首次曝光！唯一全域最高等级背后的阿里云云原生安全全景图

2022 年 6 月 23 日
本文字数：3594 字
阅读完需：约 12 分钟

6 月 15 日，2022 云原生产业大会宣布，阿里云在信通院“云原生安全成熟度”评估中，取得国内唯一全域最高等级认证。信通院“云原生安全成熟度”从基础设施安全、云原生基础架构安全、云原生应用安全、云原生研发运营安全和云原生安全 5 个维度，共计 315 个细分项考察企业云原生架构安全水平。阿里云云原生应用平台通过大规模企业客户服务积累和创新性技术打磨，沉淀了全链路的云原生安全解决方案，全方位展现了阿里云云原生产品安全能力的丰富度和领先性。

（图 1：阿里云云原生安全成熟度模型测评报告）

安全合规是企业上云、全球化部署的首要需求，随着云原生对计算基础设施和企业应用架构的重定义，传统的企业安全防护架构也面临着新的挑战。

缺少体系化的云原生安全能力建设： 传统企业应用安全模型通常是基于不同的信任域来划分安全边界，在信任域内的东西向服务交互被认为是安全的。而上云后容器应用可能需要在 IDC 和云上漂移，传统基于边界安全模型中静态标识符（比如 IP 地址）在云原生场景下不再可行，需要企业安全防护更接近于基于属性和元集群（比如标签标记等）识别不断变化的动态负载，并采取零信任的安全保护措施。
缺少应用侧全生命周期的安全防护手段：容器提供了弹性、敏捷和动态可扩展等特性，同时也改变了应用的部署模式。应用自身生命周期被大幅缩短，一个容器应用的生命周期通常是分钟级。这需要在企业应用生命周期和安全设计架构中实施更多自动化的安全控制，从身份体系、资产管理、认证鉴权、威胁分析检测和阻断等应用侧全生命周期安全防护。
缺少对云上安全责任共担模型的理解：在企业应用云原生化架构转型过程中，需要企业应用开发者和安全运维人员理解企业自身和云服务商之间的责任边界。从应用设计、开发、构建、分发、部署到运行时各个阶段，一方面需要云服务商提供云原生下的安全防护产品化能力，另一方面也需要企业增强对云原生下安全概念、工具和流程的持续学习并真正长期实践到应用中。

云原生安全成熟度模型

阿里云云原生安全旨在基于云原生敏捷高效、分布式和不可变性等架构特征，在传统安全模式的基础上提供更加全链路、安全可信的纵深防御。在云原生应用生命周期中“安全左移”，尽早地整合安全并实现预防性的主动防御；同时基于零信任、安全软件供应链 DevSecOps 等安全架构设计提高企业的安全防护的效率。

本次信通院云原生安全成熟度模型测评，全场景多维度覆盖了云原生平台架构的安全防护能力。整个安全评测标准可以帮助企业提供云原生安全能力的自检标尺和建设指南。阿里云在此次标准所有 5 个域的测评中均取得了国内唯一的全域最高等级认证。

（图 2：云原生安全成熟度模型）

云原生安全全景图

从容器镜像服务 ACR、容器服务 ACK 到云安全中心、Web 应用防火墙，阿里云丰富的云原生安全产品家族保障了阿里巴巴自身的大规模云原生化实践，确保应用全生命周期的云原生安全。同时这些云原生安全能力也支撑了云上百万企业，从基础设施、云原生基础架构、云原生应用、云原生研发运营到云原生安全运维，提升了全链路的安全性及企业安全治理的效率。

目前，阿里云正式发布云原生安全全景图，涉及阿里云原生平台 10 余条产品线，50+ 款产品共计 522 项核心安全能力，助力企业打造更安全可控、更先进智能的业务体系。

