云原生安全技术实践指南

云原生技术在为企业带来快速交付与迭代数字业务应用的优势之外，也带来了新的安全要求与挑战。本书面向云原生安全攻防实战，从产业变革到新场景应用，深入浅出地分析了云原生安全的风险，并根据各类攻击场景有针对性地设计了新一代云原生安全防护体系。

本书共分六个部分14章，前三部分介绍云原生安全行业的发展趋势和产业变革，对云原生安全技术和风险进行了详细分析；第四部分介绍云原生的攻击矩阵及高频攻击技术案例；第五部分讲解如何构建新一代的原生安全防御体系，并对重点行业实践进行了深入剖析；第六部分简要分析5G、边缘计算等新兴场景下的云原生安全新思考。本书适用于网络安全从业者和学习者，以及从事云原生行业的开发、运维和安全人员阅读。

张 福

青藤云安全创始人&CEO，毕业于同济大学，专注于前沿技术研究，在安全攻防领域有超过15年的探索和实践经验，曾先后在国内多家知名互联网企业，如第九城市、盛大网络、昆仑万维，担任技术和业务安全负责人。拥有10余项自主知识产权发明专利、30余项软件著作权。荣获“改革开放40年网络安全领军人物”“中关村高端领军人才”“中关村创业之星”等称号。

胡 俊

毕业于华中科技大学，是国内知名安全专家，中国信息通信研究院可信云专家组成员，入选武汉东湖高新技术开发区第十一批“3551光谷人才计划”，曾在百纳信息主导了多款应用及海豚浏览器云服务的开发。青藤云安全创立后，主导开发“青藤万相99主机自适应安全平台”“青藤蜂巢99云原生安全平台”等产品，获得发明专利10余项，发表多篇中文核心期刊论文。

程 度

毕业于首都师范大学，擅长网络攻防安全技术研究和大数据算法研究，在云计算安全、机器学习领域有很高的学术造诣，参与过多项云安全标准制定和审核工作，现兼任《信息安全研究》《信息网络安全》编委，曾发表多篇中文核心期刊论文，荣获“OSCAR尖峰开源技术杰出贡献奖”。

杨 更

毕业于清华大学和南加州大学（USC），二十年职业生涯始终专注于信息安全领域。2013年从西雅图回国，历任亚马逊中国、美团、小米首席安全官，全面负责产品安全、数据安全、企业安全、用户隐私、风险控制等安全相关业务领域，任职期间极大提升了企业的安全能力。

龙华桥

毕业于武汉大学，曾先后就职于多家知名企业，如盛大、爱立信等，主要从事安全技术研发及管理工作。2014年作为联合创始人加入青藤云安全，领导青藤攻防团队参与到攻防实战中去，对企业安全需求和安全技术有着丰富的实战经验和独到的专业见解。

全方位解析云原生安全风险

云原生攻击矩阵与实战案例分享

新一代云原生安全防御体系建设

新兴场景下的云原生安全新思考

推荐序

数字经济加速发展，推动企业数字化转型加快步伐。云计算作为数字化转型的基石和重要驱动力，得到了越来越多企业的认同和选择。企业对上云的重要性和紧迫性的认知日趋深化，将云计算作为其主要业务支撑技术之一，可实现高效率、低成本的运营目标。

在国家政策的推动和行业需求的牵引下，企业上云的广度和深度有了很大提升，云服务对实体经济发展的覆盖面不断拓展，业务渗透性也不断增强。云计算是数字基础设施建设的核心技术，基础设施即服务（IaaS）在我国发展相对较早也较快，其市场份额占比较大，发展相对成熟。

目前，云计算面临传统的虚拟化平台只能提供基本的运行资源，云端强大的服务能力并未完全得到释放，以及传统云上应用升级缓慢、架构臃肿、无法快速迭代等问题，企业迫切需要可支撑业务快速部署、灵活迁移、弹性扩展的技术架构。云原生理念的出现很大程度上解决了这个问题。

