容器安全知识学习

容器安全知识学习的思维导图，现在来看，一些比较大的CWPP的厂商，和做容器安全做的比较好的厂商，都在做云工作负载安全的统一管理，把主机安全、容器安全、Serverless安全都放到一个产品里去，用一个控制台管理所有的云工作负载。

容器安全

• 云原生
  • 云原生技术有利于各组织在公有云、私有云和混合云等新型动态环境中，构建和运行可弹性扩展的应用。云原生的代表技术包括容器、服务网格、微服务、不可变基础设施和声明式 API。这些技术能够构建容错性好、易于管理和便于观察的松耦合系统。结合可靠的自动化手段，云原生技术使工程师能够轻松的对系统作出频繁和可预测的重大变更。
  • 云原生面临的安全挑战
    • 云原生的演进
      • 传统IDC---VM云计算---云原生
    • 安全挑战
      • 1.防护对象
        • 从物理机到虚拟机，再到容器
      • 2.对象生命周期
        • 过去以年计、现在以分钟或小时计、资产梳理困难
      • 3.防护边界
        • 物理边界改变为应用或者服务为边界，传统边界防护模型难以应对
      • 4.应用架构
        • 单体改变微服务，API爆发式增长导致攻击免增加。
      • 5.开发过程
        • 瀑布模式改变为DevOps模式，追求敏捷而忽视安全。
• 容器技术
  • 在实现云原生的主要技术中，容器作为支撑应用运行的重要载体，为应用的运行提供了隔离和封装，成为云原生应用的基础设施底座。
• 容器面临的安全风险
  • 基础设施安全
    • 容器依托主机操作系统内核，以进程的方式运行于主机之上。因此基础设施层面安全威胁对容器的安全性有着重要胡影响。
  • 容器和编排平台安全
    • 1.组件漏洞威胁
      • 编排组件风险
        • K8s组件自身存在漏洞
          • API-Server、Scheduler、Controller等核心组件存在漏洞;
      • 容器风险
        • 容器技术基于进程隔离，隔离性弱，导致容器逃逸攻击宿主机
          • CVE2019-5736
          • CVE2017-1002101
          • CVE2018-11506
          • CVE2017-9951
        • Docker、
          • 容器程序自身安全
            • 面向容器的DDOS、容器逃逸、缺乏资源管控等
    • 2.集群配置不当
      • API-server鉴权配置不当被匿名访问
      • DockerDaemon默认2375端口配置不当被远程访问
    • 3.权限管理威胁
      • Kubernetes基于角色的访问控制RBAC可能存在权限管控不当。
    • 4.网络隔离差
      • 容器动态扩展性导致IP、端口随机性强，传统静态防护及隔离规则不在适用。
      • 访问控制颗粒度无法细化，攻击者一旦进入集群，可以相对容易地进行东西移动。
  • 镜像安全风险
    • 容器构建时的漏洞问题、恶意代码或敏感信息暴露问题
      • 不能及时更新
      • 不可靠的来源
      • 导致镜像内含漏洞或恶意文件
        • 包含漏洞或被投毒
    • 镜像仓库管理风险
      • 镜像仓库漏洞和管理问题带来自身安全风险
      • 镜像入库后的访问控制问题、准入校验问题及机密性完整性问题
    • 镜像分发时遭受恶意攻击篡改的风险等。
  • 运行时安全
    • 传统的攻击手段对容器运行时依然有效，容器环境面临更复杂的攻击问题。首先，由于容器的隔离性较弱， 攻击者可以利用敏感挂载和漏洞实现逃逸到宿主机；其次，特权容器的滥用增加了恶意代码和挖矿程序植入的风险；最后，运行时环境下的错误配置让攻击者窃取集群资源并发动攻击活动变得轻而易举。
  • 安全管理和运营难度大
• 面临的挑战
  • 攻击面增加
    • 相比较传统物理服务器或虚拟机的隔离方式，容器化应用部署极大的增加了业务被入侵的安全隐患。在云原生环境中，容器基于进程进行隔离，多个服务实例需要共享宿主机的操作系统，一旦有服务存在漏洞且被攻击时，同一主机运行的其他服务会不可避免的受到影响。
  • 监控和防护难度大
    • 云原生环境下的微服务架构使得集群内部的网络流量和通信端口总量大幅增加，传统防火墙基于固定 IP 的安全策略很难适应这种持续的动态变化，因此无法准确捕捉容器间的网络流量和异常行为。此外，容器的动态调度策略导致其生命周期难以预测，这无疑进一步增加了容器安全监控和防护的难度。
