Serverless 安全新杀器:云安全中心护航容器安全

作者:胡志广(独鳌)

云安全中心对于 Serverless 容器用户的价值

从云计算发展之初,各大云厂商及传统安全厂商就开始围绕云计算的形态来做安全解决方案。传统安全与云计算安全的形态与做法开始发生变化,同时随着这 10 多年的发展,安全越来越被国家、企业重视,安全本身也在不断的发生变化。

面向 Serverless 用户的安全需求的重要场景:

图 1

为了解决这些安全场景的问题,Serverless 和云安全中心基于容器安全的场景进行了合作支持构建了一套面向 Serverless 的云上安全架构体系实现纵深防御能力。

云安全中心对于容器服务的安全能力

  • 漏洞扫描: 通过云安全中心检测您的应用中是否存在漏洞,云安全中心客户端 AliSecureCheckAdvanced 进程可能会在本地执行 POC 验证,发出特定的请求(POC 请求)以检查是否存在应用漏洞。这些请求旨在测试应用漏洞的存在性和实际危害性,而不会进行实际的恶意攻击。具体信息,请参见什么是漏洞管理 [ 1]
  • 入侵检测: 为了发现任何形式的隐藏和混淆的 Rootkit,Rootkit 检测功能依据通用 Rootkit 的原理进行操作,即总是存在对内核态函数(系统调用、VFS 函数及底层功能函数)的挂钩、篡改和劫持。通过对系统内存镜像进行必要数据的采集检查,来确定 Rootkit 的存在和属性,以及判断被篡改劫持的系统功能,推断 Rootkit 本身的功能作用。通过以上操作,尽可能准确地判定 Rootkit,并向用户告警传递相关信息。具体信息,请参见检测 Linux Rootkit 入侵威胁 [ 2]
  • 基线检测: 病毒和黑客会利用服务器存在的安全配置缺陷入侵服务器,盗取数据或植入后门。基线检查功能针对服务器操作系统、数据库、软件和容器的配置进行安全检测,可以帮助您加固系统安全,降低入侵风险并满足安全合规要求。具体信息,请参见基线检查 [ 3]

云安全中心同时也覆盖了主机、容器服务等资源,更多详细的内容也可以见:云安全中心 [ 4] 具体进行了解。

Serverless 对接云安全中心的架构和挑战

1. Serverless 对接云安全中心流程和架构

a. Serverless 容器安全架构

图 2

  • Serverless 应用能力:应用管理、流量、运维、部署等基本能力,基于容器安全沙箱建设弹性 Serverless 能力。
  • Serverless 安全能力:主要针对基于云安全中心作为技术底座,支持几大安全能力,包括:漏洞风险扫描、恶意文件检测、安全审计、配置风险检测等。

基于云安全中心为底座支持了 Serverless 容器安全能力结合 Serverless 应用管理能力后让 Serverless 架构更加完善和稳固。

b. Serverless 容器对接安全中心流程

图 3

  • 容器资产上报到 sae 管控。
  • sae 管控将容器资产同步到云安全中心。
  • 云安全同步到容器资产信息后与云安全 Agent 配合后可以检测应用的基线检测、入侵检测、漏洞扫描等能力,最终完成 Serverless 的容器安全闭环。

2. 重点挑战

面向 Serverless 对接云安全中心的挑战主要有三个部分:

  • 多租隔离: Serverless 设计了多租户隔离提供安全隔离方案,多租隔离包括:网络、安全容器、资产上报等。
  • 资源消耗影响: 新增云安全 Agent 后资源消耗是否影响存量用户,需要通过资源限制和压测保障不影响存量资源。(之前没有这个组件,采集和检测是否会影响到用户,尤其针对小规格容器)
  • 爆炸半径控制: Serverless 多种资源池的形态(固定资源池和弹性资源池),保障容器节点组件版本支持安全能力和云安全 Agent 的组件的同时推平;推平后保障存量容器不影响,需要安全中心的容器则采用新版本容器启动,这样可以既保证安全能力支持又兼容存量容器稳定性不受影响,从而保障爆炸半径的可控。
a. 多租隔离

