如何保證云原生應用程序安全

在增加部署的流動(dòng)性和自動(dòng)化方面帶來(lái)了巨大的能力。隨著(zhù)云技術(shù)的采用，人們開(kāi)始使用專(zhuān)門(mén)為該領(lǐng)域開(kāi)發(fā)應用程序而構建的云原生工具。然而，云原生工具帶有一些細微的安全問(wèn)題，例如錯誤配置、已知漏洞和泄露的秘密。因此，根據Snyk公司最近發(fā)布的一份報告，83%的組織認為安全性對其云原生策略非常重要。

Snyk的云原生應用安全報告調查了數百名IT專(zhuān)業(yè)人員對云原生安全的擔憂(yōu)。下面，我們將從報告中找出最重要的要點(diǎn)，找出云原生應用程序安全性最常見(jiàn)的問(wèn)題領(lǐng)域，并查看部署自動(dòng)化與更高級別的應用程序安全性之間是否存在關(guān)聯(lián)。

遷移到云原生

團隊正在轉向云原生技術(shù)，用軟件驅動(dòng)的架構和基礎設施代碼(IaC)來(lái)增強DevOps的能力。在這個(gè)新的云原生范例中，58%的生產(chǎn)工作負載部署為容器，21%現在是無(wú)服務(wù)器的，50%在部署過(guò)程中使用某種形式的IaC。

由于各種原因，組織正在轉向云原生技術(shù)。研究發(fā)現，首先，集裝箱化軟件提供了更快的速度——68%的組織為了提高部署速度而轉移到集裝箱。其次是易于管理(67%)和降低成本(43%)。采用云原生工具也有安全的必要性;36%的受訪(fǎng)者認為安全是將生產(chǎn)應用程序轉移到容器的主要原因。

頂級云原生安全問(wèn)題

雖然容器、Kubernetes、serverless和IaC等云原生技術(shù)能夠實(shí)現更快速的發(fā)展，但它們也帶來(lái)了獨特的安全問(wèn)題。報告發(fā)現，錯誤配置和已知的未修補漏洞是云原生環(huán)境中最常見(jiàn)的事件類(lèi)型。事實(shí)上，45%的組織經(jīng)歷過(guò)由錯誤配置引起的事件，其次是38%的組織經(jīng)歷過(guò)由已知的未修補漏洞引起的事件。

其他常見(jiàn)的云原生安全事件包括機密泄漏、失敗的審計和惡意軟件。有趣的是，這項研究還發(fā)現，內部人員泄露數據的情況在云原生采用程度較高的組織中更為常見(jiàn)。根據這份報告，38%的采用云計算的組織遭遇了內部人員的數據泄露，而在采用云計算較少的組織中，這一數字減少了一半，為17%。像API密鑰這樣的秘密必須小心管理，尤其是在云原生工具強制使用更多依賴(lài)項的情況下?！睂@類(lèi)工件的有效管理是區別于更集中的前云時(shí)代的一個(gè)關(guān)鍵因素。

自動(dòng)化安全測試

端到端部署自動(dòng)化顯示了希望，但對于大多數開(kāi)發(fā)團隊來(lái)說(shuō)，它仍處于成熟的早期階段。盡管95%的組織使用某種部署自動(dòng)化，但只有大約三分之一的組織擁有完全自動(dòng)化的部署管道。

部署自動(dòng)化程度提高的組織也傾向于接受更高程度的安全測試。報告發(fā)現，高度自動(dòng)化的管道在其整個(gè)開(kāi)發(fā)生命周期中使用安全測試的可能性是原來(lái)的兩倍。由于事件通常由錯誤配置和已知漏洞引起，因此自動(dòng)掃描可以幫助識別許多云原生問(wèn)題，將生產(chǎn)代碼與已知漏洞的數據庫進(jìn)行比較。

那么，什么時(shí)候進(jìn)行安全測試?通常，它發(fā)生在CI/CD管道中。超過(guò)60%的組織在CI系統中執行安全測試。這與在開(kāi)發(fā)過(guò)程的早期測試源代碼存儲庫或本地ide和CLI工具相反。就測試頻率而言，執行的范圍很廣。對于部署自動(dòng)化程度高的組，70%的組每天或更頻繁地測試安全性。自動(dòng)化安全測試似乎運行良好，72%的全自動(dòng)化團隊在一周內發(fā)現并修復關(guān)鍵漏洞。

該報告還揭示了一個(gè)有趣的脫節方面的安全測試所有權。只有一小部分安全工程師(不到10%)認為開(kāi)發(fā)人員負責云原生環(huán)境和應用程序的安全，而36%的開(kāi)發(fā)人員表示他們負責安全。這些數字可能表明安全責任向左轉移到開(kāi)發(fā)端?；蛘?，隨著(zhù)全周期開(kāi)發(fā)變得更加現實(shí)，它也可能突顯出人們態(tài)度的變化。無(wú)論如何，團隊必須明確角色，以避免一些困難的對話(huà)!

云原生安全

隨著(zhù)向云原生策略的轉變，安全標準也在不斷提高，以應對諸如錯誤配置之類(lèi)的新問(wèn)題。為了應對日益增長(cháng)的應用程序威脅，提高自動(dòng)化程度有助于改變安全性，本報告和其他報告清楚地表明了全自動(dòng)化部署管道和提高安全性測試方案之間的相關(guān)性。

由于采用了云原生工具，58%的組織自采用云原生工具以來(lái)增加了安全顧慮。其中一部分涉及到在所有基礎設施(無(wú)論是面向內部還是面向外部)中采用零信任方法。報告顯示，58%的組織越來(lái)越擔心配置錯誤，52%的組織越來(lái)越擔心不安全的API，43%的組織越來(lái)越擔心已知的未修補漏洞，41%的組織擔心機密泄漏。希望這些基準能幫助您了解您的組織與其他組織相比的情況。

Snyk的stateofcloud原生應用程序安全報告對600名開(kāi)發(fā)、安全和操作方面的專(zhuān)家進(jìn)行了關(guān)于云原生采用和安全實(shí)踐的提問(wèn)。