為什么云原生環境下需要零信任安全

一. 零信任安全是什么

零信任安全不是一種特定技術、產品，而是一種基于“不相信任何人”理念的安全模型。Forrester[1]將零信任定義為“默認情況下拒絕訪問應用程序和數據的信息安全模型。威脅預防是通過僅使用策略授予對網絡和工作負載的訪問權限來實現的，并通過跨用戶及其相關設備的持續、上下文、基于風險的驗證來通知”。包含以下四個原則：

最小化信任：假設任何用戶、設備、應用程序不可信，將所有請求視為潛在的威脅，并進行驗證和授權。
多重身份驗證和授權：使用多因素驗證用戶、設備、程序身份，進行細粒度的授權，使其只能訪問所需的資源和數據。
實時監控和審計：實時監控和審計所有用戶、設備和程序行為，及其訪問的資源和數據。
動態安全策略：安全策略隨用戶、設備、數據及外部風險的變化動態更新。

圖1. 零信任安全模型中的訪問過程

二．云原生環境特點

云原生環境是一個現代化基礎架構，面向云計算基礎設施及應用程序，倡導以容器為核心的輕量級應用程序開發和交付模式。它具有以下特點[2]：

容器化：云原生環境以容器技術為核心，將應用程序及依賴打包進容器，實現跨平臺運行和快速部署；
自動化：云原生環境倡導自動化，包括自動化部署、自動化擴縮容、自動化監控等，以提高效率、降低成本；
彈性伸縮：云原生環境具有彈性伸縮能力，可以根據負載和需求實時增加或減少資源，以應對不同的業務場景；
微服務架構：云原生環境以微服務架構為基礎，將程序拆分成獨立微服務，并通過輕量級的通信機制通信，提高靈活性、可伸縮性及可維護性。

圖2. 云原生環境

三. 為什么云原生環境下需要零信任安全

由于云原生環境具有動態、容器化、微服務等特點，傳統的邊界型安全防護策略已無法完全適應。云原生環境下安全防護策略面臨以下挑戰[3，4]：

網絡安全邊界消失：傳統網絡架構中的網絡安全邊界通常由防火墻、網關等硬件設備實現。隨著公有云、私有云及混合云技術的發展，云原生程序可能被部署到任何地方，甚至跨越多個云服務提供商和地區，傳統的安全邊界正在消失。
不可信因素增多：云原生環境中，容器的數量和位置不斷變化，其運行狀態會因外部攻擊、軟件缺陷等原因異常，這將對云原生環境的安全產生不利影響。此外，云原生應用程序在自動化部署、管理過程中依賴多種開源工具，越多的工具意味著其中的不可信因素數量增多。
統一授權機制復雜：云原生應用通常由運行在不同容器中的微服務構成，這意味著每個微服務需要配置不同的身份認證、鑒權、授權機制，并確保它們之間的相互作用是安全的。此外，云原生環境下通常使用多種技術棧來構建和部署應用程序，需要為每個技術棧配置不同的身份驗證和授權機制。
基礎設施共享的復雜性：云原生應用的部署和運行可能需要依賴同一組計算資源、存儲資源、網絡資源等。為了提高資源利用效率，對這些資源進行了多層次的管理和共享。在管理和共享的過程中容易出現越權、資源擠兌等問題，影響其他正常服務運行。
數據安全和合規性要求：云原生應用程序和的部署和運行可能會跨越不同的安全域，數據安全和合規性有了更高的標準，如《個人信息保護法》[5]、GDPR[6]、PIPEDA[7]等。

綜上，云原生環境中需要一種更為靈活、精細、可擴展的安全模型——零信任。零信任安全模型的本質訴求是以身份為中心的訪問控制，它引導安全體系架構從網絡中心化走向身份中心化，建立更加高效、全面、靈活的安全防御體系，減少云原生環境中的攻擊面，降低云原生環境中的安全風險，增加訪問控制的細粒度，避免信息、數據泄露等。

四. 云原生環境下的零信任安全實踐

云原生環境下零信任安全實踐可從以下幾個方面開展[8，9]：

云原生環境資產清點：資產清點能夠及時發現未知或未授權的資產，確定哪些資產應該被授權或禁止訪問，提升云原生環境的安全性和可控性。
最小權限原則：限制用戶和云原生服務的訪問權限，確保其只能訪問所需的資源和數據，以降低攻擊面和減少潛在的攻擊風險。
精細的訪問控制和授權機制：采用強制、精細的身份認證和授權機制，如多因素身份驗證（MFA）和單點登錄（SSO），能夠減少未授權的訪問。
數據加密：云原生應用程序通常需要處理敏感數據，在數據存儲、傳輸和處理過程中均需要使用加密和解密技術，以確保數據安全。此外，也需要采用安全的密鑰管理和分發策略，確保密鑰安全。
風險面和威脅管理：云原生環境會依賴其他開源組件、框架，這些組件、框架或多或少會存在漏洞和安全風險。通過實施云原生環境下的風險面管理，能夠減少開源組件、框架帶來的安全風險。
持續安全監控和審計：持續的安全監控和審計可確保用戶、服務對敏感數據和應用訪問的合法性，實時監控潛在的威脅，降低未授權訪問的危險。
憑證自動化輪換：自動化的憑證輪換可以減少人為錯誤和疏漏，降低憑證泄露、被盜竊帶來的安全風險。在勒索軟件事件頻發的現在，這點尤為重要。
動態的安全策略：安全風險日益增，需要可動態更新的安全防護策略，以應對層出不窮的安全威脅。
安全培訓：對員工進行定期的安全培訓，幫助員工了解安全風險和防范措施，可以有效提高企業的整體安全水平。

五. 總結

由于云原生環境動態、無固定安全邊界等特性，傳統安全策略無法有效解決云原生環境下的諸多安全問題。零信任安全模型的核心原則是身份驗證和授權，只有經過驗證和授權后的設備、用戶才能訪問特定的資源。以身份為核心的零信任安全模型可以更加地動態、精細、有效地解決一些傳統安全策略無法解決的問題。但是，零信任安全模型仍無法完全替代傳統安全策略，應結合兩者構建具備“縱深防御”能力的安全體系，多角度、全方位地保護服務、數據、網絡及系統的安全。