2020 云原生安全技术报告 i g u th 5 b m o .c 关于绿盟科技 绿盟科技集团股份有限公司 ( 以下简称绿盟科技 ), 成立于 2000 年 4 月 , 总部位于北京。公司于 2014 年 1 月 29 日起在深圳证券交易所创业板 上市 , 证券代码 : 300369。绿盟科技在国内设有 40 多个分支机构 , 为政 府、运营商、金融、能源、互联网以及教育、医疗等行业用户 , 提供全线网 络安全产品、全方位安全解决方案和体系化安全运营服务。公司在美国 硅谷、日本东京、英国伦敦、新加坡设立海外子公司 , 深入开展全球业务 , 打造全球网络安全行业的中国品牌。 中国移动云能力中心 中国移动云能力中心是中国移动通信有限公司的全资子公司，公司 定位为中国移动云设施构建者、云服务提供者、云生态汇聚者。公司以移 动云运营为中心，产品和服务在政务、金融、制造、交通、医疗等行业得 到广泛应用。 u th i g 版权声明 为避免合作伙伴及客户数据泄露，所有数据在进行分析前都已经 过匿名化处理，不会在中间环节出现泄露，任何与客户有关的具体信息， 均不会出现在本报告中。 5 b m o .c 目录 目录 CONTENTS CONTENTS ................................................................................................................. 1 前言 摘要………………………………………………………………………2 1. 云原生安全概述........................................................................................ 2 1.1. 云原生简介................................................................................................................ 3 1.历史漏洞回顾……………………………………………………………4 1.2. 云原生安全简介. ....................................................................................................... 3 1.1漏洞数量逐年显著增长…………………………………………………4 1.2.1. 面向云原生环境的安全..................................................................................... 4 m o .c 1.2.2. 具有云原生特性的安全..................................................................................... 4 1.2.3. 云原生安全：融合的安全................................................................................. 4 1.2漏洞数量逐年显著增长…………………………………………………5 ........................................................................................................................... 5 1.3. 小结 1.2.1漏洞数量逐年显著增长……………………………………………………………8 5 b 2. 安全问题成为影响云原生落地的重要因素............................................... 6 1.2.2漏洞数量逐年显著增长……………………………………………………………9 2.1. 服务暴露.................................................................................................................... 7 2.2. 数据泄露.................................................................................................................... 8 u th 2.3. 恶意挖矿攻击............................................................................................................ 8 2.4. 小结......................................................................................................................... 10 i g 2.漏洞利用情况……………………………………………………………4 3. 云原生面临的安全威胁和风险. .............................................................. 11 2.1典型漏洞攻击事件监测举例……………………………………………4 . ................................................................ 12 3.1. 容器化基础设施的威胁和风险不会更少 3.1.1. 针对容器镜像的软件供应链攻击.................................................................... 12 3.1.2. 容器逃逸......................................................................................................... 13 2.2实际攻击中常用到Nday漏洞……………………………………………5 3.1.3. 资源耗尽型攻击.............................................................................................. 16 3.2. 微服务架构为云原生应用安全带来新的安全风险................................................... 16 3.2.1. 微服务数据泄露.............................................................................................. 17 3.漏洞发展趋势……………………………………………………………4 3.2.2. 微服务间请求伪造.......................................................................................... 17 3.1浏览器漏洞种类复杂多样……………………………………………4 3.2.3. 微服务 Web 应用的风险................................................................................. 17 3.2.4. 微服务业务的风险.......................................................................................... 18 3.3. 管理编排系统面临的安全风险不容小觑. ................................................................ 18 3.2文档类型漏洞是鱼叉攻击的重要载体……………………………………5 3.3.1. Kubernetes 控制权限陷落............................................................................. 18 3.3.2. 针对 Kubernetes 的拒绝服务攻击................................................................. 19 I 云原生安全技术报告（2020） 目录 CONTENTS 3.3.3. 云原生网络安全风险...................................................................................... 19 3.4. 服务网格安全风险................................................................................................... 20 3.4.1. 服务间易受中间人攻击................................................................................... 21 3.4.2. 服务间易受越权攻击...................................................................................... 21 3.5 Serverless 面临的威胁. ........................................................................................... 21 3.5.1. 针对应用程序代码的注入攻击. ...................................................................... 22 3.5.2. 针对应用程序依赖库漏洞