云原生安全可观测性探索与实践_江国龙

云原生安全可观测性探索与实践

为什么安全需要可观测性

1. 安全运营诉求：

   • 如何管理具有高权限的Pod？
   • 如何检测和处理提权操作？
   • 如何判断Pod是否被入侵？
   • 如何管理微服务间的访问通信？
   • 如何处理镜像中的漏洞？
   • 如何应对安全产品的告警？

2. 现状分析：

   • 容器服务生命周期短：接近50%的服务小于5分钟，近70%的服务小于1小时。
   • 主机行为复杂：工作负载密度大、变化频率高、调用关系复杂。

3. 新挑战：

   • 容器、服务网格、声明式API等新技术带来的风险。
   • 微服务、不可变基础设施等新架构带来的防护挑战。
   • DevOps、DevSecOps等新模式带来的治理挑战。

什么是云原生安全可观测性

1. 云原生架构的特性：

   • 容器微服务、DevOps、不可变基础设施、声明式API等。

2. 安全可观测性三大支柱：

   • 系统可观测：风险/行为可观测（监控/日志/追踪）。
   • 网络可观测：网络连接、网络通信。
   • 应用可观测：API资产管理、API调用异常、业务安全等。

如何实现安全可观测

1. 数据采集：

   • 多维度资产数据、详尽的审计日志、微服务应用追踪、监控数据。
   • 使用DaemonSet/agent模式部署安全探针，采集进程创建、网络连接、DNS请求等数据。
   • 基于eBPF实现安全数据可观测，采集典型低频率、高风险数据。

2. 场景示例：

   • Kubernetes审计日志分析。
   • 容器权限异常检测。

云原生安全可观测性实践

1. 腾讯云容器安全体系框架：

   • 基础安全、云原生化安全能力、安全内核漏洞修复、态势监控等。

2. 容器镜像的安全风险可观测：

   • 镜像依赖关系分析。
   • 漏洞管理、风险防御、镜像治理等。

3. 云原生安全测试平台：

   • 全面覆盖安全风险可观测。
   • 通过“云原生安全能力体系”实现安全风险的诊断、分析、评估。

4. 运行时的安全威胁可观测：

   • 容器提权、逃逸、反弹shell、文件篡改等威胁检测。
   • 上下文、资产映射、攻击阶段等多维度观测数据。
   • 威胁处置、溯源分析。

总结

1. 云原生架构的安全挑战：

   • 在安全防护和安全运营上存在挑战。

2. 云原生安全可观测性的重要性：

   • 可以很好地赋能安全能力的构建。
   • 包含事前的风险可观测和事中的威胁可观测。
   • 赋能安全治理和安全运营。