Serverless 安全新杀器:云安全中心护航容器安全

news2025/1/11 12:52:35

作者:胡志广(独鳌)

云安全中心对于 Serverless 容器用户的价值

从云计算发展之初,各大云厂商及传统安全厂商就开始围绕云计算的形态来做安全解决方案。传统安全与云计算安全的形态与做法开始发生变化,同时随着这 10 多年的发展,安全越来越被国家、企业重视,安全本身也在不断的发生变化。

面向 Serverless 用户的安全需求的重要场景:

图 1

为了解决这些安全场景的问题,Serverless 和云安全中心基于容器安全的场景进行了合作支持构建了一套面向 Serverless 的云上安全架构体系实现纵深防御能力。

云安全中心对于容器服务的安全能力

  • 漏洞扫描: 通过云安全中心检测您的应用中是否存在漏洞,云安全中心客户端 AliSecureCheckAdvanced 进程可能会在本地执行 POC 验证,发出特定的请求(POC 请求)以检查是否存在应用漏洞。这些请求旨在测试应用漏洞的存在性和实际危害性,而不会进行实际的恶意攻击。具体信息,请参见什么是漏洞管理 [ 1]
  • 入侵检测: 为了发现任何形式的隐藏和混淆的 Rootkit,Rootkit 检测功能依据通用 Rootkit 的原理进行操作,即总是存在对内核态函数(系统调用、VFS 函数及底层功能函数)的挂钩、篡改和劫持。通过对系统内存镜像进行必要数据的采集检查,来确定 Rootkit 的存在和属性,以及判断被篡改劫持的系统功能,推断 Rootkit 本身的功能作用。通过以上操作,尽可能准确地判定 Rootkit,并向用户告警传递相关信息。具体信息,请参见检测 Linux Rootkit 入侵威胁 [ 2]
  • 基线检测: 病毒和黑客会利用服务器存在的安全配置缺陷入侵服务器,盗取数据或植入后门。基线检查功能针对服务器操作系统、数据库、软件和容器的配置进行安全检测,可以帮助您加固系统安全,降低入侵风险并满足安全合规要求。具体信息,请参见基线检查 [ 3]

云安全中心同时也覆盖了主机、容器服务等资源,更多详细的内容也可以见:云安全中心 [ 4] 具体进行了解。

Serverless 对接云安全中心的架构和挑战

1. Serverless 对接云安全中心流程和架构

a. Serverless 容器安全架构

图 2

  • Serverless 应用能力:应用管理、流量、运维、部署等基本能力,基于容器安全沙箱建设弹性 Serverless 能力。
  • Serverless 安全能力:主要针对基于云安全中心作为技术底座,支持几大安全能力,包括:漏洞风险扫描、恶意文件检测、安全审计、配置风险检测等。

基于云安全中心为底座支持了 Serverless 容器安全能力结合 Serverless 应用管理能力后让 Serverless 架构更加完善和稳固。

b. Serverless 容器对接安全中心流程

图 3

  • 容器资产上报到 sae 管控。
  • sae 管控将容器资产同步到云安全中心。
  • 云安全同步到容器资产信息后与云安全 Agent 配合后可以检测应用的基线检测、入侵检测、漏洞扫描等能力,最终完成 Serverless 的容器安全闭环。

2. 重点挑战

面向 Serverless 对接云安全中心的挑战主要有三个部分:

  • 多租隔离: Serverless 设计了多租户隔离提供安全隔离方案,多租隔离包括:网络、安全容器、资产上报等。
  • 资源消耗影响: 新增云安全 Agent 后资源消耗是否影响存量用户,需要通过资源限制和压测保障不影响存量资源。(之前没有这个组件,采集和检测是否会影响到用户,尤其针对小规格容器)
  • 爆炸半径控制: Serverless 多种资源池的形态(固定资源池和弹性资源池),保障容器节点组件版本支持安全能力和云安全 Agent 的组件的同时推平;推平后保障存量容器不影响,需要安全中心的容器则采用新版本容器启动,这样可以既保证安全能力支持又兼容存量容器稳定性不受影响,从而保障爆炸半径的可控。
a. 多租隔离

图 4

  • 安全容器:基于安全容器隔离保障数据安全。
  • 网络多租:每个容器可以有自己的网卡,vpc 内可以互相访问。
  • 资产上报多粗隔离:容器资源上报安全中心根据用户资产进行隔离。
b. 资源消耗压测

SAE 目前有两种资源池的形式:

  • 固定资源池: 固定资源池是云安全 Agent 在宿主机上,然后与容器进行 socket 通信上报安全检测信息。
  • 弹性资源池: 弹性资源池的云安全 Agent 需要与业务容器和管控资源共享资源。

资源架构详见图 3。

两种模式分别都需要进行压测云安全 Agent 的极限来验证是否不影响业务容器的资源;

  • 多种资源规格的压测,包括 1c、2c、4c、8c。
  • 考虑 cpu 干扰和 rt 的影响。

重点面向的小规格容器压测的效果,因为小规格容器资源更容易被打满,资源的负载和 rt 影响会比较大。

压测结果:

