)是一個(gè)典型的安全應(yīng)用，以硬件清洗設(shè)備為主。但其缺點(diǎn)是當(dāng)DDOS的攻擊流量超過(guò)了清洗設(shè)備的清洗能力時(shí)，（無(wú)法快速的部署額外的清洗設(shè)備），攻擊的流量過(guò)載，導(dǎo)致無(wú)法應(yīng)對(duì)突發(fā)的大規(guī)模拒絕服務(wù)式攻擊。而如果我們采用了云原生的機(jī)制，安全廠商就可以通過(guò)容器鏡像的方式交付容器化的虛擬清洗設(shè)備，當(dāng)面對(duì)突發(fā)的大型拒絕服務(wù)式的攻擊，可以通過(guò)編排系統(tǒng)在空閑的服務(wù)器中橫向動(dòng)態(tài)擴(kuò)展啟動(dòng)足夠多的以容器化的虛擬清洗設(shè)備，從而應(yīng)對(duì)清洗設(shè)備處理能力不夠的問(wèn)題。這時(shí)，DDos的清洗機(jī)制是云原生的，而其他的防護(hù)設(shè)備則是傳統(tǒng)的。

這種具有云原生特征的安全機(jī)制與當(dāng)前流行的安全資源池也有相似的特性，當(dāng)然借助業(yè)界流行的云原生技術(shù)平臺(tái)能提供比安全資源池性能更好、處置更靈活的安全能力。

原生安全：融合的云原生安全

未來(lái)的云安全等價(jià)于純安全，因?yàn)?#xff0c;從目前的趨勢(shì)來(lái)看，在未來(lái)，越來(lái)越多的服務(wù)、應(yīng)用、企業(yè)上云是必然的事情，云計(jì)算將會(huì)變得無(wú)處不在。由于安全的伴生特性，云計(jì)算市場(chǎng)的發(fā)展，大概率會(huì)帶動(dòng)云安全的發(fā)展，也會(huì)帶動(dòng)攻防場(chǎng)景的變化和轉(zhuǎn)移。此時(shí)，云原生安全就顯得至關(guān)重要了，云原生安全有兩個(gè)特點(diǎn)，基于云原生且無(wú)處不在。

云原生安全會(huì)有三個(gè)發(fā)展階段

1）安全賦能于云原生體系，構(gòu)建云原生的安全能力。當(dāng)前云原生技術(shù)發(fā)展迅速，但相應(yīng)的安全防護(hù)匱乏，就連目前最基礎(chǔ)的鏡像安全的安全基線都是漏洞百出，不盡如人意。所以應(yīng)該研究如何將現(xiàn)有的成熟的安全能力，如隔離、訪問(wèn)控制、入侵檢測(cè)、應(yīng)用安全，應(yīng)用于云原生環(huán)境，構(gòu)建安全的云原生系統(tǒng)。

2）安全產(chǎn)品具有云原生的新特性，如輕、快、不變的基礎(chǔ)設(shè)施、彈性服務(wù)編排、開(kāi)發(fā)運(yùn)營(yíng)一體化等。因而，安全廠商會(huì)開(kāi)始研究如何將這些能力賦予傳統(tǒng)的安全產(chǎn)品，通過(guò)軟件定義安全的架構(gòu)，構(gòu)建原生安全架構(gòu)，從而提供彈性、按需、云原生的安全能力，提高“防護(hù)-檢測(cè)-響應(yīng)”的閉環(huán)效率。

3）在安全設(shè)備或平臺(tái)完成云原生化后，就能提供（云）原生的安全能力，不僅適用于通用云原生、5G、邊緣計(jì)算等場(chǎng)景，還可以獨(dú)立部署在大型電商等需要輕量級(jí)、高彈性的傳統(tǒng)場(chǎng)景，最終成為無(wú)處不在的安全。

參考：云原生安全：攻防實(shí)踐與體系構(gòu)建