（图 3：阿里云云原生安全全景图）

基础设施安全： 阿里云在计算、存储、网络等云基础设施侧构建了夯实的平台底座安全能力。在计算安全方向，云安全中心和容器镜像服务支持漏洞的自动化检测，告警，溯源和攻击分析，同时支持镜像漏洞的自动化智能修复；同时支持多 OS，混合云架构的基线扫描和丰富的策略配置；在网络安全方向，云防火墙服务支持多重边界防护和基于流量学习结果的自适应智能策略推荐下发；在存储安全方向，容器服务备份中心支持应用数据的异地备份和快速恢复，ACK One 提供了多云混合云场景下的两地三中心备份容灾能力，同时 ACK-TEE 还提供了基于软硬一体的机密计算技术帮助实现内存维度的剩余信息保护。
基础架构安全/供应链安全： 首先在云原生网络侧，容器服务和云安全中心提供了 pod 维度的东西向策略控制和智能阻断能力，同时支持集群网络拓扑的可视化展示；ASM 网格服务提供了 Service Mesh 框架下全链路的流量加密、观测，监控和七层访问控制能力；在编排和组件安全方向，ACK 容器服务支持多维度的自动化安全巡检能力，帮助发现集群应用潜在风险并提供加固建议，同时保证所有系统组件基于 CIS 等合规规范的配置加固。通过使用托管节点池可以实现集群节点 CVE 的自动化自愈修复能力。在访问控制上，ACK 集群的 RRSA 功能支持集群应用侧 pod 维度的云上资源权限隔离；在镜像安全方向，ACR 容器镜像服务企业版提供了云原生交付链功能，结合镜像的完整性校验等产品化能力，构建了企业级的供应链 DevSecOps 能力；在运行时安全方向，云安全中心支持容器维度的 runtime 威胁实时检测、告警和智能处理，帮助企业抵御容器逃逸、敏感文件操作、异常连接等多种容器内攻击行为。
云原生应用安全： 云原生应用安全包含了企业应用侧防护的方方面面。首先在通用安全方向，通过使用云防火墙和 Web 应用防火墙等服务可以实现企业应用南北向和东西向的攻击防护和细粒度的访问控制，支持 API 漏洞、注入攻击和敏感数据泄露的监测、分析和自动修复建议，同时企业应用可以接入 ARMS RASP 服务，实现 API 维度的调用链监控和 API 服务资产管理；在微服务安全方向，MSE 微服务引擎通过云原生网关结合云防火墙等服务保证微服务网络通信安全，在提供丰富的微服务治理能力的同时提供了安全监控和应用代码层的 RASP 防护能力。在 Serverless 安全方向，函数计算服务支持存储、网络等函数资源的细粒度访问控制和租户隔离，同时支持函数资源、流量的实时监控以及完备审计。
云原生安全运维：云原生应用如何进行安全运维是企业关心的重点问题。在安全管理方向，容器服务和云安全中心等服务支持丰富细致的可视化资产管理能力，同时基于日志服务提供了管控侧和业务侧完备的审计日志，并支持基于审计的智能分析、告警和图表化展示能力。在策略管理上，容器服务支持基于 OPA 的集群部署时刻策略治理引擎，同时云效服务针对云原生开发、测试流程提供了基于策略的运营流程配置和安全检测功能。身份管理是零信任安全的基础，阿里云 RAM 和 IDaaS 服务支持企业 LDAP 对接，在服务网格中支持基于身份的服务间访问策略规则定制以及身份凭证泄露的实时检测告警。在安全运营方向，云安全中心支持通过云蜜罐诱导捕获攻击者并自定义攻击反制，同时支持多维度可视化的检测预警和溯源分析，另外阿里云威胁情报平台支持基于 IOC 搜索、判定结果，可通过多渠道进行漏洞情报的获取并支持行业安全事件报告线下订阅方式的订购，帮助企业安全运维团队提升运营管理效率。
研发运营安全： 阿里云安全团队对平台内部研发运营流程进行严格的安全审计和管理。在安全需求方向，安全团队针对云产品定制化需求清单，支持面向应用场景特定的定制化需求和自动化的测试用例，同时支持多渠道的需求收集和系统化管理；在开发安全方向，首先在制品安全上实现组件漏洞的自动化检查、完整性校验和身份溯源，在安全设计上支持系统化的威胁建模以及内部标准化的安全设计规范和技术栈；在测试安全方向，在研发运营流程具备端到端的测试工具链，配合日常人工渗透测试，及时发现漏洞并自动录入系统通知修复。整个 DevSecOps 流程可通过策略配置实现风险识别和运营，无需人工干预。

阿里云容器产品家族 - 高效安全、智能无界

阿里云容器服务 ACK 支撑了集团 100% 核心应用的云原生化，同时为云上上万企业实现现代化应用改造升级提供升级服务。从互联网到零售、金融、制造、交通，越来越多的行业在利用创新的云原生技术解决他们的业务问题。与此同时，容器也在支撑着更多行业场景创新，比如在智能驾驶领域，仿真模拟需要海量的算力。只有云计算与云原生技术能够满足业务算力的弹性、规模和效率的需求。

阿里云容器镜像服务 ACR 是云原生架构重要基础设施之一，负责云原生应用制品的安全托管和高效分发。先后服务了数千家企业，托管了数 PB 容器镜像数据，支撑月均镜像拉取数亿次。在 DevSecOps 场景，企业可以使用 ACR 云原生应用交付链，或与自建 CI/CD 工具结合，实现高效安全的云原生应用交付，加速企业的创新迭代。

阿里云容器服务 ACK ONE 是基于阿里云提供的多云、多集群、多环境管理能力，ACK ONE 能够同时管理阿里云上集群、边缘集群、部署在用户客户中心的集群以及其他云上的 Kubernetes，真正实现集群的统一管理、资源的统一调度、数据的统一容灾和应用的统一交付。