安全拥抱云原生，从CNAPP「云原生安全管理平台」开始

随着数字化转型的全面推进，以及AI、大数据、物联网等创新技术的发展，业务对云资源的构建速度、运行弹性、可扩展性的要求快速增加，云原生也随之正式登上舞台，成为新型的开发、部署和运营模式，实现了云计算的技术跃迁。

01

云原生加速落地，安全短板亟待补齐

据奇安信集团云安全专家李栋介绍，伴随着云原生的落地与实践，新的安全问题也随之出现，针对云原生组件和服务的黑客攻击快速增加，如何安全的拥抱云原生，已经成为云原生进一步普及的关键因素。

一、云原生带来了新的基础设施

包括：弹性计算（IAAS）、K8S（CAAS）、容器/serverless、函数计算FPAAS等，新的基础设施引入会带来未知的安全问题，如漏洞和管理配置错误。

二、云原生开发模式带来新的安全问题

比如：微服务会导致攻击面放大、server mesh可能导致流量接管从而实现东西向移动、不可变的基础设施导致访问控制策略不能持续生效，以及容器及镜像被污染等。

三、云原生加速了业务的迭代和上下线速度

从开发到上线运行的时间被大幅度缩短，在开发和部署环节缺乏安全策略，导致安全落后业务的情况出现，Devops和security出现断层；

奇安信推出的CNAPP云原生安全管理平台，它针对云原生带来的的安全挑战，以云原生应用为核心保护目标，提供覆盖整个云原生架构以及云原生应用的全生命周期的完整保护。其中纵向从下到上覆盖云原生应用运行的基础设施，包括IaaS平台、PaaS平台、主机及容器工作负载以及应用自身对应的微服务，横向从左到右覆盖云原生应用的整个生命周期，包括开发、部署和运行时阶段，将安全融于Devops，成功实现“安全左移”：

• 通过平台联动制品安全产品和运行时安全产品，与代码仓库、镜像仓库、K8S平台对接等手段，实现全生命周期的资产梳理和映射；

• 通过容器运行时安全能力，在Pod或Docker中植入探针，实现全流量检测能力，及时发现安全威胁；

• 围绕云原生应用全流程，以SBOM为基础，在各个环节实施扫描，并将结果汇总到管理平台进行比对，依据结果进行阻断，从而有效较低了供应链安全风险。

02

四大核心功能，多项领先优势

奇安信发布的CNAPP云原生安全管理平台，具备了以下四大核心功能。

一、云原生平台加固：

自动扫描发现K8s等云原生平台相关组件漏洞、配置错误、基线合规等问题，实现对云原生平台的加固，提高安全性、减小攻击面。

二、云原生制品深度检测：

能对云原生相关制品进行深度检测，覆盖基础镜像、CI/CD、仓库存储、节点使用全生命周期扫描，可基于开源许可证、漏洞、恶意软件等条件于CI/CD阶段进行阻断。

三、入侵检测：

可以采集网络、文件、进程数据建立云原生行为模型，提供基于杀伤链的完整检测能力。

四，实时防护：

能针对云原生攻击进行有效防护，包括：集群计算节点文件防篡改；危险进程阻断；网络L4~7层访问控制；风险镜像启动阻断。

在拥有以上核心功能的同时，目前CNAPP在以下技术方面也具备显著的领先优势。

• 全流量威胁检测技术

在国内创新采用Daemenset（私有云场景）和sidecar（公有云场景）双模式的云原生流量采集方案，适用于多种云原生场景，且CNI适配性高。流量采集探针可集群化部署，性能无上限。

• 深度攻击溯源和事件处置技术

基于云原生流量风险监测、云原生资产数据采集、数据关联分析能力，将资产和风险信息关联，还原完整的ATT&CK攻击路径，实现进程级精准地定位业务应用和还原攻击过程。同时，基于资产和安全能力匹配关系，对基础镜像进行卡点管控，对接容器安全产品一键下发处置策略，快速响应闭环。

作为云安全&云原生安全的领导者，奇安信在云原生安全领域布局多年。本次在业界率先推出的CNAPP云原生安全保护平台是云原生安全技术的沉淀以及对客户需求深刻理解的大成，奇安信将以CNAPP产品及云安全运营服务为抓手，为客户的数字化转型和云原生安全改造提供持续的安全保障。

原文始发于微信公众号（奇安信集团）：安全拥抱云原生，从CNAPP「云原生安全管理平台」开始