主容器运行 CPU 密集型程序,将 CPU 打到 60%-90% 左右。

图 5

验证业务容器的 RT 不会因为拉起云安全 Agent 导致明显波动和资源争抢。

图 6

综上结论: 整体安全中心对接后对于存量容器的资源影响几乎可以忽略不计。

c. 爆炸半径控制

ⅰ. 挑战:

  • 容器节点组件和云安全 Agent 组件版本依赖同时推平
  • 如何保障容器组件和云安全 Agent 节点 Agent 发布后不影响存量容器按需开启,保障爆炸半径

ⅱ. 推平和生效规则:

  • 容器节点组件版本和云安全 Agent 按照地域从小地域到大地域逐步推平,实现 1:1 匹配推平。(固定资源池节点推平管控和云安全 Agent,弹性资源池根据新建容器支持安全能力)
  • 生效规则:管控侧、节点侧可根据开启云安全能力的用户 UID 生效,开启云安全的用户新创建的容器通过新版本创建容器,存量版本不影响,从而保障一个节点可以同时支持开启安全能力容器和老容器两个容器版本,并且可以快速回滚和开启,从而保障爆炸半径可控。(回滚:如果出现不兼容场景则将 uid 进行回滚到旧版本容器,临时关闭安全中心能力)

ⅲ. 生效流程:

图 7

用户侧流程:

  • 灰度控制:根据用户 UID 开启安全能力支持容器和管控侧同时开启。
  • 新建应用:固定资源池和弹性资源池创建支持云安全 Agent 的容器。
  • 存量应用:非开启安全的用户和存量应用保持存量容器版本保障稳定性,开启安全能力的通过重新部署支持安全能力的支持。

如果出现异常支持瞬时关闭安全能力回滚存量容器保障业务运行稳定性。

推平流程:

  • 先推平底层组件:节点管控组件和云安全 Agent 组件。
  • 开启安全能力:管控侧开启 UID 和容器组件开启 UID 支持。

Serverless 针对安全未来的展望

Serverless 安全防护能力除了支持目前既定的等保合规(漏洞扫描、入侵检测、基线检测等)、安全隔离的能力外还支持 WAF 防火墙、支持通信加密、操作审计、权限管控等能力,也正是有了这些能力的加持,SAE 才能很好的服务了金融、政企、医疗等行业的客户;Serverless(SAE)未来还计划规划更多安全能力为企业保驾护航,包括:代码安全扫描、加密、堡垒机、最小权限、身份与访问管理、以及更多的攻击防护等能力的建设。

“我们希望让用户做的更少而收获更多,通过 Serverless 化,深度用云就像用水电煤一样简单” ,这也是 SAE 产品五年以来一直坚持的产品理念:让客户不用修改任何代码,不改变原有应用部署方式,零改造平滑迁移企业在线应用,零门槛容器化和 Serverless 化,免运维,开箱即用。

未来我们将继续砥砺前行,让更多的客户上云和深度用云时都践行 SAE First!相关链接:

[1] 什么是漏洞管理

https://help.aliyun.com/zh/security-center/user-guide/overview-4

[2] 检测 Linux Rootkit 入侵威胁

https://help.aliyun.com/zh/security-center/user-guide/detect-linux-rootkit-intrusions

[3] 基线检查

https://help.aliyun.com/zh/security-center/user-guide/baseline-check

[4] 云安全中心

https://www.aliyun.com/product/sas

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.coloradmin.cn/o/2131480.html

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈,一经查实,立即删除!

相关文章

JavaWeb开发中为什么Controller里面的方法是@RequestMapping?

在Java Web开发中,尤其是在使用Spring MVC框架时,RequestMapping注解被广泛应用于Controller层的方法上,这是因为RequestMapping是Spring MVC提供的一个核心注解,用于将HTTP请求映射到相应的处理器类或处理器方法上。通过这种方式…

安全隔离上网的有效途径:沙盒

在数字化浪潮日益汹涌的今天,网络安全成为了不可忽视的重要议题。沙箱技术作为一种高效的隔离机制,为企业和个人提供了一种在享受网络便利的同时,保障系统安全的解决方案。本文旨在深入探讨沙箱技术如何做到隔离上网,从而为用户提…

什么开放式耳机好用?2024五款宝藏品牌推荐!

在移动互联网时代,耳机已成为许多人生活中不可或缺的一部分,无论是在通勤路上还是运动时,它们都能提供音乐享受,同时减轻压力。然而,长时间佩戴入耳式耳机可能会引起耳道不适甚至炎症。因此,开放式耳机因其…

STM32 如何生成随机数

目录 一、引言 二、STM32 随机数发生器概述 三、工作原理 1.噪声源 2.线性反馈移位寄存器(LFSR) 3.数据寄存器(RNG_DR) 4.监控和检测电路: 5.控制和状态寄存器 6.生成流程 四、使用方法 1.使能随机数发生器 …

洛谷 P3065 [USACO12DEC] First! G

原题点这里​​​​​​ 题目来源于:洛谷 题目本质:字符串,Hash,字典树Trie 题目思路: 因为涉及到字典序的问题,那么应该能想到字典树。很显然字符串s1如果比字符串s2的字典序小的话,只有两种…

sms4j 发送短信

一、使用介绍 技术介绍: SMS4J: 短信 支持 阿里云 腾讯云 云片 等等各式各样的短信服务商 项目地址: SMS4J: 让简单的事情回归简单的本质。 SMS4J为短信聚合框架,帮您轻松集成多家短信服务,解决接入多个短信SDK的繁琐流程。 目前已…

8招教你轻松解决职场甩锅PUA!

