云原生技術(shù)以其高效穩(wěn)定、快速響應(yīng)的特點驅(qū)動引領(lǐng)企業(yè)的業(yè)務(wù)發(fā)展，成為企業(yè)數(shù)字業(yè)務(wù)應(yīng)用創(chuàng)新的原動力。近幾年，以容器、微服務(wù)、DevOps、持續(xù)交付為代表的云原生技術(shù)正在被廣泛采納，已經(jīng)有超過43%的國內(nèi)用戶選擇在生產(chǎn)環(huán)境中使用云原生技術(shù)（2020年）。然而，云原生的特有屬性也帶來了容器架構(gòu)防護(hù)、訪問控制、供應(yīng)鏈、研發(fā)運(yùn)營等領(lǐng)域全新的安全隱患和安全防護(hù)需求，包括服務(wù)實例應(yīng)用周期變短增加監(jiān)控和溯源難度、組件爆發(fā)式增長對應(yīng)用防護(hù)能力提出更高要求、容器共享操作系統(tǒng)進(jìn)程級隔離環(huán)境導(dǎo)致逃逸風(fēng)險增加、獨(dú)立研發(fā)運(yùn)營對軟件流轉(zhuǎn)的全鏈條安全帶來挑戰(zhàn)等。為此，麒麟軟件攜手探真科技，推出云原生安全聯(lián)合解決方案，幫助企業(yè)打造更安全的云原生環(huán)境，助力企業(yè)數(shù)字業(yè)務(wù)發(fā)展。
方案依托銀河麒麟高級服務(wù)器操作系統(tǒng)V10版本自主創(chuàng)新、內(nèi)生安全的特性，為已經(jīng)在銀河麒麟高級服務(wù)器操作系統(tǒng)V10版中部署開源容器平臺，或已部署容器運(yùn)維平臺的企業(yè)提供全面的容器安全防護(hù)能力。通過與構(gòu)建系統(tǒng)和鏡像倉庫集成，方案提供完整的鏡像掃描能力，同時配合可信鏡像、基礎(chǔ)鏡像體系及鏡像阻斷能力，實現(xiàn)容器鏡像全生命周期安全防護(hù)。在容器鏡像上線后的運(yùn)行階段，針對已知威脅提供運(yùn)行時安全檢測、主動防御（云原生蜜罐）機(jī)制，針對未知威脅提供容器偏移檢測及免疫防御能力。輔以人工智能技術(shù)和基于系統(tǒng)調(diào)用、網(wǎng)絡(luò)通信等方式智能聚合的事件分析技術(shù)，方案能夠大幅降低安全事件的數(shù)量，提高容器安全運(yùn)維人員的工作效率，將更多的時間、精力聚焦在聚合后的安全事件上，協(xié)助用戶對安全事件進(jìn)行分析、回溯，幫助企業(yè)保護(hù)云原生環(huán)境，提高業(yè)務(wù)的連續(xù)性、可靠性。
方案優(yōu)勢
??搭載銀河麒麟高級服務(wù)器操作系統(tǒng)V10，適配自主創(chuàng)新軟硬件產(chǎn)品，與操作系統(tǒng)內(nèi)核緊密集成，實時檢測容器內(nèi)各種安全威脅，具備高安全性、高可用性、高靈活性、高可維護(hù)性等特點。
??具備大并發(fā)、分布式鏡像掃描能力，快速、高效的掃描企業(yè)容器環(huán)境中全部鏡像文件。
??堅持技術(shù)創(chuàng)新，獨(dú)創(chuàng)的自學(xué)習(xí)免疫防御、偏移防御、云原生蜜罐(主動防御)、基于鏡像簽名的可信鏡像體系。
??全開放 OpenAPI，支持容器伸縮策略，能夠方便的與企業(yè)內(nèi)部流程平臺、運(yùn)維平臺集成，用戶無需單獨(dú)登錄探真云原生安全平臺即可完成安全策略下發(fā)。
方案成果
