Categories
程式開發

Google發布雲原生安全模型BeyondProd,以實現雲本地安全性


最近發布的Google BeyondProd白皮書,詳細介紹了這個容器化的雲原生安全模型。 Google的模型超越了傳統的基於邊界的安全模型,而是利用代碼來源和服務身份標識作為安全基石。同時,Google還提供了一份可用於實現其安全模型的開源軟件列表。

Google容器安全項目經理(PM)Maya Kaczorowski寫到,“BeyondProd可以確保數十億個容器的安全性,這些容器每週都會部署”。與用於企業安全的Google BeyondCorp模型類似,BeyondProd的核心思想是,組織不應該信任任何實體,無論該實體是在邊界內還是在邊界外,應該遵循“永不信任,始終驗證”的原則。與企業安全相比,雲原生安全考慮了容器的使用,Kaczorowski解釋道:

使用容器的第一個主要區別是調度。我們不能依靠IP地址或主機名來確保安全性,而是需要服務身份標識。

在過去的幾年裡,在“零信任”網絡的名義下,這個理念得到了越來越多的關注。正如獨立網絡安全顧問Michael Brunton-Spall 所說:

“我們不能因為你在網絡上就可以完全信任你”,我認為,事實上,在很多情況下,這可能意味著我們不應該那麼信任你。我看到大多數政府部門的網絡都曾遭到攻擊。 “在網絡上”並不是一個好的信任指標。

在零信任網絡中,保護其外圍網絡仍然至關重要。然而,要將其發展為完全的零信任網絡還需要一些額外的規定。但這絕非易事,因為目前要做到這一點尚缺乏標準的方法,Brunton-Spall補充道:

我們可以從做過這件事的人那裡了解到,“它”需要定制。如果要定制我們自己的,需要吸取前人的經驗,去參加會議,向做過這件事的人學習。

為了填補這一空白,Google的白皮書製定了一系列的基本原則,補充了“服務之間互不信任”的基本理念。其中包括在受信任的機器上運行已知來源的代碼、創建“扼要點”(choke points)來跨服務實施安全策略、定義實施變更的標準方法以及隔離工作負載。最重要的是,

這些控件意味著容器及運行在容器內的微服務可以安全地部署,它們可以彼此通信,並彼此相鄰運行,而不會給單個微服務開發人員帶來底層基礎設施安全性和實現細節的負擔。

這些原則的應用需要組織改變其基礎設施和研發過程,以便儘早地在其產品中構建安全性,同時又不會給單個開發人員帶來安全隱患,從而可以有效地從DevOps過渡到DevSecOps模式

對於感興趣的組織來說,這不是一件簡單的事情,也不是沒有成本的,而且Google多年來一直在構建內部工具,並致力於研發流程。一個很好的起點是,可以利用Google提供的開源軟件和其他工具的列表,包括EnvoyTraffic DirectorKubernetes admission controllers等等。

原文鏈接:

Google Publishes Its BeyondProd Cloud-native Security Model