云原生安全性:降低企业风险

企业系统和数据面临着重大程度前所未有的安全威胁。然而,包括公有云提供商所采用方法在内的传统方法则是老生常谈,更多的只是应对攻击症状的被动策略,不能解决根本原因。云原生应用的迅速普及,以一切可能的方式向传统智慧发出了挑战。从基础架构到应用开发,在自上而下的整个体系中,传统方法与更为现代的云原生方法之间形成了鲜明对比,大多数人就有助于取得成功的模式和实践达成了共识:DevOps 文化、持续交付和微服务架构。为什么我们没有重新设想云原生时代的安全性?大胆的新想法在哪里?那就是云原生安全性背后的创新:一种降低企业风险的变革性方法。


什么是云原生企业安全性?

有效的企业安全性就是云原生安全性。云原生安全性有三个原则:

修复

更新一旦可用,便立即修复易受攻击的软件。

重铺

利用已知良好的状态重新铺设服务器和应用。经常执行。

循环

频繁轮换用户凭证,使它们只在短时间内可用。

这些原则被称为安全性3原则:修复、重铺、循环。





这种新的安全方法是非常必要的。要想了解为什么现如今的安全传统会被打破,只需看一下赛门铁克 的《2016 互联网威胁报告》中描述的可怕现实便可知晓。以下是 2015 年的一些令人震惊的统计信息:

每周都会发现一种新的零日漏洞

五亿条个人记录被窃取或丢失

发现四分之三的网站中存在漏洞

以员工为目标的鱼叉式网路钓鱼增加了 55%

勒索软件增加了 35%

威胁数量呈指数级增长,而且,随着攻击的行动速度越来越快,相当简单的威胁类型却会给数据中心带来严重破坏:

恶意软件

这是对病毒、特洛伊木马、蠕虫病毒、间谍软件和其他恶意程序的统称。

高级持续威胁

这些是指,导致攻击者获得网络访问权限并长时间停留而不被发现的漏洞。威胁未能被发现的时间越长,存在风险的数据就越多。

凭证泄露

凭证用于控制对信息或其他资源的访问。无论企业如何努力将员工凭证锁定到关键系统上,这些凭证都似乎总是会泄露出去。


为什么云原生企业安全性十分重要

数据中心安全性已被破坏

企业如今的安全传统要求放慢速度。对任何请求的回答几乎总是“不”。每一个层级都在抵制变化,因为任何变化都代表一种潜在的威胁。与这种应用开发和运维方法不同,这些团体现在以名为 DevOps 的新方式展开合作,以便更快速地交付新代码。新的威胁持续不断、愈发复杂、不断变化,安全团队也需要重新思考他们在云原生时代的应对方法。

威胁正在以前所未有的速度快速演变

恶意软件和高级持续威胁正在激增。几乎不用花什么钱就可以创建并部署恶意程序。每天都有数百个新威胁试图渗透到企业系统中。传统的安全措施几乎无法以同样的速度演变。云原生方法可同时提供外围和内部系统保护。

凭证泄露问题有可能缓解

事实上,凭证总是会泄漏,但系统管理员不会再束手无策,任由它发生。几周或几个月的凭证使用期限给黑客提供了充足的时间来发现漏洞,管理员可以将这个期限更改为几小时或者仅 15 分钟。云原生安全方法有助于确保泄露的凭证迅速失效。


企业需要对他们面临的安全挑战进行切实可行的评估,并了解为什么现如今的安全方法无法满足需求:

系统存在风险是因为我们故意不进行修补吗?

供应商持续发布修补程序,这很棒!但现实情况是,一个典型的企业几年间会采购几千台服务器,每一台都装载了不同的软件包。要定期修补这些系统,工作难度令人难以想象。那么会出现什么问题呢?系统管理员是务实的,他们会分类工作。事实是,他们会故意不修补系统。这个流程已被破坏。

企业、流程和工具是为了应对威胁,而不是阻止它们,是吗?

等您检测到攻击的时候,一切为时已晚。此外,发现漏洞只是开始,您仍然需要修复它。

您的安全供应商只提供增量改进吗?

云原生时代的大型供应商看上去当然与十年前的主要供应商不同,但安全领域的革命性供应商在哪里呢?企业买家和安全供应商围绕网络时代的相同产品进行的对话仍旧相同。现在,产品可能“作为服务”交付、可能添加至内部私有云中或者作为公有云中的虚拟设备提供。与基础架构即服务、敏捷开发或微服务相比,这些并不算是企业 IT 的惊人改进。

您是否无法经常更新生产系统?

将新软件应用于生产环境需要几个月的时间。这是一个痛苦而艰巨的过程,一旦新产品上线,没有人再想更改什么。这是为什么呢?因为进行更改可能会导致产品损坏,这很糟糕。更糟糕的是,静态环境是发动攻击的沃土。现如今的生产系统管理方式对攻击者有着致命的吸引力,而不幸的是,网络犯罪分子完全知道这一点。