云原生是当代云计算发展和企业数字化转型的重要成果，不仅包括构建和运行应用程序的方法，而且提供了一套技术体系和方法论。简单来说就是，云上应用不是简单将基于传统数据中心的应用迁移到云上就可以的，而是专门针对云环境而设计开发的，它能够充分利用和发挥云平台的弹性、可扩展等优势。云原生包括容器、微服务、Devops等技术，支持公有云、私有云、混合云等各种环境，具备端到端、基于策略控制和工作负载可移植等能力。

云原生带来巨大价值的同时，也带来诸多新型安全挑战，如镜像攻击、供应链攻击、编排风险和API风险等，其安全性也是企业数字化转型成功的关键因素。当前，我国云原生正处于高速发展阶段，但企业普遍存在对云原生安全理解不足，对开发流程理解不够深入全面等问题，严重影响了云原生的落地和发展。

《云原生安全技术实践指南》深入浅出地介绍了云原生的关键概念和安全风险，系统阐述了新一代云原生安全防御体系，并分析了5G、边缘计算等新兴场景下的云原生安全实践。这本书非常适合从事云原生应用开发、运维和安全的人员阅读，有助于护航云原生的高速发展，非常值得一读。

——杨建军 中国电子技术标准化研究院党委书记、副院长

序

十多年来，云计算的快速发展，推动了算力成本大幅下降，加快了企业数字化转型的进程。云计算正逐渐成为如水电煤一样的IT基础设施。云原生也因为其易部署、弹性扩展、移植性强等优势，被视作云计算发展的未来趋势，越来越多的企业开始在核心业务中进行云原生化的应用部署。

云原生，实际上是Cloud（云）和Native（原生）的组合，它充分发挥和利用云平台的弹性与分布式优势，以最佳姿势运行。今天，企业云原生化转型已经不再局限于小部分创新型企业，越来越多不同规模、不同类型的企业机构都通过云原生架构，重塑他们的未来，以期在快速变化的行业中保持领先并满足客户日益增长的需求。云原生不仅为传统业务的转型带来极大的便利，提升了生产效率，同时也适应了5G、IoT等边缘计算新场景，引领了IT基础设施的变迁。

然而，云原生技术除了为企业带来了快速交付与迭代数字业务应用的优势, 也带来了新的安全要求与挑战。一方面，容器、编排工具、DevOps、微服务等新技术的引入带来了新的安全问题，如镜像的供应链问题、容器的逃逸问题、集群中的横向移动问题、微服务的边界问题等，需要引入新的安全防护手段；另一方面，云原生持续开发/集成的开发模式的转变，使传统安全技术无法适配新的开发节奏和安全要求。安全职责划分需要重新考虑，同时，责任主体从开发、运维、安全的各司其职，转变成责任共担，并通过组织流程协同起来。

当前，整个行业对云原生安全的认识仍然存在较大的差距。云原生是一个快速发展的技术和体系，这就造成开发人员和运维人员对于云原生攻防的理解不足，而传统安全人员对于云原生技术和流程的理解也不到位，这也是我们编写本书的初衷——我们希望对5年来在云原生安全领域的相关实践经验和技术积累做一个总结，同时能够给相关的建设方和防守方一些指导和帮助。

本书是一套完整的云原生安全技术实践指南，对容器、微服务、不可变基础设施、声明式API及Severless等技术和风险进行了深入分析与模型建立，同时从攻击方和防守方角度讲述完整的攻击方法和真实案例。此外，对于当前发展火热的5G和边缘计算场景，书中也给出了相关的云原生安全指导建议。

当然，云原生还是一个快速迭代更新的技术，拥有巨大的市场空间，安全作为其基础属性也一直处于不断的发展当中。我们编写本书也是希望抛砖引玉供大家讨论，共同为推动云原生安全产业发展作出贡献。希望本书能够为各位读者了解和认识云原生安全的技术体系和实践，提供帮助和启发。

最后，感谢一路走来支持青藤的客户，是你们的信任让青藤积累了丰富的安全实践经验，同时也感谢青藤的小伙伴们，是你们用一行行代码书写着对未来的憧憬，也祝愿云原生安全产业在未来能够更加稳定、快速、繁荣地发展。

