盡管Kubernetes是當今應用程序平臺的標準，但每個云計算服務提供商都有不同的IaaS或PaaS產品，并具有不同的功能和API。這些API不僅不兼容(Kubernetes除外)，而且每個基礎設施和平臺都在孤島中進行處理和管理。這些孤島充當隔離且不重疊的管理邊界，阻止了微服務之間的跨邊界可見性和信任。這使得企業更難以跨云平臺了解并持續修復其安全漏洞，從而使它們容易受到網絡攻擊。
為了解決這個問題，很多企業正在將企業安全控制擴展到云計算環境。問題在于，應用程序團隊和安全團隊傳統上具有相互競爭的目標——敏捷性與風險和控制，并且安全運營的發展速度與應用程序運營不同。這會讓兩個團隊之間產生矛盾，并迫使應用程序運營團隊做出選擇：
(1)減慢應用程序交付和運營速度以降低風險。
(2)在不考慮安全性和合規性的情況下，繼續盡快開發和交付應用程序。
這兩種做法都不是理想的選擇。為了釋放在多平臺和多云環境中運行的現代應用程序的潛力，需要找到一種方法，以用戶期望的速度在整個軟件交付生命周期中無縫集成安全性。
將零信任集成到應用程序交付周期中
在多云世界中保護應用程序的關鍵是零信任。將零信任原則直接構建到現代應用程序中，使企業能夠及早識別威脅、減少攻擊面，并將安全功能與應用程序堆棧的其余部分一起交付，而無論底層應用程序平臺和云堆棧如何。
在這個用例中，零信任的關鍵組件之一是應用程序分段。換句話說，如何在不同應用程序或應用程序組件之間做出訪問決策。零信任必須以通過可擴展模型提高應用程序訪問的靈活性和敏捷性的方式，從任何用戶或應用程序提供對任何應用程序的身份感知、自適應和按需訪問。
應用程序細分必須提供給應用程序運營團隊，以便他們可以將其作為另一個門戶嵌入到應用程序的質量流程中。應用程序運營團隊可以通過實施應用程序分段策略來實現這一點，這些策略可識別通過豐富的動態屬性創建的工作負載。識別的內在/靜態屬性(IP、數字證書、命名空間、標簽等)和外在/動態屬性(用戶行為、工作負載行為、網絡行為等)越多，訪問決策的粒度就越細。
令人難以置信的是，如今的應用程序分段仍然是人工完成的。但是，隨著多個云平臺環境中發生數以百萬計的交易，個人甚至團隊無法為每個工作負載實施人工分配策略。企業需要一種以可擴展、透明、自動的方式提供零信任應用程序分段的方法。
連接和安全平臺
實現這一點的方法是使用現代應用程序連接和安全平臺。通過服務網格，基于屬性的訪問控制模型整合了多個第三方工具，這些工具可以跨應用程序平臺和多云環境提供可見性和安全性。這種單一視圖操作模型使應用程序團隊能夠在多云環境中自動、大規模地無縫、簡單地編排安全服務。
然而，通過微分段進行細粒度策略管理會增加復雜性，這會影響安全性。突然之間，企業可能會發現自己擁有數以千計的策略，這些策略規定了不同的工作負載如何訪問網絡內的實體并與之交互。并且這些策略需要不斷更新和維護，這給應用程序和安全團隊帶來了巨大的麻煩。
在部署工作負載時，將隨工作負載一起創建關聯的策略，并隨工作負載在運營環境中遷移，直到工作負載達到其生命周期結束并退役。隨著應用程序隨著時間的推移運行，它們的特征在于其獨特的行為。這種安全特性允許自動選擇策略并將其直接應用于工作負載。
但是，要使服務網格在多云環境中工作并啟用安全應用程序，它需要遵循零信任原則，既不會增加復雜性，也不會減緩敏捷交付周期。企業應該做到以下這些：
(1)基線信任：現代應用程序連接和安全平臺應該具有原生的可觀察性和自我發現能力，例如能夠自動發現API、編目API和基于OpenAPI標準生成API文檔。現代應用程序連接和安全平臺應該能夠持續對應用程序行為建立基線，并檢測異常應用程序行為。這需要警惕未知和零日攻擊，尤其是敏感數據的泄露。
(2)建立信任：立即定義應用程序不同部分的互連需求至關重要。這種明確的意圖聲明通常由應用程序團隊在作為持續集成(CI)/持續交付(CD)管道的一部分部署應用程序期間通過人工完成。另一種選擇是在應用程序的測試階段自動發現連接意圖，并允許服務網格識別和記錄微服務API之間產生的通信流。這些是應用程序分段策略的??基礎。
(3)加強信任：還必須有一種機制來自動應用適當的應用程序分段策略，以實現應用程序按預期運行所需的通信。在微服務模型中，應用程序的不同部分動態啟動和關閉，以使應用程序能夠按預期運行。管理可訪問性的應用程序分段策略也必須適應這些變化，這一點至關重要。這是通過與應用程序平臺交互以收集工作負載清單的服務網格控制平臺來完成的。
(4)動態調整信任度：隨著應用程序的運行以及客戶端與它們的交互，它們的特征在這種情況下是一種安全行為。觀察這種行為可以通過企業現有的各種分析工具來完成，這些工具檢測進程、容器、網絡和用戶行為以提供安全場景。但是，為了保持信任，需要有一種方法通過服務網格集成這些工具，以創建單一的真相來源。
(5)將信任模型擴展到邊緣：應用程序還與SaaS平臺(例如Salesforce或SAP)以及數據中心之外的其他應用程序進行交互。在理想情況下，服務網格/零信任應用程序分段模型可以與云中的其他安全解決方案集成，例如安全訪問服務邊緣(SASE)、安全Web網關(SWG)、云訪問安全代理(CASB)和其他零信任安全組件。這使跨數據中心、多個云服務提供商、SaaS平臺和web應用程序建立信任的流程實現標準化，確保企業的一致安全性和合規性。
現代應用程序正在通過實現敏捷性和實時決策來改變業務的運作方式，但除非應用程序團隊與安全團隊合作以保護多云環境中的用戶、數據和應用程序，否則它們永遠不會充分發揮其潛力。很明顯，企業需要一個演進的安全模型，應用程序團隊可以使用該模型跨多云、多平臺環境無縫建立信任和協調應用程序的分段。服務網格可以提供建立和持續評估信任所需的可見性和控制。
版權聲明：本文為企業網D1Net編譯，轉載需注明出處為：企業網D1Net，如果不注明出處，企業網D1Net將保留追究其法律責任的權利。
京公網安備 11010502049343號