云端聚能数智未来｜海王捕鱼荣获2020中国云计算云原生杰出企业奖

2020-12-29

12月29日，由B.P商业伙伴主办的“云端聚能数智未来”——2020中国云计算生态峰会在线上举办，海王捕鱼荣获“2020中国云计算云原生杰出企业”奖。

随着企业上云已到中场，云上应用已经逐渐走向成熟，大量云原生应用开始爆发——以Kubernates、容器、微服务、Serverless等为代表云原生技术开始成为新的技术应用趋势。云的革命性意义不在于换一个方式部署业务系统，而在于深度改变应用的开发和部署模式——这是应用爆发带来的深层次需求，掀起新的软件革命。

前些年主流的主机虚拟化并不能完美解决“业务爆炸和老旧技术架构”的矛盾，结合大量企业的实际需求，迫切需要将业务系统从传统单体应用架构向微服务架构转型，这也加速了容器云技术的应用。据云原生产业联盟发布的《云原生发展白皮书（2020）》中指出，到2022年将有75%的全球化企业将在生产中使用云原生的容器化应用。

而未来云原生将广泛应用于大数据和边缘计算场景中，而技术广泛应用的背后，隐藏着新的安全风险，海王捕鱼定位于云原生安全保障服务商，又具备了那些技术实力和产品能力呢？

研究底蕴及攻防之道

海王捕鱼星云实验室早在2018年就与NeuVector进行合作并发布《2018海王捕鱼容器安全技术报告》（以下简称《报告》）。《报告》从容器安全风险入手，分别从软件脆弱性、安全威胁、应用安全威胁等方面，系统的介绍了容器以及容器应用中所面临的安全问题并提出了相应的检测与防护建议，成为国内为数不多的系统性介绍容器技术、风险及解决思路的报告之一。

同时，面对容器技术带来新的技术风险，传统依赖特征库的检测方式已经不能满足容器动态业务变化的需求，需要结合容器安全攻防的角度来分析，模拟攻击者还原攻击线路和方式，才能更好的思考如何进行检测和防御。攻击方面主要依托渗透测试的积累，对容器基础设施环境、运行时容器、容器业务层面进行探测和数据收集，主要通过可利用的端口、漏洞进行进一步的攻击，或者通过更为直接的攻击方式，如拒绝服务等。防御方面主要是针对攻击行为进行检测并利用安全设备进行防护。

通过综合攻防研究，海王捕鱼已经形成了较为完整的容器运行时检测体系，可以针对容器内部包括但不限于各种容器逃逸、反弹shell、敏感文件访问、权限提升、普通漏洞利用、竞态条件漏洞利用及其他未知威胁（异常检测）的检测能力；同时海王捕鱼集合AI机器训练学习+规则建立容器运行检测引擎，将容器攻防的能力转化为产品能力，更好更广泛的提供给广大客户群体。

容器全生命周期安全解决思路

基于市场调研和容器攻防技术的积累，海王捕鱼立足于云原生安全研究，结合攻防安全能力，在新的安全风险背景下，砥砺前行，为客户献出云原生下的安全保障思路即解决容器安全环境风险，需要构建完整的技术体系来覆盖镜像构建-镜像传输/存储-编排-容器运行全生命周期的检测与防护场景。

海王捕鱼采用容器环境中部署安全容器的技术方案，聚焦容器安全的三个维度，基础设施安全、软件供应链安全、运行时安全；通过将安全容器像普通容器一样借助容器编排技术与容器环境无缝的对接部署在相应的运行节点上，安全容器集成检测、监测相关的安全能力并且获取节点的管理权限，同时通过容器管理平台可以有效控制容器的性能消耗，由于其原生于镜像，可以通过容器编排快速的进行扩容和交付。

绿盟容器安全管理系统NCSS-C

绿盟容器安全管理系统（NSFOCUS Cloud Security System-Container，简称NCSS-C）是基于DevSecOps理念，借助容器编排技术，保障容器在构建、部署和运行整个生命周期安全的云原生安全产品。NCSS-C从容器镜像、容器编排环境、容器运行时几个阶段，通过检测、扫描等手段发现风险进行告警。针对漏洞提供修复方案，并通过策略等手段阻断风险镜像启动，为客户提供安全稳定的容器运行环境。

同时与jekins打包工具的对接，将安全检测能力深入到业务应用的开发阶段；并利用容器微隔离技术，即满足容器网络层面依据客户业务容器的访问控制隔离，同时又可以对风险容器进行隔离，避免安全风险的横向泄漏。

NCSS-C核心功能包括容器环境的资源可视化管理、镜像风险管理、容器运行时安全管理、合规性检测和微服务API风险管理等；具有非侵入式快速交付、AI机器学习引擎、安全自适应业务变化、云端威胁情报数据等特性。

资源可视化管理

容器、镜像、主机作为容器环境中核心的资源，需要建立全局的可视化管理，清晰的了解资源的风险、数量、关系的变化。

镜像风险管理

对来自公共仓库和私有镜像仓库的镜像文件进行安全检测，包括历史命令、敏感信息、镜像漏洞、病毒木马等。

容器运行时安全管理

对运行中的容器进行安全监测，发现恶意进程、入侵行为等，保障容器运行时安全稳定。

合规性检测

对容器编排环境进行合规性检测，发现不安全的配置进行识别和加固。

微服务API风险管理

对容器环境中的微服务进行自动发现，并且获取微服务的API信息，分析API发现存在的Web安全风险。