2/28/23, 10:46 AM CNCF 重磅发布云原生安全白皮书（中译版） https://mp.weixin.qq.com/s?src=1 1&timestamp=1677552344&ver=4377&signature=EKDoyIXDQakBexHJJ16S60h9k7MuuRbsLp7M3qFvXzhYQ … 1/24 来源：伪架构师 译者：崔秀龙 本文为CNCF安全特别兴趣小组（Security SIG）于上周发布的云原生安全白皮书。这份白皮书旨在 为组织及其技术领导提供对云原生安全、云在生命周期过程中的整合以及决定最合适的应用的考虑的 清晰理解。由知名云原生KOL崔秀龙翻译。2/28/23, 10:46 AM CNCF 重磅发布云原生安全白皮书（中译版） https://mp.weixin.qq.com/s?src=1 1&timestamp=1677552344&ver=4377&signature=EKDoyIXDQakBexHJJ16S60h9k7MuuRbsLp7M3qFvXzhYQ … 2/24执行摘要 目的 云原生的开发和部署模式已经成为业界趋势，技术、产品、标准和解决方案的生态系统也在同步的扩张之中， 决策者面临着跟进复杂设计的挑战。CISO 要在这个动荡的战场中实践业务价值，这个角色显得尤为重要。云 原生模式鼓励消费模式的变化，和采用需要集成安全实践的现代工作流程（如敏捷方法和 DevOps）。 问题分析 面对快速开发和部署的迫切需要，基于边界的传统安全保障显得力不从心。传统安全方法偏重于对边界进行保 护，而更复杂的云原生应用则倾向于识别动态工作负载中的属性和元数据来进行保护，这样才能为应用的模式 转换保驾护航。这种方式能对工作负载进行识别和保护，以此适应云原生应用的规模扩展以及快速变化的需 要。模式的转变要求使用面向安全的架构设计（例如零信任），并且在应用安全生命周期中采用更多的自动化 方法。 作为云原生环境的典型特征，容器化也需要最新的最佳实践。安全措施的变更会触及组织内的多个利益方，并 且会对开发和运维人员的生产力造成影响，因此其权衡过程会持续存在。云原生应用并没有跳出开发、发布、 部署和运维的圈子，但是新的模式需要新的安全机制，从而保障（新方式下）能够保障这些环节目标的达成。 云原生应用的生命周期可以建模为开发、发布、部署和运行时这样几个不同的阶段。和传统安全方法相比，云 原生安全有机会在不同的阶段注入各自的安全保障，而不是用独立的安全措施来干预应用的生命周期。需要指 出的是，需要针对这些概念的使用和整合、相关工具和流程的教育和培训，云原生的落地和应用可能难以为 继，甚至被打回原形。2/28/23, 10:46 AM CNCF 重磅发布云原生安全白皮书（中译版） https://mp.weixin.qq.com/s?src=1 1&timestamp=1677552344&ver=4377&signature=EKDoyIXDQakBexHJJ16S60h9k7MuuRbsLp7M3qFvXzhYQ … 3/24 生命周期 开发 对云原生应用来说，建议在应用生命周期的早期就引入安全保障。尽早地使用安全测试来识别合规和配置的相 关问题，从而为持续改进提供快速、可操作的反馈流程。这种方式能够使用同样的工作流程来处理安全问题和 Pipeline 中的其它常规问题（例如 Bug 修复或者 CI 失败）。这种模型中使用的现代的安全方法符合设计模2/28/23, 10:46 AM CNCF 重磅发布云原生安全白皮书（中译版） https://mp.weixin.qq.com/s?src=1 1&timestamp=1677552344&ver=4377&signature=EKDoyIXDQakBexHJJ16S60h9k7MuuRbsLp7M3qFvXzhYQ … 4/24式（例如 12 要素）要求，并且能保障交付过程的完整性。云原生的概念和 IaC（基础设施即代码）的实践密 不可分，以此确保能够在早期进行安全检查后，按照预期执行。这样的过程能够识别错误配置，并可以尽早在 IaC 和编排清单中实施最佳实践，从而降低长期成本并提高安全价值。 发布 软件供应链安全在快速的软件迭代过程中尤其重要。云原生应用的完整性保障不仅针对工作负载自身，还需保 证其创建和运维过程的完整性。对于开源软件和第三方应用的强依赖加剧了这方面的要求。Pipeline 生产的 制品（例如容器镜像）需要持续地进行自动扫描和更新，从而避免遭受漏洞、恶意软件、危险代码以及其它不 当行为的侵害。完成这些检查之后，应该对制品进行签名来保障其完整性和不可否认性。 部署 在开发和发布过程中集成的安全性能够对候选工作负载的属性进行实时的持续的验证（例如制品签名的验证、 容器镜像和运行时的安全策略等）。