通過前期的功能測試以及在實際容器環(huán)境場景中的各項功能檢測，云原生安全聯(lián)合解決方案在銀河麒麟高級服務(wù)器操作系統(tǒng) V10中已經(jīng)實現(xiàn) 100%功能遷移，其中鏡像安全掃描支持大并發(fā)及分布式掃描，在客戶環(huán)境中對數(shù)萬容器鏡像進(jìn)行鏡像掃描測試時，平均掃描速度為4秒每鏡像，掃描速度、效率業(yè)內(nèi)領(lǐng)先?？尚喷R像安全分發(fā)功能并非傳統(tǒng)基于整個鏡像倉庫的信任機(jī)制，快速、高效的為每個容器鏡像進(jìn)行獨(dú)立簽名(每鏡像簽名延時小于1秒)，杜絕了黑客入侵或管理員違規(guī)操作將惡意鏡像直接傳入“可信鏡像倉庫”的尷尬局面，確保容器鏡像在復(fù)制、傳輸過程中不被篡改。
目前已有最大客戶案例中，已將30000 個容器服務(wù)器節(jié)點納入管理。方案可實現(xiàn)基于銀河麒麟高級服務(wù)器操作系統(tǒng)V10版的穩(wěn)定常態(tài)化應(yīng)用，助力銀河麒麟高級服務(wù)器操作系統(tǒng)V10版在各行業(yè)中提供穩(wěn)定、可靠的容器服務(wù)支撐。
技術(shù)路線
以銀河麒麟高級服務(wù)器操作系統(tǒng)V10為支點，具備最優(yōu)化的系統(tǒng)運(yùn)行環(huán)境，提供更高的安全性。
??硬件：主流芯片架構(gòu)服務(wù)器
??操作系統(tǒng)：銀河麒麟高級服務(wù)器操作系統(tǒng) V10
??基礎(chǔ)軟件：國產(chǎn)容器運(yùn)維平臺、Docker、Kubernetes等
??產(chǎn)品軟件：探真領(lǐng)航云原生安全解決方案、探真云原生憑證管理解決方案
方案應(yīng)用場景
容器安全場景
針對容器安全場景，解決方案服務(wù)于以銀河麒麟高級服務(wù)器操作系統(tǒng)為基礎(chǔ)的容器PaaS平臺，融合操作系統(tǒng)基座與云原生產(chǎn)品特性，覆蓋容器全生命周期，內(nèi)生安全，實現(xiàn)安全閉環(huán)。
??運(yùn)行基礎(chǔ)
開發(fā)環(huán)境搭建：基于銀河麒麟高級服務(wù)器操作系統(tǒng)V10版本構(gòu)建容器化開發(fā)環(huán)境，支持容器集群化管理，適配主流芯片架構(gòu)產(chǎn)品，改進(jìn)容器產(chǎn)品與國產(chǎn)化CPU平臺內(nèi)部通信技術(shù)，提升容器執(zhí)行效率和響應(yīng)速度。
??安全左移?
容器上線前：能夠與構(gòu)建系統(tǒng)和鏡像倉庫集成，提供完整的鏡像掃描能力，同時配合可信鏡像安全分發(fā)(每個鏡像獨(dú)立簽名)、基礎(chǔ)鏡像體系及鏡像阻斷能力，實現(xiàn)容器鏡像全生命周期安全防護(hù)。
??運(yùn)行時安全
容器上線后：在容器鏡像上線后的運(yùn)行階段，針對已知威脅提供運(yùn)行時安全檢測、主動防御（云原生蜜罐）機(jī)制，針對未知威脅提供探真專利的容器偏移檢測及免疫防御能力。
??容器網(wǎng)絡(luò)安全?
網(wǎng)絡(luò)隔離與控制：提供靈活的容器網(wǎng)絡(luò)隔離策略，支持基于資源(POD)、資源組、命名空間、宿主機(jī)等隔離方式，同時支持多租戶。在配置策略時，探真創(chuàng)新的提供了可視化策略輔助工具，進(jìn)一步降低管理員在配置隔離策略時的出錯可能性。??
??分析與處置?
