云原生安全能力指南（2024）

云原生安全能力指南 ©北京数字世界咨询有限公司2024.09 云原生安全能力指南 ©北京数字世界咨询有限公司2024.09 数字安全的三个元素分别为，安全能力、数字资产和数字活动。数字资产是安全能力的保护对象，数字活动是安全能力以及数字资产的服务对象，而数据安全则是三元论的核心目标。对于这四者关系的深度理解和相关技能掌握是做好数字安全工作的关键。 数字安全能力模型研究的基础，来自于数世咨询2020年首次提出的“网络安全三元论”。三元分别为，网络攻防、信息技术和业务场景。 随着数据成为第五大生产要素为典型标志的数字时代来临，“网络安全三元论”在2022年进行了更新迭代升级为“以安全能力、数字资产和数字活动为三元素，以数据安全为核心目标，即三元一核”的“数字安全三元论”，以适应我国数字中国建设的进程。 数世咨询作为国内独立的第三方调研咨询机构，为监管机构、地方政府、投资机构.网安企 业等合伙伙伴提供网络安全产业现状调研，细分技术领域调研、投融资对接、技术尽职调查、市场品牌活动等调研咨询服务。 报告编委 主笔分析师陈发明首席分析师李少鹏 分析团队：数世智库数字安全能力研究院 版权声明 本报告版权属于北京数字世界咨询有限公司（以下简称数世咨询）。 任何转载、摘编或利用其他方式使用本报告文字或者观点，应注明来源。违反上述声明者，数世咨询将保留依法追究其相关责任的权利。 目录 前言5 关键发现7 1.概念与技术8 1.1.云原生8 1.2.云原生安全挑战11 1.3.云原生安全能力体系14 1.4.全栈云原生安全20 2.市场情况22 2.1.市场规模22 2.2.行业应用22 3.能力企业24 4.发展趋势28 5.代表厂商优秀案例31 某股份制银行一站式智能化云原生安全运营平台建设案例31 （本案例由青藤云安全提供） 前言 随着企业业务上云成为潮流和趋势，“云原生”（CloudNative）作为一种新的应用程序开发和部署的方法，可以提高应用程序的可靠性、弹性和可扩展性，同时降低开发和运维的成本。云原生概念诞生已十年有余，但是采用云原生的业务开发和部署模式直到最近几年才逐渐被企业所关注。 针对云原生开发及运营相关的云基础设施、主机、容器、业务应用等的安全防护方案，业界统称为“云原生安全”。云原生安全是云安全的进阶阶段，它不仅继承了云安全的理念和方法，而且在技术和服务模式上有所深化和发展。 当前许多甲方用户对于云原生安全的认知并不十分清晰，许多人可能刚刚开始理解云安全的具体涵义，现在又迎来了云原生安全概念。面对新的技术方案，笔者也曾遇到很多困惑，本报告尝试通过一个简洁明了的方式，对云原生安全相关的技术点进行系统性的总结，对关键的技术进行介绍。 近两年来，云原生安全市场在快速增长，为了得到一手的市场资料，数世咨询邀请了九家国内云原生安全代表企业和部分甲方用户进行实际考察，对安全厂商近三年来的产品营收数据进行了收集和分析，结合与安全厂商相关的研发、市场负责人等多轮线上线下访谈，以图客观真实地反映云原生安全市场及应用情况。 本报告技术部分主要内容：云原生概念、云原生安全挑战、云原生安全定义、云原生安全能力全景图、数世咨询定义的“全栈云原生安全”能力要素。 本报告市场部分主要内容：云原生安全市场规模、行业应用、能力企业点阵图、能力企业主要业务特点、云原生安全趋势分析以及代表厂商优秀案例。 尽管本报告尽笔者所能尽量充分的进行了技术以及市场方面的调研，但受能力所限或有错误和偏颇之处，欢迎同行与我联系交流。 本报告仅供参考。 勘误或进一步沟通，请联系主笔分析师：陈发明 chenfaming@dwcon.cn 关键发现 应用软件的云上迁移，并逐渐云原生化，安全问题是影响云原生应用落地的重要因素之一。 2023年国内云原生安全市场规模约为26亿元，受经济环境影响2024年市场规模应该增幅不大，预估31亿元左右。 