组织越来越多地使用容器替换过时的软件开发方法，从而使它们比传统方法更快地开发，部署和扩展应用程序。
但是尽管有这些好处，容器还是不完美的。它们的采用也给安全团队带来了新的挑战，尤其是在数据保护，容器映像漏洞，网络攻击，未经授权的访问以及其他风险方面。可以零信任模型减轻这些？如果是这样，组织如何将它们应用于容器安全？
尽管容器为开发团队提供了更高的效率和可伸缩性，但它们可能对安全性产生重大影响。通常，传统的以外围为中心的安全模型不适合，因此需要新的方法。
IEEE成员兼阿尔斯特大学网络安全教授Kevin Curran表示：“由于网络，overlays和动态IP涉及的复杂性以及传统防火墙的局限性，容器的动态性可能给传统安全环境带来问题。”
但这就是零信任安全模型可以提供帮助的地方。Curran解释说，当与基于工作负载身份的策略结合使用时，它们可以使企业对通过网络进行通信的内容进行了解。他告诉《计算机周刊》：“在此，基于身份的零信任可以防止受损的工作负载进行通信，因为每个身份都无法识别。”
“对零信任安全模型的需求之所以出现，部分原因是企业不再倾向于在内部托管数据，而是通过拥有大量员工的内部和外部驻留的各种平台和服务来托管数据，和合作伙伴可以通过位于不同地理位置的一系列设备访问应用程序。这意味着传统的安全模型不再适用于安全目标。”
Curran说，可以通过更新网络安全策略，验证每个设备登录到网络，使用各种网络，外围和微分段保护网络，实施多因素身份验证以及对用户访问进行定期审查来实现零信任安全。
他补充说：“零信任安全性的主要应用需要新方法，例如基于用户和位置使用网络/微分段。它还要求执行身份和访问管理 [IAM]，下一代防火墙，业务流程，多因素身份验证和文件系统权限。
“理想情况下，这是逐步完成的工作，因为它需要在部署之前在实验室环境中进行试点项目和调整。确保零信任基础架构对员工而言是无缝的，这一点至关重要。”
零信任的催化剂
许多专家认为，随着整个企业环境中容器使用的增加，对零信任安全模型的需求正在增长。Netskope软件公司CISO的Neil Thacker 同意Curran的观点，即这种模型对于部署容器的安全团队至关重要。
Thacker说：“基于云的应用程序和基于容器的应用程序，进一步引起了人们对零信任网络访问[ZTNA]的兴趣，尤其是因为这两个云应用程序都被忽略了而且容器具有传统的边界安全方法。”
他说，安全团队需要对所有应用程序进行一致的安全控制，这是基本规则，无论它们是基于传统堆栈，虚拟化还是托管在容器中。
Thacker说：“尽管安全性不能妨碍容器的固有优势（例如可移植性），但是确保容器访问安全的控制和方法才是关键。” “防火墙没有用，因为它们不支持应用程序，即使是将控制应用于应用程序层的下一代防火墙仍然需要不合逻辑的网络安排和过度宽松的安全策略，才能应对容器内网络IP地址的快速变化。
“这就是为什么基于云的ZTNA吸引组织的原因，因为ZTNA可以限制应用程序的优先级，而不必限制连接性和容器所提供的潜在利益，无论托管在何处。”
使容器不可穿透
容器对于开发人员来说可能是一个强大的工具，但随着网络犯罪分子越来越多地将它们作为目标，容器已成为安全的噩梦。通过获得对容器的未授权访问，黑客可能会在大型虚拟环境中造成各种恶作剧。
应用程序威胁专家F5 Labs的高级威胁宣传师David Warburton 表示：“如果攻击者可以利用容器中的易受攻击的代码，则他们可能能够假冒该服务和访问数据，而这些数据从未打算提供。数十年的漏洞（例如注入攻击）与在容器中运行的现代代码一样，对传统的整体应用程序的应用也是如此。
“现在的区别在于，容器及其提供的微服务已成倍增加了攻击面，使数据面临更大的风险。此外，对于单体应用程序，只需要一次性解决与网络相关的问题，例如访问控制，负载平衡和监视，现在必须针对集群中的每个服务分别进行处理。”
