案例概要
某企業是一家知名的互聯網公司，專注于智能終端產品的研發，擁有近3,000名員工，其旗下的主打應用程序月活量超過1億，致力于為全國用戶提供多樣化的科技服務。
在互聯網圈，產品迭代次數極其頻繁，業務更新速度快，為了確保業務穩定性，該企業另辟蹊徑，部署了超過130,000多個容器，以應對快速增長的業務量，逐步走向云原生化。
現實挑戰
云原生環境下，互聯網的基礎設施保護依然重要，其安全保障若不到位，會使用戶數據面臨重大風險。容器是在云上提供彈性應用程序的新一代基礎設施，基于鏡像而運行，鏡像如果受到威脅，容器就存在被攻陷的可能。在使用容器的過程中，該企業公開可用的容器鏡像數量呈現指數級增長，單月從存儲庫中拉取的鏡像的最高峰值更是達到18,000次，鏡像安全問題引發重視。
解決方案
鏡像安全問題曾一度困擾著該互聯網企業，在評估了市場上的多款云原生安全產品后，他們最終選擇了青藤蜂巢·云原生安全平臺，用于保護其容器安全、鏡像安全，充分發揮其新產品、業務創新的潛力，提升開發運營效率。
【“對我們來說，云原生安全產品的可用性是非常重要的。在前期，我們驗證了配置、安裝等問題是否可行，以及實施環境、技術功能是否準確等，在青藤技術人員的支持下，我們成功進行了驗證，確認能夠滿足我們的要求。”該企業這樣表示?！?/p>
面對當下最棘手的問題，青藤基于實戰經驗，為該互聯網企業首先進行了診斷，提出了“想要保護好鏡像，不僅僅是要保護好鏡像本身的安全，更要確保鏡像在運行過程中不會被篡改，并且確保鏡像倉庫的安全”，發現該企業的容器鏡像存在著三方面的問題：
一是，有些鏡像是過期的，這增加了風險暴露面，很容易被攻擊者利用。
二是，有些鏡像構建不合規，這些鏡像并非惡意鏡像，而是由于錯誤的配置導致的。
三是，有些惡意鏡像隱藏著諸多后門，是危險系數最高的鏡像。
對于這些問題，該互聯網企業通過青藤蜂巢·云原生安全平臺，在鏡像構建時就對鏡像進行掃描，一旦檢測到漏洞、錯誤配置、威脅等相關問題，便會通過蜂巢控制臺向企業的操作管理員進行提示。
【“在集群中啟動新容器時，青藤蜂巢能按計劃，按需進行鏡像掃描，并及時地返回漏洞數據，可以讓我們直觀、完整地看到整個掃描結果，比如依賴項的數量、高危漏洞的數量等。”該企業表示?！?/p>
我們不僅要更早地發現和修復容器漏洞，更要監測生產環境中的應用程序，確保這些程序在部署后也能保持安全。在運行時階段，青藤蜂巢還會自動檢測正在運行的容器，對容器的任何操作執行最低權限的要求，確保鏡像的不變性，杜絕未經授權的鏡像部署、惡意代碼注入、篡改、非法數據泄露以及各類攻擊等安全風險。
【“很多安全產品在部署前可能也會提供容器鏡像掃描能力，但是很少有產品能夠從開發到部署無縫保證安全，青藤蜂巢的漏洞檢測和識別準確性高，鏡像掃描效率高，并能夠掃描生產中運行的容器，支持整個CI/CD管道中的漏洞掃描，完全做到在整個應用程序生命周期中提供容器和云原生應用程序的安全性。”】
此外，青藤蜂巢·云原生安全平臺在提高該企業漏洞修復效率方面也有明顯的效果，相較于傳統掃描工具的流程，該企業過去需要用將近1小時的漏洞掃描已經縮減到6分鐘，效率提升10倍，并且還將會有更大的提高。
【透過該互聯網企業的云原生安全實踐經驗來看，當涉及到鏡像安全保護時，我們要注意這幾個細節的關鍵點：
•在基礎鏡像構建階段即啟動鏡像掃描，使用數字簽名來驗證鏡像的真實性
•優先選擇從最小的基礎鏡像進行構建
•盡早、持續性地檢查鏡像是否存在漏洞問題，創建受信任的基礎鏡像
•已經通過所有安全檢查的基礎鏡像，在創建新鏡像時也需要再次掃描
•在軟件全生命周期的多個節點進行掃描：CI/CD、鏡像倉庫及集群運行時容器等】
重要價值
在經歷了容器化部署和應用青藤蜂巢·云原生安全平臺之后，該企業已經朝著云原生安全的方向邁出了重要一步：憑借貫穿整個應用開發生命周期的安全性，該互聯網企業的容器基礎設施安全保護得到有效保障，實現了降本增效。
了解更多NIST《容器安全指南及解決方案》，可關注公眾號「青藤技術服務」。