随安全的工作负载同时部署的可观察性支持，提供了对日志和指标的支 持，进一步完善了安全保障的覆盖面积。 运行时 云原生运行环境应提供策略和资源限制功能。对工作负载进行运行时资源限制（例如 Linux 的 cgroup 隔 离）就是一个在云原生环境中进行限制和可观察性的原语的例子。可以把云原生运行时环境分解为具备不同安 全问题的关联的组件层（例如硬件、主机、容器镜像运行时和编排）。 在云原生环境中，普遍采用了微服务架构。应用通常会由独立且目标单一的微服务组成，这些微服务需要通过 服务层进行通信，容器编排层完成了这一任务。这种相互纠缠的组件架构下，安全方面的最佳实践包括只有被 许可的进程才能在容器的命名空间内运行、预防和告知未经授权的资源访问、以及能够感知恶意行为的网络监 控。服务网格是另一个常见的抽象，它在避免对工作负载进行变更的情况下，为被编排的服务提供了加固和补 充的功能（例如 API 流量日志、传输加密、认证、授权以及可观察性等）。 建议 相对传统安全模型，云原生安全同样要对尽职性、完整性、信任关系以及威胁防范提供支持，在此基础之上还 加入了临时性、分布式和不可变设施的现代概念。在这种快速变化的环境中，要在迭代中实现与开发 Pipeline 自动同步的安全保障才能防止迭代失败。组织必须对这些核心安全概念进行学习分析和应用，避免 在应用加固和环境管理方面的落后；需要对相关的第三方执行同样的标准；并对其云功能和安全支持方面的员 工进行持续的教育和培训。因为复杂性的增加和组件的复杂关系，必须通过在整个生命周期和运行环境中整合 安全保障能力来制止未授权访问。强烈建议组织根据攻击框架[^2]来确认安全堆栈的覆盖面。另外组织还可以 采用安全左移[^3]的方式，扩大 DevOps 的能力，在 Pipeline 执行之前、之中和之后进行持续、适用的检 查，对进入生命周期的任何新东西进行校验。 结论 如果一个组织以战略的高度重视云原生安全的落地工作，能够在大规模情况下提供高可用、可信、韧性和冗余 的应用能力，保证客户和开发者能够以他们期望的效率，安全地访问所需资源。安全是一个跨学科领域，并不 能独立于开发之外，也不仅仅局限在技术范畴。开发、运维和安全人员都必须紧密交流和协作，推动该领域的 持续进步。与任何技术创新一样，真正使社区和云原生安全成为可能的是人。 简介 本文尝试让组织及其技术领导者能够清晰地理解云原生，从而能够将其纳入原有生命周期，并确定其应用方 式。云原生安全是一个覆盖多个专业技术和实践领域的多目标、多约束的问题空间。在初期运维过程中有很多 工作都和安全领域重叠，例如身份管理和存储方案。然而云原生安全的覆盖面远不止于此，它还是一个关系到 人本身的问题空间，其中包含了个人、团队以及组织。它是一种机制和流程，人类和系统借此进行交互，对云 原生应用和技术造成深远影响。2/28/23, 10:46 AM CNCF 重磅发布云原生安全白皮书（中译版） https://mp.weixin.qq.com/s?src=1 1&timestamp=1677552344&ver=4377&signature=EKDoyIXDQakBexHJJ16S60h9k7MuuRbsLp7M3qFvXzhYQ … 5/24目标读者 我们的目标读者是希望交付安全云原生技术生态的企业、政府机构以及非营利组织的首席安全观(CSO)、首席 信息安全观 (CISO) 或者 首席技术官 (CTO) 。其它的组织利益相关方，包括负责设计实现安全云原生产品和 服务的项目经理、产品经理和架构师。当然其他对云原生安全有兴趣的人也都可以参考本文。 云原生的目标 包括容器和微服务架构在内的新技术的采用和创新带来了新的挑战。现代组织中，安全需求的优先级已经大幅 提升。围绕云原生技术的加速创新，威胁范围也在扩大。安全领导者要负责保护人力[^4]和非人力的资产，要 在满足严格合规性要求的同时，采取措施来预防、检测和对应安全问题。一个老生常谈的埋怨就是，安全措施 降低了 DevOps 团队的速度和敏捷性。因此安全领导层必须（和 DevOps 团队）进行更紧密的合作并增进双 方的理解，让 DevOps 团队也能同样共享网络风险方面的所有权。 企业需要采用的安全云原生模式和架构必须进行分享，确保业界能够用更高优先级来实施安全实践，并将其集 成到现代应用生命周期之中。强调安全架构和安全行业领导者的协同作用，并在漏洞管理、零信任、云安全和 DevSecOps 等方面调整组织的架构目标，这是当务之急。 本文中的概念是具备普遍性的，并不偏向于特定的组件或者服务。 但是这里并不会对安全和云原生方面的基本概念进行扫盲，也不会推荐特定的技术和工具，