就在30多年前，虛擬化僅適用于擁有大型機(jī)和大型小型計(jì)算機(jī)的用戶，而安全問(wèn)題僅僅存在于物理計(jì)算機(jī)中;20年前，VMware發(fā)布了其第一款產(chǎn)品，網(wǎng)絡(luò)邊界安全性仍處于起步階段，依賴于防火墻;12年前，AWS推出，網(wǎng)絡(luò)安全成為一個(gè)問(wèn)題;5年前，由于Docker容器成為主流，主機(jī)安全成為焦點(diǎn)。今天，隨著無(wú)服務(wù)器安全性的增長(zhǎng)，應(yīng)用程序級(jí)安全性終于受到計(jì)算和網(wǎng)絡(luò)層的挑戰(zhàn)。

[[241449]]

應(yīng)用程序級(jí)安全性受到計(jì)算和網(wǎng)絡(luò)層的挑戰(zhàn)

隨著應(yīng)用程序，計(jì)算和網(wǎng)絡(luò)安全都被審計(jì)，通過(guò)SOC類型等報(bào)告，管理層和客戶端都可以更加了解安全問(wèn)題。隨著客戶端透明度的提高，安全專業(yè)人員是確保部署資產(chǎn)的關(guān)鍵生產(chǎn)更加具有堅(jiān)實(shí)的安全性，并且根據(jù)正在使用的部署類型，此配置文件的大小可能會(huì)增加。這就是理解不同類型即容器，無(wú)服務(wù)器計(jì)算和虛擬機(jī)之間的安全細(xì)微差別的原因。下面，我們將比較他們的安全差異。

無(wú)服務(wù)器安全性

首先，我們先討論無(wú)服務(wù)器安全性問(wèn)題，因?yàn)闊o(wú)服務(wù)器應(yīng)用程序通常是純粹執(zhí)行單個(gè)函數(shù)的代碼，因此被稱為函數(shù)即服務(wù)。除了遵循安全編碼最佳實(shí)踐，例如僅返回處理請(qǐng)求絕對(duì)需要的數(shù)據(jù)，并讓應(yīng)用程序使用僅具有允許其完成工作所需的訪問(wèn)權(quán)限的服務(wù)帳戶，任何發(fā)現(xiàn)的漏洞都將導(dǎo)致數(shù)據(jù)被泄露的東西遠(yuǎn)遠(yuǎn)超出了無(wú)服務(wù)器應(yīng)用程序的范圍。

另一個(gè)主要關(guān)注領(lǐng)域是應(yīng)用程序中包含的任何第三方庫(kù)，以提供增強(qiáng)功能，并節(jié)省開(kāi)發(fā)團(tuán)隊(duì)的開(kāi)發(fā)時(shí)間。第三方庫(kù)的示例包括用于驗(yàn)證電話號(hào)碼或郵政編碼的庫(kù)，以及連接到外部PostgreSQL數(shù)據(jù)庫(kù)所需的JDBC驅(qū)動(dòng)程序等客戶端庫(kù)。如果不使用自動(dòng)更新并定期掃描構(gòu)建的工件的掃描工具，那么在組織內(nèi)使用的所有第三方庫(kù)以及觀察所有各種漏洞公告列表的過(guò)程中，這是一項(xiàng)巨大的手動(dòng)工作。

容器的安全性

從本質(zhì)上講，無(wú)服務(wù)器應(yīng)用程序通常在后臺(tái)運(yùn)行在容器中，因此容器將承載與無(wú)服務(wù)器相同的所有問(wèn)題，以及容器為開(kāi)發(fā)人員提供的附加功能的新問(wèn)題。特定于容器的安全問(wèn)題可以簡(jiǎn)化為兩個(gè)不同的區(qū)域：基于部署的容器的源的可信度，以及容器對(duì)主機(jī)操作系統(tǒng)的訪問(wèn)級(jí)別。

在任何主機(jī)(無(wú)論是Windows還是Linux)上運(yùn)行容器時(shí)，不應(yīng)使用root或管理員權(quán)限運(yùn)行容器。使用命名空間和卷等功能而不是原始磁盤訪問(wèn)允許這些容器守護(hù)程序在一個(gè)或多個(gè)容器之間共享存儲(chǔ)以獲取持久數(shù)據(jù)，而不需要容器本身具有升級(jí)的權(quán)限。甚至還有一些項(xiàng)目，例如谷歌的gVisor，它們更進(jìn)一步，隱藏了除容器需要運(yùn)行的確切系統(tǒng)調(diào)用之外的所有項(xiàng)目。

對(duì)容器的更大關(guān)注是構(gòu)建容器的層的可信度。有多種方法可以解決這個(gè)問(wèn)題。它們包括指向您已經(jīng)測(cè)試并確定的特定版本，而不是依賴于最新的標(biāo)記。您還可以擴(kuò)展針對(duì)無(wú)服務(wù)器應(yīng)用程序中的第三方庫(kù)所進(jìn)行的任何掃描范圍，以便掃描整個(gè)容器以查找已知漏洞。此掃描可以在源注冊(cè)表中提前執(zhí)行，也可以在構(gòu)建過(guò)程中執(zhí)行，因?yàn)榭梢詫⑺鼈冇米鳂?gòu)建的基礎(chǔ)。

虛擬機(jī)安全

虛擬機(jī)是另一個(gè)需要解決的問(wèn)題的集合。一種改進(jìn)upis的方法是將運(yùn)行服務(wù)限制為絕對(duì)需要的服務(wù)。例如，默認(rèn)的HTTP服務(wù)器很適合查看日志，但是當(dāng)應(yīng)用程序在Java中運(yùn)行時(shí)，可以看到是否需要可用的產(chǎn)品，哪些產(chǎn)品可以通過(guò)SSH連接并集中整合日志;另一種選擇是在發(fā)布后盡快應(yīng)用補(bǔ)丁，一些補(bǔ)丁每月發(fā)布，包括微軟的“ 補(bǔ)丁星期二 ”，而其他更關(guān)鍵的補(bǔ)丁在有可用修復(fù)的那天發(fā)布(這些被稱為帶外補(bǔ)丁)。與容器和無(wú)服務(wù)器不同，在完整虛擬機(jī)上需要應(yīng)用任何給定補(bǔ)丁的幾率要高得多，因?yàn)樾枰桶惭b的軟件包要多得多。

總結(jié)

通過(guò)了解開(kāi)發(fā)團(tuán)隊(duì)正在部署應(yīng)用程序的計(jì)算環(huán)境類型，以及最有可能應(yīng)用所有安全性的最佳實(shí)踐。理想情況下，安全投資中的每個(gè)應(yīng)用程序都可以并且將被評(píng)估，也希望你能使用最合適和簡(jiǎn)化的部署選項(xiàng)。通過(guò)將更多應(yīng)用程序移動(dòng)到容器，并在適當(dāng)?shù)臅r(shí)候無(wú)服務(wù)器，它將使得類似生產(chǎn)的安全實(shí)踐能夠在開(kāi)發(fā)周期的早期實(shí)施，并最終提高企業(yè)的整體安全性。