云原生安全模型与实践 – 作者:玉符IDaaS-安全小百科

在传统的研发中，我们经常关注的安全有数据安全、代码安全、机器（运行环境）安全、网络运维安全，而云原生时代的到来，如果还是按几个维度切分的话，显然容易忽略很多云原生环境引入的新的挑战，我们需要基于网络安全最佳实践——纵深防御原则，来逐步剖析云原生的安全，并且对不同层次的防御手段有简单的了解，最重要的是，建立自己云原生安全的理念，真正搭建一个内核安全的云原生系统。

纵深防御指在计算机系统中的多个层面使用多种网络安全技术，从而减少攻击者利用关键业务资源或信息泄露到系统外部的总体可能性。在消息传递和协作环境中，纵深防御体系可以确保恶意攻击活动被阻止在基础结构内的多个检查点，降低了威胁进入内部网络的可能性。

以IDaaS系统为例，可以把一个云原生系统安全模型分为4个层面和3条规则（身份认证/访问控制/审计)，由外至内层层布防：

对于这里安全模型的每一层，都是单向依赖于外层的。也就是说，外层的云、集群、容器安全如果做得好，代码层的安全就可以受益，而反过来，我们是无法通过提高代码层的安全性来弥补外层中存在的安全漏洞或问题。

基于上述这一点原理，我们的纵深防御策略是「自外而内」地进行“设防”。

一、云/数据中心/网络层安全

这一层也可以称之为基础设施安全，不管从何角度，公有或私有云或企业数据中心以及对应的网络安全，是K8s集群最根本的安全基础，如果这一层存在安全漏洞或者过于脆弱，则整个系统都不能在此基础上保证组件的安全。我们除了需要防御传统的攻击-ARP伪装、DDOS、网络层各类报文等攻击，应该针对Kubernetes集群采取以下保护措施：

不允许在 Internet 上公开对 Kubernetes 管理平台（Control Plane）的所有访问，同时仅开放部分可信 IP 可以访问 Kubernetes 管理 API；
根据 Rule-BAC（基于规则访问控制），只暴露指定的端口，包括对管理平台的内部端口和来自 NodePort 和 LoadBalancer 类型的 Kubernetes 服务的连接，并且不暴露到 Internet；
所有计算节点施行网络分层规则,通过云提供商或机房的网络层安全组（例如 AWS 的 Security Group）对管理平台以及节点授予最小权限控制,能够在最大程度上，减少黑客产生的危害，也就保护了数据的安全性。

4. 对 etcd（Kubernetes的基础存储）的访问进行严格控制（仅允许来自集群管理平台的访问），应强制所有连接都使用TLS，并确保所有信息都是在持久化层被加密的（Encryption at rest）；

5. 审计报警系统针对每个平台的访问信息进行实施过滤分析,如发现非授权访问，第一时间通知安全管理人员，并跟踪处理。例如：当黑客进入内网后，往往会进行数据“挖掘“，这些非常规操作区别于常规员工操作。

6. 堡垒机针对 Linux 服务器访问控制,并开启密码策略,同时收集并分析访问、事件、进程等日志，使用堡垒机进行访问控制。

7. 办公网络接入和机房网络接入仅需要增加身份认证。如：Wi-Fi 接入，VPN 接入绑定 OIDC 认证。