在運行時與構建時如何保護云計算基礎設施

對于云原生環(huán)境來說，企業(yè)只在運行時采用安全措施已經不夠。

在當今的云原生世界中，隨著基礎設施的飛速發(fā)展，大規(guī)模構建云計算環(huán)境需要可再現(xiàn)性和彈性，因此需要從一開始就優(yōu)先考慮快速更改和擴展基礎設施的能力。令人感興趣的是，對于許多人來說，云計算安全性只與在運行時發(fā)生的錯誤配置和違規(guī)行為有關。

如果在構建時不關注流程和代碼，就無法確定基礎設施問題，這與企業(yè)設計和構建現(xiàn)代云計算基礎設施的方式不符。如果構建不可變的基礎設施，則需要開始考慮如何保護不可變的基礎設施，而只是孤立地提高運行時的安全性是不夠的。另一方面，如果只在構建時解決云計算安全風險，但缺乏生產基礎設施的完整環(huán)境的話，也可能在云計算環(huán)境中留下漏洞。

以下將重點關注通過在構建時和運行云計算基礎設施時掃描來檢測安全問題，概述它們的價值和缺陷，以說明同時利用這方面的重要性。

運行時的云安全狀態(tài)管理

為了應對云計算環(huán)境變得越來越復雜的局面，云計算提供商圍繞云計算資源的管理提供了豐富的元數(shù)據(jù)和遙測技術。建立可持續(xù)的云安全計劃需要對這些數(shù)據(jù)進行一致且可擴展的收集和分析。

技術社區(qū)主導的項目(如AWS公司的Prowler和谷歌云的Forseti)應運而生。這兩個項目都率先使用了公開的API來收集配置數(shù)據(jù)并檢查配置錯誤，實現(xiàn)了對部署后配置錯誤的檢測。

現(xiàn)在，大多數(shù)云計算提供商都在其控制平臺管理服務中包含了此類功能。使用AWS配置、Azure策略和Google資產清單等原生工具，獲得云計算的基本可見性比以往任何時候都容易。

運行時的云安全性當然是好實踐，但它也有其自身的優(yōu)點和缺陷：

(1)變更追蹤

運行時掃描遵循配置的實際狀態(tài)。當以多種方法管理配置時，運行時掃描仍然是識別和評估隨時間變化的配置的主要技術。

(2)符合法規(guī)要求

大多數(shù)受監(jiān)管的行業(yè)現(xiàn)在需要持續(xù)的變更控制審計和跟蹤。為了滿足這些需求，大多數(shù)掃描程序都將它們的發(fā)現(xiàn)映射到行業(yè)基準。一旦控制被映射到基準部分，企業(yè)就可以使用掃描報告作為基準證據(jù)來滿足大多數(shù)行業(yè)特定的需求和審核。

(3)接近實時結果

根據(jù)掃描頻率，運行時掃描可以快速識別和分類正在進行的問題。將掃描程序連接到票證或監(jiān)視工具可以幫助確保更快的響應和緩解。

(4)低信噪比

大多數(shù)掃描程序仍然嚴重依賴缺乏場景的確定性檢測邏輯，從而導致一堆無關緊要的發(fā)現(xiàn)，尤其是對于資源壽命較短的動態(tài)環(huán)境。例如，在使用自動縮放的環(huán)境中，運行時掃描將在兩次掃描之間返回不一致的結果，并產生不代表最新資源狀態(tài)的輸出。此外，掃描多方面的身份識別與訪問管理(IAM)權限或完整的網絡拓撲可能會錯誤地警告配置更改。

(5)不切實際的發(fā)現(xiàn)

標記錯誤配置后，最直接的問題通常是“我們該怎么做才能解決?”，如果修復單個云配置錯誤需要更多的人工步驟，或者無法還原配置，那么其升級最終浪費了開發(fā)人員寶貴的時間。

(6)重復的錯誤配置

對于利用基礎設施代碼框架來協(xié)調云計算資源的團隊而言，只是在運行時修復錯誤配置會帶來重復發(fā)生的風險。為了確保不會發(fā)生云計算配置錯誤，必須在源頭進行補救。

構建時云安全狀態(tài)管理

在構建時云計算基礎設施掃描配置并不是什么新鮮事。識別編碼錯誤已經有一段時間了，尤其是在應用程序安全中。然而，隨著基礎設施作為大規(guī)模提供云計算資源的代碼的興起，這種方法的應用在過去幾年中得到了極大的擴展。

以代碼方式管理的掃描配置使用與運行時掃描程序相同的高級策略，并搜索相同的資源及其配置狀態(tài)。通過使用基礎設施即程序代碼(IaC)掃描程序(例如開放源代碼工具Checkov)，配置文件被視為獨立的清單，用于描述如何配置資源和設置屬性。

通過應用在運行時解決云計算安全性方面獲得的許多經驗教訓，可以使用構建時掃描來發(fā)現(xiàn)其他有價值的方面和缺點：

(1)可行的調查結果

通過在代碼中列出并管理配置，可以更容易地找到導致配置錯誤的確切屬性和參數(shù)。

(2)合作解決

通過所有代碼的檢測和響應，每個開發(fā)人員都可以幫助解決持續(xù)存在的問題。通過在同一工具中統(tǒng)一檢測和補救，可以更輕松地從一開始就將云計算安全性構建到日常工作流程中。

(3)自動響應

通過以機器可讀語言識別和修復問題，可以更輕松地開發(fā)自動化功能，以零接觸或幾乎沒有人員的接觸來查找和修復配置。自動化是大規(guī)模構建和維護安全云計算基礎設施的關鍵。

(4)不相關的發(fā)現(xiàn)

僅在構建時檢測到的配置問題可能只代表更完整配置態(tài)勢的一部分。例如，假設一個組織在運行時管理網絡組件并在構建時計算資源，知道已加固的VPC或安全組將確保外人無法訪問它，因此可以很容易地抑制暴露在全球互聯(lián)網上面向EC2的標識。

(5)缺少場景

完全依賴于構建時的發(fā)現(xiàn)而沒有在運行時將其歸因于實際的配置狀態(tài)，可能會導致配置沖突。例如，嘗試加密以前未加密的數(shù)據(jù)庫實例可能無法進行更改，因為大多數(shù)托管數(shù)據(jù)庫服務事后不允許進行加密。

(6)部分覆蓋

盡管不斷增長，但作為代碼框架的基礎設施卻無法支持所有公共可用的云計算服務。當圍繞它開發(fā)錯誤配置檢測策略時，對構建的有限支持也會轉化為局限性。

兩全其美的做法

隨著云計算服務和配置框架比以往任何時候都多，面臨的安全挑戰(zhàn)要求在整個運營和開發(fā)生命周期中采用統(tǒng)一的方法來管理云計算安全。

這就是行業(yè)專家認為在云計算基礎設施在構建時和運行時進行掃描不是一種競爭策略而是一種完善策略的原因。

運行時掃描可提供當前配置狀態(tài)近乎實時的準確描述，但只有添加了構建時的掃描之后，團隊才能響應并修復錯誤。

網站欄目：在運行時與構建時如何保護云計算基礎設施
網站路徑：http://bm7419.com/news/203502.html

成都網站建設公司_創(chuàng)新互聯(lián)，為您提供小程序開發(fā)、靜態(tài)網站、ChatGPT、品牌網站建設、商城網站、網頁設計公司

廣告

聲明：本網站發(fā)布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內容未經允許不得轉載，或轉載時需注明來源： 創(chuàng)新互聯(lián)