云原生安全在行业的应用TOP4为：金融（27.5%）、互联网 （25.5%）、工业制造（15%）、运营商（9.4%）。 国内行业的云原生项目近两年来有显著增加，2023年安全厂商所实施的云原生安全相关的项目跟往年同比增长50%到300%不等。 云原生安全应用依赖于企业业务开发的DevOps建设流程，对云原生不同阶段的单项安全工具，仍然有单独的安全需求。 由于各厂商的技术发展路线不同，不同厂商在云原生安全领域的技术起点以及技术深度各不相同。尽管如此，各安全厂商均把打造全流程云原生安全能力体系视为云原生安全的终极能力。 数世咨询将覆盖了业务开发、构建、部署、运行以及数据保护全业务流程的安全能力称为“全栈云原生安全”，调研发现，目前仅有个别安全厂商能够接近实现“全栈”。 由于云原生体系的复杂性和阶段性，国内企业存在云安全和云原生安全并存的安全需求，同时具备云安全与云原生安全解决方案 的安全厂商在混合安全需求的项目竞争中更具优势。 1.概念与技术 1.1.云原生 先聊聊云原生。 2013年Pivotal公司首次提出了云原生概念，认为云原生是一种构建和运行应用程序的方法，是一套技术体系和方法论。它意味着应用程序从设计之初就考虑到云的环境，原生为云而设计，在云上以最佳方式运行，充分利用和发挥云平台的弹性和分布式优势。 2015年，推动云原生应用和发展的著名组织云原生基金会 （CloudNativeComputingFoundation，简称CNCF）成立，CNCF致力于推广容器化、微服务架构和开源项目，当前已建立了庞大的社区和生态系统，对全球云计算产业产生了深远影响。国内众多企业和机构也积极参与CNCF项目，据统计我国已经成为其第二大开源项目贡献国。 CNCF的对云原生的解释是“容器化、微服务化和自动化”，通过容器技术实现应用的高效部署和管理，通过微服务架构提高应用的模块化和可维护性，并通过自动化工具减少人工干预和降低运维成本。CNCF对“云原生”的定义中特别指出了以下几种代表性技术：不可变基础设施、容器、微服务、服务网格和声明式API。 不可变基础设施 ImmutableInfrastructure 容器 Containers 微服务 Microservices 服务网格 ServiceMesh 声明式APIDeclarativeAPIs 图例：云原生代表性技术 有个别概念过于抽象，笔者尝试通俗化的解释一下这几个概念。 不可变基础设施 不可变基础设施是指基础设施的配置和状态不可变，一旦部署不应该被修改。以搭建服务器为例，在传统IT建设的时代，为了降低风险使服务器运行稳定，其运行环境总是面临不断的更改，比如：系统升级、打补丁、更新应用的依赖组件等，运行环境的变化经常影响其所承载的业务，所以让管理员焦头烂额的事情时有发生。而在云计算环境中，服务器在完成部署后，就不再进行更改。云计算通过引入虚拟化技术，实现了方便地打包构建应用及其运行时的依赖环境，减少人为错误和提高系统的可靠性。 容器 容器和微服务相信不少人耳熟能详了，通俗来讲容器是一种打包技术，它将应用及其依赖环境打包在一起，实现了在不同内核的主机上运行，保证了业务的一致性，流行的实现比如docker。 微服务 微服务可理解为搭积木，先将大型的应用系统分解为一组小的、 独立的服务，然后象搭积木一样通过轻量级通信协议（比如API）再搭建起来。其主要目的是实现单个服务的独立部署、扩展和更新，提高开发效率和系统的可维护性。 服务网格 服务网格算是为微服务提供服务的一个基础设施层，当大的应用分解为小的微服务，微服务之间的数据通信、网络连接就更为复杂，服务网格就相当于一个代理管家，提供了服务间的通信、安全、监控和可观察性等服务。Istio和Linkerd是服务网格技术的代表。 声明式API 声明式API可对比到编程模式，以前编程是手工敲代码写函数，现在不用了，只需要建个配置文件，写下来你想“要什么”就可以了。