DevSecOps状态报告：云的复杂性造成安全缺口

recco 数世咨询

代码安全公司Accurics近期发布的调查报告显示，基于云计算的IT系统已经变得非常复杂，从虚机到容器再到微服务和应用，每一层都意味着新的安全风险。只有4%的产品问题才能得到有效解决，IT的复杂性正在形成新的安全缺口。

“问题的关键在于云原生堆栈变得越来越复杂，单点的云安全解决方案已不够用，安全缺口开始出现。”

根据调查，已有84%的机构使用容器，41%的机构使用无服务器。出于可预测、自动化恢复以及完整性等优点，云基础设施正在走向“不可变”基础设施，一旦部署之后从不改变。如果想要改变，不得不从代码开始，但安全问题往往由此产生。大约三分之二的机构，由于“极恶劣的错误”导致云存储服务的暴露，而这些错误本可以通过应用最佳实践很容易的避免。

在一起典型的安全事件中，一款名为Kinsing的恶意软件就是利用了一个简单的API端口配置错误，让黑客入侵了容器集群。调查还显示，在云部署时，90%的安全基线被改动是由于特权用户在做出改变时，即发生云资源的配置飘移时，没有更新那些被定义为“单一信息源”的代码。

上图中可以看出，实例、应用负载、安全组和云存储服务是最常见的云资源配置飘移。

关键发现：

横跨整个云原生堆栈的配置错误不断增加攻击面并被攻击者所利用
通过代码提供和管理云基础设施的重大转变正在发生，为机构提供了一个把安全更早的嵌入DevOps生命周期的机会
由于缺乏全面保护的安全工具，“基础设施即代码”没有得到足够的保护
特权用户对云基础设施的直接改变，造成了通过代码建立的安全基线的配置飘移

最佳实践推荐：

通过无服务器、容器、平台和基础设施，保护整个云原生基础设施
安全要贯穿整个DevOps生命周期，从代码（基础设施配置之前）到云（基础设施配置之后）
通过引入代码定义的基线风险配合云基础设施的变化，以消除配置飘移带来的风险

报告下载地址：https://bit.ly/2X8YCP6（点击阅读原文可直接下载报告）