通过应用零信任模型，安全团队可以缓解这些威胁。Warburton补充说：“零信任的主要原则是，无论请求来自何人，无论来自何处，都应确保每个请求的安全。该模型需要应用于容器，以便所有通信都被加密，即使内部服务之间的通信也是如此。”
为了防止进行无限制的访问，组织必须为其容器实施强大的身份验证机制。“应使用相互的数字证书来确保只有受信任的容器才能相互通信。最后，需要强大的，基于角色的访问控制，以确保只有授权的用户和服务才能执行已明确获得其权限的操作。” Warburton说。
通过将安全和操作功能组合到位于容器化应用程序和网络之间的透明基础结构层中，创建了一种可以更有效地处理的服务网格安全性。如今，在这种环境下解决安全问题的新方法是网络安全和服务网格技术的零信任方法的融合。”
市场研究公司Forrester的首席分析师Sandy Carielli 警告说，采用容器的开发人员与剩下的负责捡拾碎片的安全团队之间存在脱节。她说：“开发团队因其可伸缩性和成本效益而急于采用容器，但现实之一是开发人员做出了容器化决策，然后要求安全性不断发展并找出安全隐患。”
Carielli说，特别是镜像过度填充是容器安全的主要挑战。她解释说：“开发人员通常从存储库中提取镜像，这些镜像包含的工具，功能和权限比开发人员针对其特定用例所需的更多。”
“但是，开发团队很少有时间将镜像缩小到基本要素。DevSecOps团队需要留出时间查看他们正在使用的镜像，并删除他们不需要的功能和权限。作为一个基本示例，不要运行具有root权限的容器。”
Carielli说，微分段是适用于容器的零信任的另一个方面。她说：“组织利用应用程序微分段工具来评估南北向和东西向的流量，并管理应用程序组件之间的数据流-这些组件可以是容器，API或无服务器功能。”
“运行时容器安全工具在容器之间映射数据流，允许您设置有关容器交互方式的策略，并可以降低那些意外更改配置的容器。”
容器创建有效的安全策略
在部署容器时，组织要有效地应对各种安全问题，如果他们想充分利用这些技术，就必须缓解这些问题。
信息安全论坛首席分析师Benoit Heynderickx 表示：“容器的轻量级特性消除了对传统IT基础架构安全控制的需求，例如持续不断的修补周期以及对防火墙的极度依赖以保护基于网络的外围设备。
“但是由于容器的快速使用寿命，它带来了新的风险，同时增加了网络的复杂性，并强调了尽早应用安全设计原则（例如安全编码实践）的必要性。”
Heynderickx说，通过零信任模型，组织最终可以为容器创建有效的安全策略。“通过关注认证身份，最小特权原则，定义的微细分，流量监控和日志记录，该模型依赖于'永不信任，始终验证'的原则。
“这是对传统安全模型的一种范式转变，只能通过以分阶段和定义的方式部署它来解决，重点是特定的应用程序组，例如最敏感的应用程序。”
Heynderickx表示，将零信任模型应用于容器安全性的组织应得到所有应用程序开发活动的强大编码实践的支持。他说，这将使组织处于有利地位，以响应开发人员对使用快速部署平台（例如应用程序容器）的不断增长的需求。
Heynderickx补充说：“因此，现代企业可以从使用敏捷开发技术为苛刻的客户快速部署安全应用程序中受益。”
可以理解，组织希望快速有效地推出新软件，以保持领先地位并获得竞争优势。因此，容器是完美的答案。但是，采用它们已经带来了明显的安全挑战，并且至关重要的是，如果容器要获得投资回报，企业必须采取措施应对这些挑战。因此，开发人员在采用和使用容器时必须与安全团队合作。
↑↑↑长按图片识别二维码关註↑↑↑
原文始发于微信公众号（全栈网络空间安全）：如何将零信任模型应用于容器安全
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
https://cn-sec.com/archives/947904.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论