图 4

  • 安全容器:基于安全容器隔离保障数据安全。
  • 网络多租:每个容器可以有自己的网卡,vpc 内可以互相访问。
  • 资产上报多粗隔离:容器资源上报安全中心根据用户资产进行隔离。
b. 资源消耗压测

SAE 目前有两种资源池的形式:

  • 固定资源池: 固定资源池是云安全 Agent 在宿主机上,然后与容器进行 socket 通信上报安全检测信息。
  • 弹性资源池: 弹性资源池的云安全 Agent 需要与业务容器和管控资源共享资源。

资源架构详见图 3。

两种模式分别都需要进行压测云安全 Agent 的极限来验证是否不影响业务容器的资源;

  • 多种资源规格的压测,包括 1c、2c、4c、8c。
  • 考虑 cpu 干扰和 rt 的影响。

重点面向的小规格容器压测的效果,因为小规格容器资源更容易被打满,资源的负载和 rt 影响会比较大。

压测结果:

主容器运行 CPU 密集型程序,将 CPU 打到 60%-90% 左右。

图 5

验证业务容器的 RT 不会因为拉起云安全 Agent 导致明显波动和资源争抢。

图 6

综上结论: 整体安全中心对接后对于存量容器的资源影响几乎可以忽略不计。

c. 爆炸半径控制

ⅰ. 挑战:

  • 容器节点组件和云安全 Agent 组件版本依赖同时推平
  • 如何保障容器组件和云安全 Agent 节点 Agent 发布后不影响存量容器按需开启,保障爆炸半径

ⅱ. 推平和生效规则:

  • 容器节点组件版本和云安全 Agent 按照地域从小地域到大地域逐步推平,实现 1:1 匹配推平。(固定资源池节点推平管控和云安全 Agent,弹性资源池根据新建容器支持安全能力)
  • 生效规则:管控侧、节点侧可根据开启云安全能力的用户 UID 生效,开启云安全的用户新创建的容器通过新版本创建容器,存量版本不影响,从而保障一个节点可以同时支持开启安全能力容器和老容器两个容器版本,并且可以快速回滚和开启,从而保障爆炸半径可控。(回滚:如果出现不兼容场景则将 uid 进行回滚到旧版本容器,临时关闭安全中心能力)

ⅲ. 生效流程:

图 7

用户侧流程:

  • 灰度控制:根据用户 UID 开启安全能力支持容器和管控侧同时开启。
  • 新建应用:固定资源池和弹性资源池创建支持云安全 Agent 的容器。
  • 存量应用:非开启安全的用户和存量应用保持存量容器版本保障稳定性,开启安全能力的通过重新部署支持安全能力的支持。

如果出现异常支持瞬时关闭安全能力回滚存量容器保障业务运行稳定性。

推平流程:

  • 先推平底层组件:节点管控组件和云安全 Agent 组件。
  • 开启安全能力:管控侧开启 UID 和容器组件开启 UID 支持。

Serverless 针对安全未来的展望

Serverless 安全防护能力除了支持目前既定的等保合规(漏洞扫描、入侵检测、基线检测等)、安全隔离的能力外还支持 WAF 防火墙、支持通信加密、操作审计、权限管控等能力,也正是有了这些能力的加持,SAE 才能很好的服务了金融、政企、医疗等行业的客户;Serverless(SAE)未来还计划规划更多安全能力为企业保驾护航,包括:代码安全扫描、加密、堡垒机、最小权限、身份与访问管理、以及更多的攻击防护等能力的建设。

“我们希望让用户做的更少而收获更多,通过 Serverless 化,深度用云就像用水电煤一样简单” ,这也是 SAE 产品五年以来一直坚持的产品理念:让客户不用修改任何代码,不改变原有应用部署方式,零改造平滑迁移企业在线应用,零门槛容器化和 Serverless 化,免运维,开箱即用。

未来我们将继续砥砺前行,让更多的客户上云和深度用云时都践行 SAE First!相关链接:

[1] 什么是漏洞管理

https://help.aliyun.com/zh/security-center/user-guide/overview-4

[2] 检测 Linux Rootkit 入侵威胁

https://help.aliyun.com/zh/security-center/user-guide/detect-linux-rootkit-intrusions

[3] 基线检查

https://help.aliyun.com/zh/security-center/user-guide/baseline-check

[4] 云安全中心

https://www.aliyun.com/product/sas

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.xdnf.cn/news/1534119.html

如若内容造成侵权/违法违规/事实不符,请联系一条长河网进行投诉反馈,一经查实,立即删除!

