對于許多企業(yè)來說，容器化使得釋放速度更快，比虛擬機更加有效率。與此同時，容器引入了新的部署模式，因此，企業(yè)架構(gòu)師和安全專家需要重新考慮：采取哪些方式來保證應(yīng)用程序的安全性。在RSA安全會議上，安全專家評估安全實施容器化策略該考慮哪些方面。
安全廠商Bromium的首席技術(shù)官Simon Crosby稱，傳統(tǒng)安全工具僅僅能在云中工作。目前，企業(yè)正在關(guān)注于容器的另一個抽象層。
Juniper Networks的安全副總裁和首席技術(shù)官Chris Hoff說，使用網(wǎng)絡(luò)和端點安全，保證了企業(yè)的區(qū)域安全性。同時，也出現(xiàn)了其它問題，比如說，亞馬遜程序員的工作量加大。添加一個完好的帶有審計控件、關(guān)鍵控件和文檔的安全基礎(chǔ)設(shè)施，需要超過幾個小時的時間，來推出應(yīng)用程序以及更新。真正的挑戰(zhàn)是轉(zhuǎn)換，云、DevOps以及目前的容器化意味著除了安全團隊，還需要其它團隊的配合。對大型企業(yè)來說，這是特別困難的。
容器廠商關(guān)注于安全
當企業(yè)試圖更快地實現(xiàn)更新，這種動態(tài)創(chuàng)建了一個新的摩擦層?，F(xiàn)在來說，速度是關(guān)鍵， Docker的SVP Product Scott Johnston說，他能預(yù)見到，金融服務(wù)行業(yè)容器化的速度在飛快增長，他們采用更好的交易算法，從而更有效地滿足客戶的需求。云計算和移動公司也迅速走向微服務(wù)架構(gòu)，從而支持更快的交付速度。
安全性是需要考慮的最重要的因素，能夠防止欺詐和網(wǎng)絡(luò)攻擊。“我們意識到我們不能拋開安全，”Johnston說，“在安全方面，Docker一直以來都投入了大量的資金，為了使運維團隊更加便捷，包括應(yīng)用程序開發(fā)者運行時間的策略，為了使得應(yīng)用程序更加安全。”
Docker正在加大投資，來改善關(guān)閉Linux內(nèi)核的功能，或者允許運維團隊能夠管理安全策略，不需要開發(fā)人員的幫助。同時，在基礎(chǔ)設(shè)施方面，投入了相當大的資金，來創(chuàng)建一條信任鏈，能夠顯示源代碼從哪里來，是誰編制的，以及QA是誰產(chǎn)生的。Johnston提到，“這是發(fā)展團隊和運營團隊雙方共同的責(zé)任”。
微軟還宣布：取得的另一個突破是，容器基礎(chǔ)設(shè)施可以在Azure以及私有云中工作。微軟Azure首席技術(shù)官Mark Russinovich說，目前，正在研究新的安全模型，來保證各種各樣的私人的、公共的以及混合云場景下容器的安全性。Drawbridge是微軟的一個研究項目，用來創(chuàng)建容器，采用很強的隔離邊界，從而來主導(dǎo)不受信任的代碼。此外，當操作系統(tǒng)被破壞時，Havenprototype有助于保護VM或容器。
從網(wǎng)絡(luò)到應(yīng)用安全的轉(zhuǎn)變
當提供的應(yīng)用程序運行數(shù)月或數(shù)周，基于網(wǎng)絡(luò)的安全是很重要的。但是，Docker的Johnston說，隨著微服務(wù)的發(fā)展，事情變得更加動態(tài)。第一批微服務(wù)供應(yīng)在一個單獨的服務(wù)器，但是，隨著部署這些集合的組織跨多個服務(wù)器和數(shù)據(jù)中心，變得越來越復(fù)雜。
軟件定義網(wǎng)絡(luò)(SDN)功能，包括防火墻和路由器，已經(jīng)被開發(fā)，用來支持少數(shù)的虛擬機。但是，目前為止，成千上萬的容器僅存在毫秒。Johnston說，“昨天的安全模型僅僅適用于昨天的容器”。這種新方法需要考慮：如何提供防火墻和應(yīng)用程序負載平衡器。
對組織來說，這可能是一個艱難的轉(zhuǎn)變，建立一個安全模型來保證網(wǎng)絡(luò)安全性。Juniper的Hoff發(fā)現(xiàn)，那些甚至不知道如何拼寫VM的人，如果讓他們來提供關(guān)于如何隔離這種更敏捷基礎(chǔ)設(shè)施的建議，是非常困難的。盡管這是合規(guī)的，但這真的不是關(guān)于安全和政策討論。
微軟的Russinovich說，過去，IT運作團隊會選擇使用什么樣的網(wǎng)絡(luò)和基礎(chǔ)設(shè)施安全工具?，F(xiàn)在，由DevOps來選擇這些工具，并確保這些工具是可用的。傳統(tǒng)模式是：IT負責(zé)網(wǎng)絡(luò)安全，但是，這個模型是很不一樣的。
教安全團隊來編代碼
總的來說，容器化不僅僅是一個技術(shù)的轉(zhuǎn)變。還需要反思的過程和工具。例如，ING銀行采用DevOps，他們要求每個團隊成員都應(yīng)該是一個程序員，新應(yīng)用的周期時間從幾個月減少到幾天。安全團隊將不得不學(xué)習(xí)如何編程。
Docker的Johnston提到，云計算和虛擬化實現(xiàn)技術(shù)已經(jīng)存在了十年，而容器化僅僅才開始了一年?？赡苓€需要一個十年，容器化的安全實踐才能完全迎頭趕上。
京公網(wǎng)安備 11010502049343號