——胡俊

青藤合伙人&产品副总裁

前言

近年来，我国在“新基建”领域加速布局，并大力推动数字经济的发展。这当中，企业数字化转型是我国推动经济社会发展的重要战略手段，而云计算成为企业进行数字化转型的基石和枢纽。随着万千企业的发展提速换挡，市场对云计算的使用效能提出了新的需求。云原生以其独特的技术特点，很好地契合了云计算发展的本质需求，正在成为驱动云计算质变的技术内核。

云原生的概念最早出现于2013年，由来自Pivotal的Matt Stine提出。概念中包括容器、微服务、DevOps、持续交付、敏捷基础设施等众多组成部分。云原生真正解决的问题是企业级云应用，它在架构设计、开发方式、部署维护等各个阶段和方面都基于云的特点进行重新设计。拥抱云原生应用程序意味着要改变思考、开发和部署应用程序的模式，这种转变不仅是技术应用或观点上的升级转变，更是关乎整个体系流程、开发模式、应用架构、运行平台等方面的升级转变。

伴随这一切的变化而来的是新的安全问题和安全挑战，当传统安全防护手段已然无法解决容器中的安全问题时，云原生安全成为我们不得不关注的重点话题。从某种角度上看，研发和运维人员更关注业务的运营效率，对于安全人员来讲，安全是一切运行的基础和前提，这就需要在两者间寻求一种平衡。DevSecOps更关注安全左移、运行时安全，将安全和运维有机地融合在一起，成为解决以上问题的极佳方式。

兵无常势，水无常形。能因敌变化而取胜者，谓之神。云原生安全的攻防之道，亦是如此。云原生技术本就在快速发展中，在不断变化的漏洞、木马、病毒等的攻击下，企业不仅要做到快速检测识别，还要迅速地做出响应和处理，这样才能更好地保障业务的运行安全和稳定。

本书共分为六部分，由浅入深地阐述了云原生安全的技术实践。其中，前三部分主要介绍了云原生背景下安全行业的发展趋势和产业变革，同时对云原生安全环境的技术和风险进行了详细的分析。第四部分攻击篇，重点介绍了云原生的攻击矩阵和高频攻击的技术案例，例如针对容器和Kubernetes的ATT&CK攻击矩阵都做了详细而全面的介绍。第五部分防御篇，主要讲解如何构建新一代的云原生安全防御体系，并基于金融、运营商和互联网三个重点行业实践进行了深入的剖析。第六部分进化篇，简要介绍了对5G及边缘计算下的云原生安全的新思考。

随着容器、Kubernetes、Serverless等云原生技术在云原生应用程序开发中变得越来越流行，容器安全、镜像安全、ATT&CK攻击矩阵、入侵检测等技术也将持续更新迭代。因此，我们需要对云原生安全的技术实践有更深入系统的了解，这样才能在不断的技术变化中找到最佳的实践路径。

