このブログ アドレス: https://security.blog.csdn.net/article/details/129423036
1. フル ライフ サイクルのクラウド ネイティブ セキュリティ フレームワーク
写真のように:
2. フレームワークの説明
上の図では、各セキュリティ メカニズムを 2 つの次元から説明しています. 横軸は開発および運用フェーズであり、コーディング、テスト、統合、配信、保護、検出、および応答の 7 つのフェーズに細分されます. 縦軸は、インフラストラクチャ、オーケストレーション プラットフォーム、およびサービス アプリケーションの 3 つの層を含む、IT システム階層区分に従って。2 次元の象限では、ライフ サイクル全体のクラウド ネイティブ セキュリティ要件をカバーするいくつかのセキュリティ メカニズムをリストしました。
1. 左側のコーディング、テスト、および統合のセキュリティ メカニズムは、開発チームの責任です。その中で、開発セキュリティは主に静的および動的コード監査などを含むコーディングおよびテスト段階にあり、ソフトウェアサプライチェーンセキュリティはさまざまなサードパーティソフトウェアライブラリのセキュリティ評価をカバーする統合段階にまで及びます。メカニズムは、クラウドネイティブ指向のサービスとアプリケーションです。
2. イメージはコンテナの長期キャリアであり、イメージ セキュリティは継続的統合、継続的配信、実行時保護の段階にあり、主にコンテナ イメージの継続的なセキュリティ評価と強化を行い、イメージ中の安全性とセキュリティを確保します。生成、アップロード、および配布。改ざん。
3. コンテナ強化メカニズムは主に保護段階にあり、このメカニズムの主な機能は、実行時のコンテナのさまざまな構成がセキュリティ コンプライアンス要件を満たしていることを確認することです。コンテナーはホスト オペレーティング システム上で実行されるため、ホスト カーネルとオペレーティング システムのセキュリティも非常に重要です。
4. クラウドネイティブのネットワーク セキュリティは、インフラストラクチャおよびオーケストレーション プラットフォーム向けです.たとえば、Istio サービス グリッドにはマイクロサービス間のネットワーク通信が含まれているため、オーケストレーション プラットフォームにもネットワーク セキュリティが含まれます。クラウドネイティブのネットワーク セキュリティには、ネットワーク内の異常な動作の検出、悪意のある攻撃に対する保護、および攻撃イベントへの対応が含まれ、運用のすべてのフェーズにまたがります。
5. 可観測性とは、すべてのシステムのさまざまな動作に異常がないかを観察するために、インフラストラクチャ、オーケストレーション プラットフォーム、およびサービス アプリケーションのすべてのレベルで必要な情報を取得することを指し、垂直スパンは非常に大きくなります。特定の機能には、ログと監査、監視と追跡などがあります。主な目的は、イベント中に検出し、イベント後にソースを追跡することで、検出フェーズと応答フェーズをカバーします。
6. コンテナの異常動作検出は、コンテナ インフラストラクチャ レベルを対象としており、ネットワーク セキュリティの異常検出を補完するエンドポイント システム レベルで動作するため、アクティブなコンテナ内のさまざまな異常動作を検出することを目標としています。施設レベルでの異常検出の基礎を形成します。
7. Kubernetes セキュリティ強化の目標は、オーケストレーション システムのコンポーネントと構成がセキュリティ要件を満たし、コンプライアンス要件を満たしていることを確認することです.この部分は、主に保護段階でコンテナの強化と同じです.
9. 従来のネットワーク指向の承認およびアクセス制御とは異なり、ゼロ トラストは主にアプリケーション指向であるため、サービス アプリケーション層に配置されます。主に保護段階ですが、「決して信用せず、常に検証する」という考え方から、検知段階ではコンテキストを継続的に評価する必要があるため、検知段階にある部分もあります。
10. クラウド ネイティブ アプリケーションは、クラウド ネイティブ エコシステムの焦点であり、運用段階で正常に機能し、侵害されていないことを確認する必要があります。
11. クラウドネイティブのシナリオでは、サービスは多くのマイクロサービスに分割され、その一部はサービス グリッドを介してアドホック接続モードを形成し、関連するセキュリティ メカニズムにもいくつかの変更が加えられます。
12. サーバーレス コンピューティングは、クラウド ネイティブ シナリオにおける革新的なコンピューティング モデルであり、対応するリスクとセキュリティ メカニズムも、通常のクラウド ネイティブ アプリケーションやマイクロサービスとは異なります。
上記はクラウドネイティブのセキュリティシステムをDevSecOpsの観点から見たものですが、別の角度から見ると、通常とは異なるアーキテクチャ図が表示されます。