上述所有一切会带来一个更大的问题,那就是认为放慢速度能够降低风险,而事实刚好相反。系统变化地越快,就越难渗透,这是云原生安全性的核心理念。



主要区别:云原生安全性与传统的企业安全性
云原生安全性
传统的企业安全性
自动化。 当系统能够快速更新时,威胁将会得到缓解。不可变基础架构的运用以及自动化功能有助于消除有问题的安全配置的系统。 受监控而且设备化。 企业认为系统变化代表存在恶意软件,因此进行了大量投资来检测数据中心的变化。
主动。 恶意软件活跃于易受攻击的软件上以及静态不变的系统上。首先要做的是强势改变系统状态,从而消除恶意软件生存所需的条件。 被动。 快速检测威胁是首要任务。确定漏洞后才执行用于缓解威胁的步骤。
通过彻底重新部署进行修补。 修补程序一旦可用,即可立即应用。带有最新组件的全新“黄金”映像将利用自动化和不可变基础架构的理念应用到数据中心。 增量修补。 修补程序以增量方式应用到系统,因为每个修补程序都要由内部团队审批。应用操作系统和中间件的修补程序时会先对其进行分类。
提倡改变。 企业认为系统变化越快,恶意软件就越难以在系统中发展壮大。 抵制改变。 企业认为变化的速度越慢,企业就越安全。



您正在应对威胁吗?请牢记以下内容。

加快变化速度能提高企业的安全性。这对您可能是新观点,但它其实早已被实践验证。一些银行业、零售业、电信业、汽车制造业的世界巨头现如今都依赖于云原生安全性,其中包括云原生开发和运维。

当您在思考这三种威胁类型及其根本原因时,有一种实用的安全性3原则方法可应对它们:



威胁
根本原因
Cloud-Native Mitigation Approach
恶意软件 源于未正确配置和/或未修补的软件。即使是在虚拟化环境中,向操作系统和应用体系中部署修补程序通常也需要几个月的时间。企业让服务器处于易受攻击的状态长达六个月或更长时间的情况其实并不少见。 更新一旦可用,便立即修复易受攻击的软件。
高级持续威胁 需要时间在网络内发展壮大。APT 可在以增量方式变化的环境中发展壮大。系统很难恢复到上一个已知的良好状态。 利用已知的良好状态重新铺设服务器和应用,以缩短攻击的持续时间。
凭证泄露 凭证很少轮换。因此,如果攻击者能够找到一些凭证,凭证可能并不会失效,并且仍可使用很长一段时间。 频繁轮换凭证,使它们只在短时间内可用。



云原生安全性和 Pivotal

下文介绍了 Pivotal 是如何帮助企业采用安全性3原则的:

使用 Pivotal Operations Manager,企业可以在不需要应用停机的情况下,每几个小时利用已知的良好状态重新铺设一次数据中心内的每个虚拟机 。他们可以使用 Concourse 等持续集成工具部署应用,并每隔几个小时重新铺设一次应用容器。
企业可以在修补程序可用的几个小时内以一致方式修复易受攻击的操作系统和应用体系。这改变了运维部门传统的黄金映像使用方法。Pivotal 将其称之为“干细胞”,我们利用最新的操作系统修补程序为 Pivotal Cloud Foundry 客户更新干细胞。然后,管理员可以向客户的环境部署新映像。对于应用体系,Pivotal 利用脚本包来确保以最新方法使用运行时和框架。
企业应该能够每几分钟或每几小时轻松轮换一次系统凭证,这对于当今的企业而言是一项令人生畏的任务,因为现代系统中可以包含数十个个人凭证。现在,当我们致力于进行自动化凭证管理时,Pivotal 客户可以利用那些采用多因素身份验证的身份管理系统来帮助保护系统。

此外,Pivotal 有助于确保符合行业标准和安全要求:

对于 PCI 合规性,可以使用 Pivotal Cloud Foundry 来改进。具体而言是使用可选的 IPsec 附加模块,团队可利用 IPsec 的 strongSwan 实施形式提升 OSI 模型的网络层的安全性。IPsec 附加模块可为每个已部署 BOSH 的虚拟机提供一项 strongSwan 作业。IPsec 可将主机之间、安全网关之间以及安全网关和主机之间的 IP 数据流加密。如果恶意人员突破防火墙,IPsec 附加模块可保护 Cloud Foundry 部署中的网络流量并提供内部系统保护,从而进一步满足 PCI 规定的要求。
单点登录 (SSO) 是一种一体化解决方案,用于在 Pivotal Cloud Foundry 上保护对应用和 API 的访问。SSO 服务支持本机身份验证、联合 SSO 和授权。操作人员可以配置本机身份验证和联合 SSO 来验证应用用户的身份。完成身份验证之后,SSO 服务将使用 OAuth 2.0 来保护资源或 API。
Pivotal Cloud Foundry 使用基于角色的访问控制 (RBAC) 系统,来为弹性运行时用户授予符合其在企业或空间内角色的权限。


Pivotal 时刻
大型投资银行使用 Pivotal 的定期干细胞更新来定期清除环境中的 CVE。
所有 Pivotal Web Services 客户都使用运行时脚本包启动应用,这些脚本包由 Pivotal 进行修补并进行严格测试。现有两个最新版本可用,可帮助阻止使用较旧的版本。
汽车制造商利用 Pivotal Cloud Foundry 的角色和权限,在数十个团队和数百个微服务之间细分访问权限。



Pivotal Cloud Foundry
实现全自动自助式部署


Pivotal Web Services
The agile platform for the agile team powered by Cloud Foundry


IPsec Add-On for PCF
Authentication & encryption at the IP layer to secure network communications between VMs


想要找到更多的云原生安全性资源?

查看所有资源

Get started with Cloud-Native Security
云原生平台如何帮助确保合规性和安全性

阅读更多内容

适用于 Pivotal Cloud Foundry 应用的企业级单点登录

阅读更多内容

Build software people love at SpringOne Platform

了解更多

Read Next
平台重构