相关文章

ThreeJS入门(002):学习思维路径

查看本专栏目录 - 本文是第 002篇入门文章 文章目录 如何使用这个思维导图 Three.js 学习思维导图可以帮助你系统地了解 Three.js 的各个组成部分及其关系。下面是一个简化的 Three.js 学习路径思维导图概述,它包含了学习 Three.js 的主要概念和组件。你可以根据这个…

Redis 入门 - 收官

《Redis 入门》系列文章总算完成了,希望这个系列文章可以想入门或刚入门的同学提供帮助,希望能让你形成学习Redis系统性概念。 当时为什么要写这个系列文章,是因为我自己就是迷迷糊糊一路踩坑走过来的,我踩完的坑就踩完了&#x…

Kamailio-基于Zabbix+Kamcli的SIP指标监控

什么是Kamailio? Kamailio 是一个开源的 Session Initiation Protocol (SIP) 服务器,它主要用于建立和管理实时通信会话,如语音和视频通话,与opensips这个产品是同根同源的存在。它们相似,没有更好,是有更合适。 此…

LLM - 理解 多模态大语言模型 (MLLM) 的指令微调与相关技术 (四)

欢迎关注我的CSDN:https://spike.blog.csdn.net/ 本文地址:https://spike.blog.csdn.net/article/details/142063880 免责声明:本文来源于个人知识与公开资料,仅用于学术交流,欢迎讨论,不支持转载。 完备(F…

获取京东商品详情数据API接口优惠券信息(通过商品id获取商品详情页数据)调用说明文档

在当今数字化时代,应用程序之间的互操作性已成为推动业务创新和技术进步的关键因素。API(Application Programming Interface,应用程序编程接口)作为这一生态系统中不可或缺的一环,扮演着连接不同软件服务、数据资源和…

AE 让合成重复循环播放

在合成上点右键 > Time > Enable Time Remapping 按住 Alt 键,点秒表图标 输入 loop_out("cycle", 0) 将子合成拖到此合成结束的位置 结束

Ton的编译过程(上)

系列文章目录 FunC编写初始准备 文章目录 系列文章目录预先准备第一个FunC合约深入compileFunc的内部compileFunc初探艾丽卡的疑惑package.json 初览index.js 预先准备 首先请大家跟着艾丽卡一步一步的完成FunC编写初始准备 这里面环境的搭建。 接下来,请做好下面…

通过python提取PDF文件指定页的图片

整体思路 要从 PDF 文件中提取指定页和指定位置的图片,可以分几个步骤来实现: 1.1 准备所需工具与库 在 Python 中处理 PDF 和图像时,需要使用几个库: PyMuPDF (fitz):用于读取和处理 PDF 文件,可以精确…

Android 测试机

要测手机应用,直接挂电脑上跑虚拟机的话,怀疑电脑都要起火了。 eBay 上买了个新的机器,也才 100 美元多点,机器都没有拆过,电池是完全无电的状态。 操作系统是 Android 12 的版本,升级到 Android 14 后&am…

表格标记<table>

一.表格标记、 1table&#xff1a;表格标记 2.caption:表单标题标记 3.tr:表格行标记 4.td:表格中数据单元格标记 5.th:标题单元格 table标记是表格中最外层标记&#xff0c;tr表示表格中的行标记&#xff0c;一对<tr>表示表格中的一行&#xff0c;在<tr>中可…