  • 安全管控难度高
    • 云原生支持通过一系列的自动化工具将业务的开发和部署交由流水线操作，在应用构建过程中还需要考虑基础镜像、依赖库、构建、部署、运行等环节的安全问题，安全管控难度较高。
• 客户关心的安全问题
  • 镜像漏洞扫描
  • 镜像签名
  • pod安全策略
  • 运行时安全检测
  • 集群RBAC策略
  • 监控和日志审计
  • Secret加密
  • 基线检测
  • 主机安全加固
  • Network Policy
• 趋势
  • 现在来看，一些比较大的CWPP的厂商，和做容器安全做的比较好的厂商，都在做云工作负载安全的统一管理，把主机安全、容器安全、Serverless安全都放到一个产品里去，用一个控制台管理所有的云工作负载。
• 厂家
  • 国外：Apcera、Aqua、StackRox和Twistlock等
  • 国内：安全狗、
• 容器安全公司解决方案
  • Twistlock
    • 母公司
      • Paloalto
    • 定位
      • 构建跨越整个应用生命周期的容器安全体系。谈到跨越应用生命周期，自然我们就会想到DevSecOps，涉及到容器相关阶段在Build、Deploy、Run阶段
    • 核心能力
      • 1.漏洞管理
      • 2.合规&基线核查
        • 支持K8S与Docker的CIS基线，符合的PCI DSS, HIPAA, GDPR和NIST SP 800-190等标准。
      • 3.运行时防护
        • 覆盖进程、网络和文件的Sensor来感知行为
        • 网络可视化：主要是网络层面的流量可视化与以镜像为维度的网络控制。
      • 4.响应与取证
        • 安全运营类产品必备的能力：包括命令控制、进程控制、网络控制、文件控制等
      • 5.CI/CD安全
        • 容器镜像扫描
        • DevSecOPs的Build阶段
        • 与各种CI/CD平台良好集采。
    • 产品功能
      • 雷达图
      • 防护
        • 容器网络防火墙
          • 容器网络防火墙策略
        • 运行时
          • 运行时防护策略
        • 漏洞
          • 容器镜像漏洞检查策略
        • 合规
          • 合规检查策略
        • 权限
          • 权限控制策略
      • 监控
        • 安全事件
          • 以标签化的形式展示，能够很清晰的看到各类安全事件的数量
        • 运行时
          • 基线的自动化学习结果
        • 漏洞
          • 用于展示镜像扫描的结果，可以以镜像视角，CVE视角等进行漏洞查看
        • 合规
          • 展示合规扫描的结果
      • 配置管理
        • 系统日志
        • Defend安装
        • 权限分配
        • 插件下载等
    • 架构
      • 控制台
      • Defenders
  • 蜂巢·云原生安全平台
    • 定位：
      • 青藤蜂巢·云原生安全平台由青藤自主研发，能够很好集成到云原生复杂多变的环境中，如PaaS云平台、OpenShift、Kubernetes、Jenkins、Harbor、JFrog等等。通过提供覆盖容器全生命周期的一站式容器安全解决方案，青藤蜂巢可实现容器安全预测、防御、检测和响应的安全闭环。
    • 核心理念
      • 青藤蜂巢·云原生安全平台的核心架构理念： 在开发阶段（Dev），遵循“安全左移”原则，做到上线即安全 在运行阶段（Ops），遵循“持续监控&响应”原则，做到完全自适应
      • 功能项目
        • 安全开发
          • 威胁建模
          • SCA
          • SAST
        • 安全测试
          • 镜像安全
          • AST
          • 合规检测
          • 安全验证
          • 渗透测试
        • 安全管控
          • 资产清点
          • 风险检测
          • 微隔离
          • WAF/RASP