比如大名鼎鼎的Kubernetes（K8S）就使用声明式API来配置云原生基础环境，进行容器编排。 概括来说，“云原生”是一种构建和运行云应用程序的方法，云原生充分利用云计算基础架构，结合CI/CD自动化开发和部署流程，实现业务的快速开发与运行，从而在根本上提高工作效率和实现成本节约。流行多年的DevOps（开发与运营）理念天然的适配云原生，当前其已成为云原生事实上的开发模式。 调研发现，近两年来，采用云原生开发与部署的方式正逐步成为行业内重点考虑的方向。国内的金融、互联网、智能制造以及运 营商等行业，已经开始构建云原生化开发流程，进行试点或将部分业务以云原生的方式发布。预计在未来几年，云原生化的“业务上云”将会成为云计算发展的趋势之一，引领云计算的潮流发展。 1.2.云原生安全挑战 任何系统都有安全风险，云原生业务同样有其特别的脆弱性。云原生应用运行于云计算环境，长时间暴露于互联网，除了遭 受传统的DDoS、网络扫描、暴力破解、远程注入等网络攻击以外，大量云端数据带来的诱人黑产回报也同时吸引着黑客不断尝试突破安全防御。新的安全挑战来自：新的边界、动态变化的资产、极致自动化的开发流程、云原生特征的攻击面等方面。 新的边界 动态变化的资产 极致自动化的开发流程 云原生特征的攻击面 ...... 图例：云原生安全挑战 新边界带来新的安全挑战 云计算技术的出现使得传统的安全边界变得模糊不清，而云原生架构更是加深了这一变化趋势。在传统IT基础设施中，资源是按照物理区域划分的，如机房中的机柜等设备，这些资源的标识通常是机柜编号，安全边界为房间墙壁和防盗门。然而随着云计算的兴起，资源开始虚拟化，安全边界开始转变为由虚拟机和主机IP来定 义，隔离措施则通过防火墙或虚拟化防火墙来实现。 在云原生时代，资源的划分已不再是依据物理设备或者虚拟机，而是以业务为中心的微服务占据了主导地位。为了更有效地利用云计算资源，通过将应用程序分解为松耦合的微服务组件，并实现服务的互访，微服务之间需要的安全控制成为新的边界。在这种情况下，安全防护不再依赖于IP地址或端口，而是基于微服务标识来进行策略管控，新的边界带来新的安全挑战。 动态变化的资产带来的安全挑战 云原生环境强调“不可变的基础设施”的概念，它通过牺牲基础设施的可变性来换取更高的稳定性、一致性和应用部署的灵活性。比如，在云原生环境中，应用程序的每一次发布都是全新发布，在传统环境中直接在服务器上打补丁来修复漏洞，但在云原生环境中要修复漏洞需要停止旧的容器并重新构建新的镜像来修复漏洞，同时进行重新发布。 动态资产增加了系统的复杂性，需要更高级的监控和管理工具来跟踪和维护资产状态，同时对动态资产的资源管理、策略管理等方面提出了更高的要求。 适配极致自动化开发流程的安全挑战 云原生应用开发普遍采用DevOps、面向服务等理念构建业务系统，重塑了整个IT流程，同时实现了高效、极致的自动化，极大缩 短了业务从开发到上线运行的时间窗口。这要求安全防护手段也要实现高度自动化，能够与DevOps流程对接，实现紧密集成。 云原生特征的攻击面带来的安全挑战 云原生的微服务、容器化技术带来了新的攻击面，比如：对镜像仓库的保护、容器编排系统的安全配置、微服务间的安全控制、容器运行时的入侵防御、以及自动化CI/CD流程中的代码和镜像安全等，对构建一个覆盖云原生全生命周期、动态且适应性强的安全防护体系带来巨大挑战。 RedHat公司发布的《Kubernetes安全防护状况报告》（2024版）报告中的统计显示，在过去的一年中，有9成的应用云原生的企业组织至少发生过1起容器或Kubernetes安全事件，有2/3的企业组织由于担心Kubernetes安全问题而延缓了业务部署，46%的企业由于容器或Kubernetes安全事件产生了损失。 云原生应用的开发和交付转型是一次全方位的变革，一方面，企业