Spring Boot集成Akka Stream快速入门Demo

1.什么是Akka Stream&#xff1f; Akka Streams是一个用于处理和传输元素序列的库。它建立在Akka Actors之上&#xff0c;使流的摄入和处理变得简单。由于它是建立在Akka Actors之上的&#xff0c;它为Akka现有的actor模型提供了一个更高层次的抽象。Akka流由3个主要部分组成-…

Linux 入门:简单的基础操作

“批判他人总是想的太简单 剖析自己总是想的太困难” 文章目录 前言Linux 入门&#xff1a;从基础操作到 WSL2 安装文章有误敬请斧正 不胜感恩&#xff01;1. 什么是 Linux&#xff1f;2. Linux 和其他系统有啥不同&#xff1f;3. Linux 的主要组成4. 常见 Linux 发行版5. 基本…

DNS查询报文分析

目录 1. 用 tcpdump工具监听抓包 2. 用 host 工具获取域名对应的IP地址 3. 分析DNS以太网查询数据帧 3.1 linux下查询DNS服务器IP地址 3.2 DNS以太网查询数据帧 &#xff08;1&#xff09;数据链路层 &#xff08;2&#xff09;网络层 &#xff08;3&#xff09;传输层…

【C++】—— list 的了解与使用

【C】—— list 的了解与使用 1 list 的函数接口2 迭代器2.1 简单使用 list 的迭代器2.2 迭代器的划分2.3 不同迭代器的使用场景2.3.1 sort2.3.2 reverse2.3.3 find 3 emplace_back4 操作函数4.1 sort4.1.1 list中sort介绍4.1.2 list 中 sort 与算法库中 sort 效率比较 4.2 mer…

Web:HTTP包的相关操作

目录 一、请求包修改页面来源 二、Cookie身份认证 三、XXF修改本地访问 四、向页面同时发出GET和POST请求 一、请求包修改页面来源 题目提示要从 http://localhost:8080/flag3cad.php?a1&#xff0c;请求包中没有指定请求来源&#xff0c;需要指定。 而表示页面来源的字段…

华南医电科技集团受邀出席中马建交50周年高级别经贸合作交流活动

左:马来西亚第九任首拿督斯里 伊斯迈尔沙必里雅各布; 右:华南医电董事长陈广元 在庆祝中国和马来西亚建交50周年的辉煌时刻,中马两国间的经贸合作不仅承载着历史的重任,更展望着未来无限的广阔前景。2024年,作为这一重要里程碑的纪念之年,中马两国政府及商界精英携手举办了一…

解决项目启动时报“找不到符号”问题

前言 在Java开发过程中&#xff0c;遇到“找不到符号”的错误是非常常见的现象。这种错误往往意味着编译器无法识别你所引用的某个类、方法或变量。本文旨在提供一套详细的排查和解决思路&#xff0c;帮助开发者快速定位并解决此类问题。 问题描述 “找不到符号”错误通常出…

Ubuntu下安装最新版本Apache2文件服务器

文章目录 1.最新版本Apache2安装2. Apache2配置2.1 端口配置2.2 创建软连接,生成文件服务2.3 隐藏Apache2服务版本号2.4 添加用户&#xff0c;设置Apache2文件服务密码2.5 重启Apache2服务3. 执行后效果 1.最新版本Apache2安装 注意&#xff1a;安装最新版本必须升级Ubuntu为20…

网络药理学:15、草稿暂存区

TCMSP 韦恩图在线网站 https://bioinfogp.cnb.csic.es/tools/venny/index.html String数据库参数详解&#xff1a;https://www.bilibili.com/video/BV1q64y1k7Zf?p16&vd_sourceaed4c634975918b14b7354ec93ce5389 David数据库可以用基因ID或者基因名。 KEGG数据库使用&am…

linux环境下手动安装mysql

没想到兜兜转转这么些年&#xff0c;今天申请个云服务器用来搭建求生2服务器&#xff0c;先用mysql来测试&#xff0c;结果还是花了相当久的时间。 基本所有单节点部署应用到linux环境&#xff0c;都三个流程&#xff1a; 1 下载安装包 2 解压修改配置文件 3 运行启动脚本 我们…