2024年Kubernetes 安全防护状况

重要发现：

• 安全问题影响业务成果：67%的公司因安全问题推迟或减缓了应用部署；46%的公司因安全事件损失收入或客户。
• 安全漏洞会影响所有人：安全事件影响范围广，包括员工解雇（26%）和收入损失（30%）。
• 安全事件发生在生命周期所有阶段：近90%的企业组织在过去12个月内发生过至少1起容器或Kubernetes安全事件；45%遇到运行时事件，44%在构建和部署阶段遇到问题，40%检测到配置错误，26%未通过审计。
• 安全策略令人担忧：23%的公司认为策略无法充分应对容器安全威胁，19%认为投入资金不足。
• 安全责任分散：34%受访者认为安全团队负责Kubernetes安全，50%由运维角色负责，亚太地区21%由DevSecOps角色负责。
• DevSecOps实践很普遍：42%的企业组织使用DevSecOps流程和工具，48%刚开始采用。
• Kubernetes带来新的安全挑战：60%受访者担心漏洞、错误配置和数据泄露；33%最担心漏洞，27%最担心组件配置错误。
• 企业组织致力于解决高风险问题：66%的企业组织应对敏感数据泄露、网络安全性不佳、容器权限过高和未使用组件等威胁。
• 安全问题可能导致严重后果：45%发现未经授权执行特定流程，43%泄露敏感数据，41%遭遇勒索软件。
• 风险管理对软件供应链至关重要：44%受访者认为软件漏洞是软件供应链中风险最高的问题，比去年增加9%。
• 对软件供应链安全性的担忧真实存在：57%的企业组织在其软件供应链中检测到易受攻击的应用组件。
• 有助于提升软件供应链安全性的工具：47%的企业组织使用安全认证，45%使用漏洞扫描，41%使用访问和身份验证机制。
• 企业组织利用开源工具实现Kubernetes安全防护：35%使用开源策略代理，31%使用Kube-bench，31%使用KubeLinter，28%使用Kube-hunter；平均使用2.1种开源安全工具。

提高云原生环境安全性的技巧：

• 使用Kubernetes原生安全防护控制：分析可用的声明性数据，使用相同的基础架构和控制进行开发和安全防护，通过安全防护自动化和扩展减少运维冲突。
• 在整个应用生命周期内提供安全防护：将DevSecOps最佳实践和内部控制融入安全防护平台，使用容器和Kubernetes平台自动执行Kubernetes配置安全防护评估。
• 采用支持DevSecOps实践的工具：使用容器和Kubernetes平台执行风险评估，采用可以识别和解释有效部署中的漏洞的工具。

关于受访者：

• Kubernetes采用：大多数受访者在生产环境中使用Kubernetes，其中基于云的Kubernetes解决方案最受欢迎。
• 常见痛点：缺乏完整生命周期安全防护和部署缓慢。
• 供应链安全工具：漏洞扫描程序最常用，其次是CI/CD、静态安全防护分析和SBOM工具；平均使用3种安全工具。
• 其他云原生技术：Kubernetes原生CI/CD工具在企业组织使用/考虑使用的云原生技术中排名靠前。