云原生安全：保护云端应用的新策略与挑战 | 社区征文 - 文章 - 开发者社区

引言

在如今数字时代，云当地架构的盛行给应用程序的开发和部署带来了很多益处，却也带来了新的安全测试。随着越来越多的公司将应用程序转移至云环境中，维护云应用程序安全性尤为重要。本文将介绍云当地安全新战略与挑战，并分享一些项目操作过程编码，以帮助开发团队更好地保护云应用程序。

picture.image

一、云原生安全策略

当涉及到云当地安全设置时，以下是一些普遍而关键的对策，能够更详细地解释每个战略原理和实施方式：

提升身份和访问管理（IAM）：
- 身份和访问监督是维护云应用的核心策略。它确保仅有授权用户与服务才能访问云资源和系统软件。
- 依据身份认证、受权、多因素身份验证等技术的使用，健全身份和访问管理，确保仅有授权实体才能进行独特操作。
- (如AWSS服务供应商(如AWSS)、Azure、Google Cloud等。)一般给予身份和访问管理服务，开发团队可以用这些服务来创建、管理与分派顾客、角色和权限。
容器安全：
- 集装箱安全是维护云原生应用的关键方面，尤其是在运用集装箱技术(如Dockerer)时、在Kubernetes的情形下。
- 运用信得过的基础镜像：从可信源中挑选基础镜像，并不断更新，以获取最新安全补丁。
- 限定容器权利：避免给容器不必要权利，通过降低器皿权限级别来减少隐藏攻击面。
- 防护容器和系统软件：挑选适当的网络隔离和隔离策略，确保器皿与应用软件中间的隔离，防止横向扩展进攻。
微服务安全：
- 分布式架构在云本地环境中越来越普遍，维护微服务之间的通信和传送数据至关重要。
- 网络隔离：运用网络隔离技术（如虚似云、子网络隔离等）限定微服务之间的通信，确保仅有受权服务才能彼此通讯。
- 身份认证和授权：执行适度的身份认证和授权机制，确保唯有通过身份认证服务才能访问和使用其他微服务。
- 维护传送数据:运用加密技术(如TLS///)SSL）维护微服务中间的数据传输，确保数据的机密性和完整性。
持续集成/持续交付（CI/CD）安全：
- CI/CD流程是云原生研制的重要，确保CI/CD流程自身的安全尤为重要。
- 代码审查：开展代码审查，发觉和纠正隐藏安全漏洞和编号缺陷。
- 漏洞扫描：运用自动化工具扫描代码和搭建工件，查验已知漏洞并及时修复。
- 安全测试：在CI/CD环节进行安全测试，包含应用软件安全测试、API安全测试等。
日志及监管：日志及监管：
- 针对实时监控和应对安全事故，综合日志记录和监管机制至关重要。
- 日志纪录：确保系统软件和综合日志纪录详尽，采取适当的日志纪录策略，确保在发生安全事故时展开调查剖析。
- 安全事故监管：应用安全信息和事件管理（SIEM）监管安全事故的工具及时日志分析工具，马上查验隐性攻击和行为障碍。
- 威协信息和漏洞管理：定阅威协信息和漏洞管理服务，马上获取最新危胁信息和漏洞修复策略，并将其应用于系统及应用程序的安全配置。

以上只是云当地安全设置的一些关键方面。安全设置的实施应该根据云环境和系统软件具体要求开展定制。此外，定期开展安全评估和漏洞扫描，密切关注新的安全威胁和漏洞，不断创新和强化安全措施也很重要。

picture.image

二、项目实操代码

强化身份和访问管理（IAM）

# 使用 AWS SDK 进行身份验证和访问管理
import boto3

# 创建 IAM 客户端
iam_client = boto3.client('iam')

# 创建新的 IAM 用户
response = iam_client.create_user(
    UserName='myuser'
)

容器安全

# 使用 Dockerfile 定义容器镜像
FROM nginx:latest

# 禁用容器特权
RUN sed -i 's/^user/#user/' /etc/nginx/nginx.conf

# 添加安全策略文件
COPY nginx.conf /etc/nginx/conf.d/default.conf

微服务安全

// 使用 Spring Security 进行微服务身份验证和授权
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/api/**").authenticated()
                .anyRequest().permitAll()
                .and()
            .oauth2ResourceServer()
                .jwt();
    }
}

持续集成/持续交付（CI/CD）安全

pipeline {
  agent any
  stages {
    stage('Build') {
      steps {
        // 执行代码审查和安全测试
        sh 'npm run lint'
        sh 'npm run test:security'
      }
    }
    stage('Deploy') {
      steps {
        // 部署到云环境并执行其他安全测试
        sh 'sls deploy'
        sh 'npm run test:api:security'
      }
    }
  }
}

日志和监控

# 使用 Python 的日志模块记录日志
import logging

# 创建日志记录器
logger = logging.getLogger(__name__)
logger.setLevel(logging.INFO)

# 创建日志处理器
handler = logging.handlers.SyslogHandler(address='/dev/log')

# 添加日志处理器到记录器
logger.addHandler(handler)

# 记录日志
logger.info('This is a log message')

总结

云原生安全是保护云端应用的重要策略，但也面临着新的挑战。通过强化身份和访问管理、容器安全、微服务安全、持续集成/持续交付安全以及日志和监控等策略，可以增强云原生应用的安全性。在实际项目中，开发团队可以根据具体需求和技术栈，结合示例代码中的实操方法，为云端应用提供更全面的安全保护。

infoq原文链接：云原生安全：保护云端应用的新策略与挑战 (infoq.cn)