最后，本书内容难免会有纰漏和不足之处，欢迎各位批评指正，与我们一同加入云原生安全的探索与实践中来，共同为数字经济的发展保驾护航。

第1部分 趋势篇 云原生时代的产业变革与安全重构
第1章 云原生的发展促进了产业变革 2
1．1 云原生相关概念 2
1．2 企业正加速向云原生发展 5
1．3 云原生给组织带来的变化 7
1．3．1 体系流程的变化 7
1．3．2 开发模式的变化 8
1．3．3 应用架构的变化 11
1．3．4 运行平台的变化 15
第2章 云原生时代安全需要重构 16
2．1 组织重构 17
2．2 技术重构 20
第2部分 概念篇 云原生场景中关键概念解析
第3章 容器安全技术概念 28
3．1 容器与镜像基础概念 28
3．1．1 容器基础概念 28
3．1．2 镜像基础概念 29
3．2 容器与镜像安全原则 30
3．2．1 容器安全原则 30
3．2．2 镜像安全原则 31
3．3 容器隔离限制技术 32
3．3．1 容器两大限制技术 32
3．3．2 容器五大隔离技术 33
3．4 镜像安全控制技术 37
第4章 编排工具安全技术概念 41
4．1 Kubernetes基础概念 41
4．1．1 Kubernetes功能 42
4．1．2 Kubernetes架构 42
4．1．3 Kubernetes对象 45
4．2 Kubernetes安全原则 46
4．2．1 Kubernetes主体最小权限 46
4．2．2 Kubernetes工作负载最小权限 50
4．3 Kubernetes安全控制技术 54
4．3．1 Kubernetes认证 55
4．3．2 Kubernetes授权 61
4．3．3 准入控制器 65
第5章 应用安全技术概念 69
5．1 微服务安全 69
5．1．1 微服务安全框架 70
5．1．2 微服务实例说明 73
5．2 API安全 74
5．2．1 API基础概念 75
5．2．2 API常见类型 76
5．2．3 API安全方案 78
5．3 Serverless安全 82
5．3．1 Serverless基础概念 82
5．3．2 Serverless架构及实例 84
5．3．3 Serverless安全控制技术 86
第3部分 风险篇 云原生安全的风险分析
第6章 容器风险分析 90
6．1 容器威胁建模 90
6．2 容器加固 93
6．2．1 镜像风险 94
6．2．2 镜像仓库风险 96
6．2．3 容器风险 98
6．2．4 主机操作系统风险 100
第7章 编排风险分析 102
7．1 Kubernetes威胁建模 102
7．2 安全加固 104
7．2．1 Pod安全 104
7．2．2 网络隔离与加固 106
7．2．3 认证与授权 108
7．2．4 日志审计与威胁检测 109
第8章 应用风险分析 113
8．1 微服务风险分析 113
8．1．1 Spring Cloud安全分析 114
8．1．2 Istio安全分析 118
8．2 API风险分析 122
8．3 Serverless风险分析 128
第4部分 攻击篇 云原生攻击矩阵与实战案例
第9章 针对云原生的ATT＆CK攻击矩阵 134
9．1 针对容器的ATT＆CK攻击矩阵 134
9．2 针对Kubernetes的ATT＆CK攻击矩阵 138
第10章 云原生高频攻击战术的攻击案例 146
10．1 容器逃逸攻击案例 146
10．1．1 容器运行时逃逸漏洞 147
10．1．2 Linux内核漏洞 149
10．1．3 挂载宿主机Procfs文件系统的利用 153
10．1．4 SYS_PTRACE权限利用 156
10．2 镜像攻击案例 157
10．2．1 通过运行恶意镜像实现初始化访问 157
10．2．2 创建后门镜像 159
10．3 Kubernetes攻击案例 162
10．3．1 通过API Server实现初始访问 162
10．3．2 在容器中实现恶意执行 165
10．3．3 创建特权容器实现持久化 170
10．3．4 清理Kubernetes日志绕过防御 172
10．3．5 窃取Kubernetes secret 173
第5部分 防御篇 新一代云原生安全防御体系
第11章 云原生安全防御原则与框架 178
11．1 云原生安全四大原则 178
11．1．1 零信任 178
11．1．2 左移 180
11．1．3 持续监控＆响应 181
11．1．4 工作负载可观测 182
11．2 新一代云原生安全框架 183
第12章 基于行业的云原生安全防御实践 185
12．1 通信行业云原生安全防御实践 185
12．2 金融行业云原生安全防御实践 188
12．3 互联网行业云原生安全防御实践 191
第6部分 进化篇 新兴场景下的云原生安全新思考
第13章 5G场景下的容器安全 196
13．1 检测5G云横向移动 197
13．2 网络资源隔离 200
第14章 边缘计算场景下的容器安全 203
14．1 容器与边缘计算 204
14．1．1 边缘计算工作原理 204
14．1．2 边缘计算与云计算的区别 205
14．1．3 边缘计算对隐私和安全的重要性 206
14．2 将Kubernetes工作负载带到边缘 207
14．2．1 在Kubernetes中管理边缘工作负载 207
14．2．2 边缘容器 208
14．2．3 WebAssembly和Wasi 209
14．3 边缘计算环境下的容器数据安全 211