实现容器安全管理的优秀示例
发布时间：2022-04-29 10:30:53 所属栏目：安全 来源：互联网
导读：随着Docker、Kubernetes技术的成熟，容器也成为时下最火的开发理念之一。它是云原生概念的重要组成部分，正迅速成为云原生生态系统中部署计算和工作负载的不二选择。云原生计算基金会(CNCF)最新的云原生调查显示，96%的组织在积极使用或评估容器和Kubernetes
|
随着Docker、Kubernetes技术的成熟，容器也成为时下最火的开发理念之一。它是云原生概念的重要组成部分，正迅速成为云原生生态系统中部署计算和工作负载的不二选择。云原生计算基金会(CNCF)最新的云原生调查显示，96%的组织在积极使用或评估容器和Kubernetes。众所周知，容器作为应用的包装形式，能够以更轻量化、更小开销的方式运行，具有可移植性、一致性和效率高等优势特点，但其并非没有安全问题。 确保容器安全是一项复杂的活动，就像网络安全一样，需要结合人员、流程和技术，其中人员安全是最关键的。对于那些希望转向使用容器的组织来说，应提升现有员工的技能，并引入拥有必要技能的其他人才，确保云原生运营模式的安全性。以下列举了管理容器漏洞风险的最佳实践和相关工具，如果企业采用这些工具、实施最佳实践，同时遵循行业最佳指导，就有可能在容器安全使用方面更接近理想状态。 加强容器可移植性防护 虽然容器最显著的优势特点之一是可移植性，但这也是缺点。如果漏洞混入容器后分发，无异于将漏洞分发给使用该镜像的所有人，还可能将其运行的任何环境置于险境，因为它们通常在多租户架构中运行。这意味着，广泛可用和共享的容器镜像与其他问题(比如开源代码、IaC)一样令人担忧，所有这些都可能带来漏洞。此外，容器常常由外部开发人员而不是传统的IT团队构建，然后再分发给企业。在此背景下，实施最佳的安全编程和容器安全实践是一个好的开端。 使用容器镜像签名 保护容器工作负载的另一个关键活动是镜像签名。大家都熟悉美国中情局(CIA)的网络安全三要素：机密性、完整性和可用性。容器镜像签名主要是确保容器镜像的完整性。它可以确保所使用的容器镜像没有被篡改，值得信任。这可以在注册库中完成，也可以作为DevOps工作流程的一部分来完成。 在容器镜像签名方面，有几种工具可选。最值得注意的工具之一是Cosign，它支持镜像签名、验证和存储，还支持各种选项，比如硬件、密钥管理服务(KMS)、自带的公钥基础设施(PKI)等。如今，市面上也出现了无密钥签名选项，受到Chainguard等创新团队的追捧。无密钥签名实际上支持使用短期密钥的功能，这种密钥只在签名活动期间有效，与身份相关联。 为容器镜像开列软件组件清单 容器同样存在软件供应链安全问题，许多组织纷纷为容器镜像开列软件材料清单(Software Bills Of Materials，简称“SBOM”)。Anchore的Syft工具就是个典例。Syft让组织可以为容器镜像开列SBOM，作为CI/CD工作流程的一部分，帮助组织深入了解在容器生态系统中运行的软件，并随时做好准备以应对可能发生的安全事件。 过去很难获得这样的高可见性，但现在情况有所不同，许多组织更关注软件供应链安全，并遵循美国白宫和相关政府机构的指导，比如《网络安全行政令》。同时，关注安全开发实践的呼声越来越高，NIST等组织发布了更新版的《安全软件开发框架》(SSDF)，该框架要求组织在存档和保护软件版本等活动中使用SBOM。在此背景下，软件供应链中组件具有了高可见性。 除了为容器镜像开列SBOM外，企业还要做好证明，NIST在《软件供应链安全指南》中就有相应的规定。NIST要求做好向SSDF证明的工作，这要求使用SBOM。还有进一步执行SBOM的创新方案(比如Syft)，使用in-toto规范支持SBOM证明。这种证明方法让签名者可以证明SBOM准确地表示容器镜像的内容。 （编辑：PHP编程网 - 黄冈站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330482号