安全检测场景 3：云原生安全检测

HummerRisk 使用场景-云原生安全检测（3）--全生命周期检测⚓︎

云原生安全背景⚓︎

背景：

云原生安全是一种将安全性构建到云原生应用程序中的方法。

它确保安全是从开发到生产的整个应用程序生命周期的一部分。

云原生安全旨在确保与传统安全模型相同的标准，同时适应云原生环境的特殊性，即快速的代码更改和高度短暂的基础设施。

云原生安全与称为测试左移的实践高度相关。

云原生安全解决的问题⚓︎

解决的问题

传统的安全模型是根据许多不再有效的假设构建的。

云原生应用程序变化频繁，使用大量开源工具和库，通常运行在供应商控制的基础设施中，并且会受到快速的基础设施变化的影响。

代码审查、长质量保证周期、基于主机的漏洞扫描和最后一分钟的安全审查无法与云原生应用程序一起伸缩。

云原生安全引入了一种新的工作方式，通过从传统的安全模型迁移到发布周期的每个步骤都涉及安全的模型来保护应用程序。

人工审核和检查在很大程度上被自动扫描所取代。

快速代码发布管道与在编译之前扫描代码以查找漏洞的工具集成在一起。

开源库从受信任的来源中提取并监控漏洞。

云原生安全模型不是减缓变化，而是通过频繁更新易受攻击的组件或确保定期更换基础设施来拥抱它。

为什么需要云原生安全检测⚓︎

1 云原生正在吞噬一切⚓︎

技术特点

从技术特征来看，云原生拥有极致的弹性能力、服务自治、故障自愈能力和大规模可复制能力；从应用价值方面来看，云原生异构资源标准化，加速了数字基础设施解放生产力，提升业务应用的迭代速度，在赋能业务创新方面有重要价值；从产业效用来看，云原生极大地释放了云的红利，成为驱动业务的重要引擎。

云原生以其技术优势以及不断扩大的应用场景，逐步普及到各行各业的敏捷开发与业务创新中，可以说“云原生正在吞噬一切”。

2 云原生未来拥有巨大挑战和机遇⚓︎

架构特点

云原生作为云计算的未来阶段，其安全势必成为云安全的主要战场。云原生安全的需求主要体现在两个方面。一是新的组件面临新的风险，如容器的隔离性不如虚拟机（VM）而导致其更容易发生逃逸攻击等，这就需要新的产品及解决方案。二是传统的云安全需求（例如访问控制）在新的架构中需要改进以适应新的架构。

在以前的云计算时代，安全和云平台的结合不算紧密，大部分以安全资源池这种外挂形式来实现云安全，而云原生安全需要安全能力和云原生平台紧密结合，真正成为内生安全，这将是云安全的巨大挑战和机遇。

“不可变的基础设施”是云原生中非常重要的一个理念，可以说是云原生整个架构的核心思想，其贡献不亚于应用商店对智能手机的贡献。云原生对一个容器实例的更新是替换，而不是修改。这种方式保证了多实例间的一致性，有利于应用的弹性扩容。为了解决随之而来的效率问题，云原生用编排工具、微服务架构和 DevOps 一系列技术来保证替换的效率。相应地，“不可变的基础设施”也带来了安全防护思路的变化。