威脅溯源及分析：加入人工智能算法，基于系統(tǒng)調(diào)用、網(wǎng)絡(luò)通信等方式智能聚合的事件分析技術(shù)，實現(xiàn)云原生環(huán)境下的容器安全風(fēng)險管理閉環(huán)。
憑證管理場景
對于用戶在開發(fā)和運(yùn)維階段在企業(yè)憑證管理的需求，解決方案同時適用于傳統(tǒng)數(shù)據(jù)中心環(huán)境及云原生環(huán)境部署，全面解決企業(yè)憑證管理問題：
??科技自主創(chuàng)新：基于銀河麒麟高級服務(wù)器操作系統(tǒng)和探真云原生憑證管理產(chǎn)品，適配主流國產(chǎn)化軟硬件產(chǎn)品，科技自主創(chuàng)新。
??防范憑證泄露：方案可內(nèi)嵌在企業(yè)程序代碼、腳本應(yīng)用中，為其融入憑證管理能力，規(guī)避了由于人員疏忽造成在同步程序代碼或分發(fā)應(yīng)用代碼時登錄憑證泄露的可能性。
??解決授權(quán)混亂：幫助用戶回收管理到期授權(quán)憑證，防止內(nèi)部憑證泄露，杜絕被遺忘應(yīng)用和腳本被黑客竊取憑證的可能性。
??統(tǒng)一接入：提供全功能API集成，在企業(yè)IT管理流程、運(yùn)維流程中融入憑證管理能力，簡化管理、提高效率。
??統(tǒng)一管理、統(tǒng)一審計：支持多數(shù)據(jù)中心、多云等復(fù)雜環(huán)境，解決云服務(wù)商密鑰管理系統(tǒng)(KMS)無法管理企業(yè)本地數(shù)據(jù)中心、多云環(huán)境中業(yè)務(wù)憑證的尷尬局面，并提供全面的憑證使用審計信息。
麒麟軟件致力于打造中國操作系統(tǒng)核心力量，在推動國產(chǎn)生態(tài)發(fā)展上，始終堅持合作共贏，伙伴共生，與產(chǎn)業(yè)鏈上下游伙伴協(xié)同發(fā)展，形成了自己的“方法論”。目前，麒麟軟件還牽頭各家合作廠商打造以技術(shù)自主、穩(wěn)定可靠、內(nèi)生安全的銀河麒麟高級服務(wù)器操作系統(tǒng)V10版為基石，面向容器架構(gòu)的全生命周期解決方案，實現(xiàn)容器鏡像威脅掃描，安全合規(guī)檢查，運(yùn)行時入侵防御，資產(chǎn)風(fēng)險自動發(fā)現(xiàn)與智能事件分析、容器偏移檢測、容器免疫防護(hù)、智能微隔離等功能。幫助企業(yè)快速安全擁抱云原生，打造云原生安全閉環(huán)。同時，方案還能夠解決企業(yè)中常見的登錄憑證(用戶、密碼、密鑰、證書等）內(nèi)嵌在程序代碼、環(huán)境變量、配置文件等問題。針對登錄憑證分散存儲在各應(yīng)用組件及云服務(wù)商秘鑰管理中心造成管理混亂、難以審計、授權(quán)繁瑣、憑證易泄露等難題，提供簡單、易用的憑證統(tǒng)一管理平臺。
伙伴簡介
北京探真科技有限公司成立于2020年7月，專注于提供全棧內(nèi)生的云原生安全解決方案，在云場景威脅日益復(fù)雜的環(huán)境下，讓企業(yè)充分釋放云原生優(yōu)勢，實現(xiàn)云上資產(chǎn)、應(yīng)用、數(shù)據(jù)全生命周期安全，護(hù)航企業(yè)數(shù)字化轉(zhuǎn)型。憑借自身過硬的安全技術(shù)實力、創(chuàng)新的技術(shù)理念以及豐富的實踐經(jīng)驗，解決方案入選《2021年網(wǎng)絡(luò)安全產(chǎn)融創(chuàng)新發(fā)展報告》典型案例，先后獲得2021安全創(chuàng)客匯總決賽全國總冠軍、第六屆“創(chuàng)客中國”網(wǎng)絡(luò)安全賽道一等獎、廠商數(shù)字化轉(zhuǎn)型優(yōu)秀解決方案、CSA 2021年安全創(chuàng)新獎、CSDN 2021年度創(chuàng)新解決方案等多項大獎。
來? ? 源 | 產(chǎn)品與生態(tài)中心
審? ? 核 | 市場與政府事務(wù)部