你是不是四十岁了还不知道解决职场甩锅行为也是有公式的! 那些混得好,能轻松赢得领导赏识,快速升职的,都 是早就把这些技巧背的滚瓜烂熟! 比如: 1、同事的错,领导误会是你 错误话术 这不是…

【Linux】在Windows搭建WSL2开发环境

在Windows搭建WSL2开发环境 WSL安装和调整更改安装位置变更默认apt源 Python环境变更默认Python版本安装pip WSL安装和调整 这里使用的WSL2,Ubuntu22.04 如果在WSL中需要使用系统代理但是报以下的错: 在当前Windows用户目录下创建.wslconfig并写入以下配…

网络工程师考试真题及解析

1. 在不同类型的操作系统中,批处理操作系统的缺点是()。 A) 缺少交互性 B) 不能并发运行 C) CPU利用率低 D) 周转时间太长 A【解析】批处理操作系统的优点是作业流程自动化较高,资源利用率较高,作业吞吐量大&…

word文档无损原样转pdf在windows平台使用python调用win32com使用pip安装pywin32

前提: windows环境下,并且安装了office套装,比如word,如果需要调用excel.也需要安装。在另外的文章会介绍。这种是直接调用word的。所以还原度会比较高。 需求: word文档转pdf,要求使用命令行形式,最终发布为api接口…

1992-2022年各省市县夜间灯光数据(excel+shp格式)

1992-2022年各省市县夜间灯光数据(excelshp格式) 1、时间:1992-2022年 2、来源: DMSP-OLS、NPP-VIIRS 3、指标:均值、总和、最小值、最大值、标准差 4、范围:34省市(含港澳台)、…

learn C++ NO.16——模板

typename关键字 typename是一个c关键字,主要用于解决模板定义中的依赖类型名称的解析问题。它告诉编译器紧随其后的名称是一个类型,而不是静态成员或成员函数。在模板编程中正确使用typename是理解和编写复杂模板代码的关键。 那什么是模板定义中的依赖…

聚鼎装饰画:做一家装饰画店铺能不能赚钱呢

在当今这个快节奏、高压力的社会环境中,人们越来越渴望在繁忙的生活中找到一丝宁静与美感。装饰画,作为提升居家和办公环境品位的艺术品,其市场需求日益增长。那么,做一家装饰画店铺究竟能不能赚钱呢? 从市场需求的角度来看&…

Codeforces practice /C++ 2024/9/11 - 2024/9/13

D. Mathematical Problem Codeforces Round 954 (Div. 3) 原题链接:https://codeforces.com/contest/1986/problem/D 题目标签分类:brute force,dp,greedy,implementation,math,two pointers…

深度学习经典模型之T5

T5(Text-to-Text Transfer Transformer) 是继BERT之后Google的又外力作,它是一个文本到文本迁移的基于Transformer的NLP模型,通过将 所有任务统一视为一个输入文本并输出到文本(Text-to-Text)中,即将任务嵌入在输入文本中,用文本的…

element ui form 表单出现英文提示的解决方案

场景再现: 在使用 form 表单的时候,一般都需要对表单元素进行验证,错误就出现在了这里,除了配置的错误信息,还会出现一个 英文校验提示,如下图: 解决方案 出现的原因是在el-form-item中使用…

推动数据治理与传统产业深度融合:解锁产业升级新引擎

标题:推动数据治理与传统产业深度融合:解锁产业升级新引擎 在数字化浪潮席卷全球的今天,数据已成为驱动经济社会发展的关键生产要素。传统产业,作为国民经济的基石,正面临着前所未有的变革挑战与转型升级的机遇。数据…

SVN的使用技巧

SVN(Subversion)是近年来崛起的版本管理工具,因为是免费的,所以用的人还是不少的。故做一些总结。 如果是新手,基本对SVN一点都不了解的话,建议去学习一下这个系统的教程,讲的也很详细Tortoise…

腾讯发布大模型安全与伦理报告:以负责任AI引领大模型创新

前言 随着AI模型的能力日益更加强大,如何让其行为和目的跟人类的价值、偏好、伦理原则、真实意图之间实现协调一致,这个被称为人机价值对齐的问题变得越来越重要。价值对齐对于确保人类与人工智能协作过程中的信任与安全至关重要,已经成为AI…

今年的智能手机不仅仅是AI

周一,苹果揭开了其iPhone 16系列的面纱,主要卖点是苹果智能。苹果的设备内AI系统提供了许多引人注目的功能,比如重写电子邮件、生成自定义表情符号和大幅升级的Siri。但在这些表面之下,AI为iPhone带来的还有一个重大变化&#xff…