        • 安全运营
          • 入侵检测
          • 安全响应
          • 溯源分析
          • 威胁狩猎
    • 产品功能
      • 资产清点
      • 镜像安全
      • 微隔离
      • 入侵检测
      • 合规基线
    • 容器安全拓扑
  • 小佑科技-镜界
    • 公司介绍：
      • 发布第一份容器安全最佳实践、容器安全标准第一批起草单位、参与编写云原生架构安全白皮书、国内最早提供云原生安全产品、推出国内第一款免费镜像扫描器、首批通过“可信云”容器安全认证。
      • Harbor国内首家安全厂商合作伙伴、唯一加入CNCF的安全厂家。
    • 容器全生命周期的解决方案
      • 上线前
        • 镜像深度扫描
      • 上线后
        • 容器网络及系统安全监控
          • 应用容器
          • 防护容器
        • 集群漏洞扫描及安全审计
    • 产品功能架构
      • • 镜像安全
        • 镜像漏洞检测与修复
        • 容器入侵检测与防御
        • 容器运行时安全监测
        • 快速定位攻击的影响范围
        • 合规基线胡自动检查
        • 微服务安全
        • 网络隔离
        • 主机安全
  • 腾讯云原生产品体系
    • 腾讯云原生产品矩阵
      • 涉及研发流程、 计算资源、 架构框架、 数据存储及处理、安全。
    • 安全
      • 腾讯云依托在云原生以及安全方向的持续投入、积累和沉淀，一直致力于在云原生领域为用户提供更全面、更稳定、更安全的云原生服务。在云原生产品的设计和实现之初，就充分融入了安全性的设计和考虑，使我们的云原生系统天然具备安全特性，使安全成为像计算、存储、网络一样的基础能力，助力用户实现应用系统的云原生化，并且持续的保障其安全稳定的运行。 基于腾讯多年对安全攻防技术的研究积累，持续在安全能力上的沉淀，以及对云原生安全领域的研究和实践运营，同时结合腾讯云容器平台 TKE 千万级核心规模容器集群治理经验，我们撰写并发布本白皮书。白皮书全面介绍了腾讯云在云原生容器安全建设上的思路、方案以及实践，并希望以这样的方式，把我们的一些心得分享给业界，共同推动云原生安全的发展。
      • 容器云环境安全
        • 容器内部安全(包括主机安全、虚拟化安全、容器网络[东西向]的安全)、管理平台安全及数据安全等
        • 容器云内外之间的网络安全及 南北向网络安全;
      • 容器安全体系设计四大原则
        • 安全能力原生化
          • 一方面是原生的基础安全，也就是在基础设施和基础架构上原生的提供安全能力，使得云原生应用能够做到上线即安全。腾讯云容器服务 TKE 在容器、编排、微服务等云原生基础架构的构建过程中，就充分的融入安全性的设计和考虑，使我们的云原生系统天然具备安全特性，使得安全成为像计算、存储、网络一样的基础能力。
          • 另一方面，就是安全能力的云原生实现，充分利用云原生的技术优势，来实现安全检测与防护能力，使相关的安全能力同样具备云原生的低成本、高效率和高可用等特性。
        • 安全左移
          • 云原生架构下，容器实例生命周期短，业务迭代更新快，同时主机上容器密度高、业务复杂，而且很多传统的安全设备和安全手段无法发挥有效的作用。在这种情况下，增加运行时安全的投入对于整体安全性的提升很难有显著的帮助。
          • 一个有效的方法就是最近两年经常被提及的安全左移（Shift Left），在软件生命周期的更早阶段，投入安全资源和安全能力能更有效的收敛安全问题，包括安全编码、供应链（软件库、开源软件）安全、镜像（仓库） 安全等。这些方面的资源大多是白盒，相应的安全投入相对较少；而且这些资源生命周期较长，如果能保证安全性，攻击者在攻击运行时实例得手后更难持久化。
          • 基于 DevOps 协作框架实现敏捷高效的 IT 流程，是云原生架构的一个重要应用场景，Gartner 更是在很早便提出 DevSecOps。安全左移同样也是实现 DevSecOps 的一个重要的原则，将安全能力全面融入到 DevOps 体系中，实现面向 DevSecOps 的全生命周期安全防护。
        • 零信任架构
