10、云原生应用安全与应用安全文化建设

云原生应用安全与应用安全文化建设

1. 云原生应用安全概述

云原生应用开发涉及诸多安全考量。云原生开发与传统应用开发存在显著差异，云原生应用采用微服务架构和容器技术，具有高度分布式和动态性的特点，这带来了一系列新的安全问题，如容器漏洞、API 漏洞和数据泄露等。

1.1 安全威胁与攻击

在云原生应用开发过程中，会面临各种安全威胁和攻击。为了将安全融入开发过程，需遵循一些最佳实践。例如，关注 OWASP 云原生十大安全风险，不仅要注重左移安全（Shift - Left），还要融入开发优先安全（Dev - First Security）理念。

1.2 安全与开发的权衡

在开发过程中，存在安全与开发的权衡问题。将补充安全组件纳入开发过程有诸多好处，同时，OWASP 应用安全验证标准（OWASP ASVS）可作为评估云原生应用安全态势的工具。

1.3 密钥管理

密钥管理在云原生环境中至关重要。虽然 Kubernetes 提供了原生的密钥管理解决方案，但组织仍可能选择使用 HashiCorp Vault 等第三方工具。以 HashiCorp Vault 为例，可在 Kubernetes 中实现密钥管理。

2. 构建应用安全（AppSec）文化

构建安全的应用程序不仅仅是修复代码中的漏洞，而是需要一种系统的方法，将安全融入开发生命周期的每一个阶段。一个有效的 AppSec 程序对于保护组织的数据、客户和声誉至关重要。

2.1 技术要求

• Kubernetes v1.27
• 软件开发