[[140836]]

對于許多企業來說，容器化使得釋放速度更快，比虛擬機更加有效率。與此同時，容器引入了新的部署模式，因此，企業架構師和安全專家需要重新考慮：采取哪些方式來保證應用程序的安全性。在RSA安全會議上，安全專家評估安全實施容器化策略該考慮哪些方面。

安全廠商Bromium的首席技術官Simon Crosby稱，傳統安全工具僅僅能在云中工作。目前，企業正在關注于容器的另一個抽象層。

Juniper Networks的安全副總裁和首席技術官Chris Hoff說，使用網絡和端點安全，保證了企業的區域安全性。同時，也出現了其它問題，比如說，亞馬遜程序員的工作量加大。添加一個完好的帶有審計控件、關鍵控件和文檔的安全基礎設施，需要超過幾個小時的時間，來推出應用程序以及更新。真正的挑戰是轉換，云、DevOps以及目前的容器化意味著除了安全團隊，還需要其它團隊的配合。對大型企業來說，這是特別困難的。

容器廠商關注于安全

當企業試圖更快地實現更新，這種動態創建了一個新的摩擦層。現在來說，速度是關鍵， Docker的SVP Product Scott Johnston說，他能預見到，金融服務行業容器化的速度在飛快增長，他們采用更好的交易算法，從而更有效地滿足客戶的需求。云計算和移動公司也迅速走向微服務架構，從而支持更快的交付速度。

安全性是需要考慮的最重要的因素，能夠防止欺詐和網絡攻擊。“我們意識到我們不能拋開安全，”Johnston說，“在安全方面，Docker一直以來都投入了大量的資金，為了使運維團隊更加便捷，包括應用程序開發者運行時間的策略，為了使得應用程序更加安全。”

Docker正在加大投資，來改善關閉Linux內核的功能，或者允許運維團隊能夠管理安全策略，不需要開發人員的幫助。同時，在基礎設施方面，投入了相當大的資金，來創建一條信任鏈，能夠顯示源代碼從哪里來，是誰編制的，以及QA是誰產生的。Johnston提到，“這是發展團隊和運營團隊雙方共同的責任”。

微軟還宣布：取得的另一個突破是，容器基礎設施可以在Azure以及私有云中工作。微軟Azure首席技術官Mark Russinovich說，目前，正在研究新的安全模型，來保證各種各樣的私人的、公共的以及混合云場景下容器的安全性。Drawbridge是微軟的一個研究項目，用來創建容器，采用很強的隔離邊界，從而來主導不受信任的代碼。此外，當操作系統被破壞時，Havenprototype有助于保護VM或容器。

從網絡到應用安全的轉變

當提供的應用程序運行數月或數周，基于網絡的安全是很重要的。但是，Docker的Johnston說，隨著微服務的發展，事情變得更加動態。第一批微服務供應在一個單獨的服務器，但是，隨著部署這些集合的組織跨多個服務器和數據中心，變得越來越復雜。

軟件定義網絡(SDN)功能，包括防火墻和路由器，已經被開發，用來支持少數的虛擬機。但是，目前為止，成千上萬的容器僅存在毫秒。Johnston說，“昨天的安全模型僅僅適用于昨天的容器”。這種新方法需要考慮：如何提供防火墻和應用程序負載平衡器。

對組織來說，這可能是一個艱難的轉變，建立一個安全模型來保證網絡安全性。Juniper的Hoff發現，那些甚至不知道如何拼寫VM的人，如果讓他們來提供關于如何隔離這種更敏捷基礎設施的建議，是非常困難的。盡管這是合規的，但這真的不是關于安全和政策討論。

微軟的Russinovich說，過去，IT運作團隊會選擇使用什么樣的網絡和基礎設施安全工具。現在，由DevOps來選擇這些工具，并確保這些工具是可用的。傳統模式是：IT負責網絡安全，但是，這個模型是很不一樣的。

教安全團隊來編代碼

總的來說，容器化不僅僅是一個技術的轉變。還需要反思的過程和工具。例如，ING銀行采用DevOps，他們要求每個團隊成員都應該是一個程序員，新應用的周期時間從幾個月減少到幾天。安全團隊將不得不學習如何編程。

Docker的Johnston提到，云計算和虛擬化實現技術已經存在了十年，而容器化僅僅才開始了一年。可能還需要一個十年，容器化的安全實踐才能完全迎頭趕上。

原文鏈接：http://www.searchcloudcomputing.com.cn/showcontent_89853.htm