          • 云原生架构下的网络基础设施更加复杂，这种复杂性超越了传统网络边界安全的防护方法。基于传统物理、固定边界的网络安全也被证明是不够用的，“内部的系统和网络流量是可信的”这一假设是不正确的。网络边界的安全防护一旦被突破，即使只有一个 Pod 被攻陷，攻击者也能够在所谓“安全的”内部横向移动。
          • NIST在2020年8月，发布了最新的零信任架构[3]，在零信任安全模型中，会假设环境中随时可能存在攻击者， 不能存在任何的隐形信任，必须不断的分析和评估其资产、网络环境、业务功能等的安全风险，然后制定相应的防护措施来缓解这些风险。在零信任架构中，这些防护措施通常要保证尽可能减少对资源（比如数据、计算资源、应用和服务等）的访问，只允许那些被确定为需要访问的用户和资产访问，并且对每个访问请求的身份和安全态势进行持续的认证和授权。
          • 在云原生架构下，容器安全防护的主体从主要以 IP 为标记的主机变成了以 Label、Tag 等作为标记的应用程序， 其安全边界变的更加模糊。因此，需要采用零信任架构，通过全面有效的身份权限管理以及持续的检测与响应来实现对云原生应用的安全防护。
        • 安全防护全生命周期
          • 在云原生架构中，业务的快速迭代以及容器生命周期短、业务复杂、网络复杂等特点会造成运行时的安全检测投入成本很高。因此，基于上述安全左移的设计思想，我们在容器生命周期的各个阶段，嵌入相应的安全能力，实现对容器的全生命周期安全防护。全生命周期防护是实现“安全前置”或者“安全左移”的结果，也是实现 DevSecOps 的一个重要方法。
      • 全方位层次化的容器安全体系框架
        • 云原生容器安全体系采用层次化的方式，逐层实现安全防护。主要分为承载容器云平台的基础设施层安全、容器和容器云平台基础架构层安全、以及容器承载的应用层安全。
          • 1.容器基础设施安全
            • 1.采用安全专用容器操作系统
          • 2.容器基础架构安全
            • 1容器与平台安全
              • 资源隔离和限制
              • 权限管理机制
              • 安全配置加固和漏洞管理
            • 2零信任网络安全
              • 网络隔离与访问控制
              • 网络入侵检测
              • 网络异常行为分析
            • 3.运行时安全
              • 容器逃逸检测
              • 进程异常检测
              • 文件篡改检测
              • 反弹shell检测
              • 高危系统调用检测
          • 3.容器应用安全
            • 镜像安全
              • 镜像构建阶段
              • 镜像存储阶段
              • 镜像拉取阶段
            • API安全
              • API网关
                • API流量控制
                  • 秒级请求过滤控制
                • API监控
                • API认证和通信安全
                  • 使用SecretId+SecretKey
                • API暴露安全
              • API业务异常检测
      • 全面的可观测性
        • 日志分析服务
          • 漏洞分析与系统加固
          • 安全检测和趋势预判
          • 制定应急响应机制
        • 监控服务
          • 集群监控
          • 节点监控
          • 命名空间、
          • Service
          • Pod等
          • 容器ID、Pod名称、标签变化监控
          • 应用性能观测(APM)服务
            • 基于OpenTelemetry开源协议
        • 追踪服务
          • 应用依赖拓扑的自动发现
          • 调用链路追踪
          • 多维下钻分析
      • 容器安全管理和运营
        • 资产组件管理
        • 秘钥管理
        • 安全策略管理
        • 漏洞管理
• 容器网络方案
  • eBPF技术