九游老哥云
云清静生长的五个洞见
2020-03-09
RSAC 2020准期在旧金山举行，此次由于疫情影响多家海内厂商未能成行，但海心田系工业生长的各家厂商照旧时时关注着RSA大会的相关动态 。九游老哥科技专家团照旧在获得RSA资料后第一时间举行研究及剖析 。凭证RSA2020大会时代的云清静岑岭论坛（CSA Summit）、云清静和虚拟化（Cloud Security & Virtualization）、DevSecOps和应用清静（DevSecOps & Application Security）这几部分主题内容，与君共享以下几个看法，详见下文 。
看法1 ：云盘算成为互联一切的基础设施，云清静也成为了纯清静问题
RSA聚会首日上午的CSA岑岭论坛[1]、下昼的立异沙盒竞赛，越日上午的Keynote展会已经成为RSA近几年的标配，也是每年的三大看点 。CSA岑岭论坛作为“首发阵容”中的“首发队员”，其影响力可见一斑 。并且很有意思的是，每年CSA的影响力越来越大，种种标准、事情组和培训，应该都让它挣得钵满盆满，笼罩规模也从最初的云盘算清静扩展到物联网清静、软件界说界线等交织领域 �？杉�，云盘算已经成为互联一切的基础设施，云清静同盟的触角已然不知足狭义的公有云和私有云盘算清静领域了 。
可以说，CSA和清静厂商已经成为了相助同伴关系，在配合的研究点和产品偏向上互为背书，互为推广 。例如，2019年的岑岭论坛上几家做SDWAN清静的厂商在大谈软件界说界线，也为其在2013年提出的SDP云洗濯捧场 。今年OneTrust公司的VP Kevin Kiley在讲供应链清静就是对供应链中的第三方厂商举行清静评估，也就是Gartner近两年提出的IRM（Integrated Risk Management）中的VRM（Vendor Risk Management） 。
为什么OneTrust会在云清静的会场谈这个话题呢？由于云盘算领域有一个很大的挑战是，用户对云服务商的信托，CSA在前几年提出了Consensus Assessments Initiative (CAI)[2]，即对用户让云服务商就Cloud Controls Matrix (CCM)标准填写评估，从而获得第三方云基础设施的可靠度 。显然OneTrust的计划也是契合该偏向的 �？梢运翟魄寰餐嗽谏桃翟俗魃虾苁抢殖�，通过与厂商的相助和客户的培训，形成了云清静领域很好的生态系统，配合推进云盘算清静的生长 。
另一方面，云盘算既然成为了普适的基础设施，提供了盘算、存储、网络、函数等服务，那么客户就会将云盘算作为一种内生资源，嵌入在他的基础设施中，最终形成统一的IT架构 。近两年，多云（Multi-Cloud）、混淆云（Hybrid Cloud）、SDWAN就较量热，在这样的IT情形中提供清静产品、清静服务，就一定要让前几年的云清静产品或计划融入古板情形，提供统一的功效 �？梢栽ぜ�，在未来几年，清静厂商的清静计划不会再显示带有“云清静”的定语，由于这就是默认选项，即云清静已经成为纯清静问题 。
一个发明是今年CSA岑岭论坛的话题已笼罩了网络检测响应（NDR）、供应链清静、数据泄露响应、CISO视角等各清静细分领域的话题，但上午的议程问题中都没有泛起Cloud一词 。虽然细看内容，着实云清静的理念已经融入其中，甚至可以说，各人无论谈清静理念或是清静手艺、清静计划，都是面向云盘算情形 。例如Extrahop Networks的COO Raja Mukerji在谈检测响应，主张将NDR、EDR、SIEM组合，构建面向公有云的检测响应机制，实现云原生的清静 。
虽然，虽然古板清静问题会爆发在云盘算场景中，但云情形也有其奇异的地方 。以是在云清静和虚拟化（Cloud Security & Virtualization）议题中，如子域名接受[3]的缘故原由在于一些子域名是租用的，治理不当容易被恶意租户发明并接受 ；又如好几个胶片谈到袒露面检查，就是Gartner说的CSPM（Cloud Security Posture Management），实质来看就是古板的服务（端口）袒露和弱口令（正如现在许多互联网上懦弱的物联网装备一样），转酿成了公有云上的存储资源袒露和弱口令 。以是这些实质来说是古板清静问题，但公有云盘算情形下有新的特点，值的我们重视 。
看法2： 从纯合规性要求转向攻防要求，云清静转向实战场景
前几年，AWS在各个大会上有自力议程做AWS清静入门培训，彼时大部分的客户对公有云还不太熟悉，一部分是由于公有云服务太多、设置太重大，另一部分缘故原由是关于攻击者而言也较量新，相对而言，IaaS和PaaS的云清静照旧以合规性要求居多 。
现在，云盘算关于攻击者而言，开放API、无邪的资源编排，某种角度来说俨然成为了好用的攻击资源 ；另外，云用户过失设置，也给觊觎云上敏感数据的攻击者提供了可乘之机 。以是无论是数据面清静CWPP（Cloud Workload Protection Platform），照旧治理面清静CSPM，种种云清静厂商也逐步兴起 。从本届RSAC云安议程中的内容来看，跟往届相比越发偏向于实战 。
例如前面提到的子域名接受攻击事务，在《Same Thing We Do Every Few Minutes, Pinky – Try to Take Over All Your Subdomains》 及《Break the Top 10 Cloud Attack Killchains》两张胶片[3,4]中提到，其中《Same Thing We Do Every Few Minutes, Pinky – Try to Take Over All Your Subdomains》是星巴克清静团队作为受害者的角度叙述，更令人信服 。而《Break the Top 10 Cloud Attack Killchains》则更周全，先容了十种面向云平台的攻击链，其中侦查阶段大部分是CSPM关注的袒露Token、Bucket等，另一部分则是恶意内部攻击者，即前面提的供应链笼罩的内容 。
虽然只有用户和清静厂商显然不敷周全，议程中尚有一位是来自AWS的Ben Potter，职位是The security leader for Well-Architected,属于架构师 。他在聚会中先容了AWS架构（Well-Architected）中的清静设计，从中可以看出，AWS的清静系统已经笼罩了事前治理、准备，事中检测和响应，事后恢复的闭环，其中他还提到使用了金丝雀账户，安排了一些诱饵 。这说明云厂商的清静团队已经不止关注古板的整理（hygiene）和被动防护的事情，也最先做一些自动防御的事情 。
总体而言，检测响应已经从古板企业情形转向云盘算情形，如《Using Automation for Proactive Cloud Incident Response》及《Untangling SaaS Security in the Enterprise》[5,6]都先容了云服务商和用户怎样做检测响应的履历，《Untangling SaaS Security in the Enterprise》[6]则是先容了在线生意的领域怎样实现身份和会见控制（SSO、MFA，RBAC），数据清静（加密、密钥治理），应用清静（API清静，session治理），日志和监控（剖析，日志集中），事务响应（告警、IR剧本），在云盘算情形中必需要引入自动化和xDR才华知足规� ；囊� 。
作为防守方，一家小公司IMG Security的咨询师，《Cloud Threat Hunting》[9]先容了云情形下的威胁狩猎，案例很是详细，涉及到渗透测试和事务响应
看法3：从只谈容器清静、Kubernetes清静到云原生清静，云原生进入主流
在2019年RSAC的早期厂商展览中，已经有一两家公司在做Kubernetes和容器清静，现在年的云清静和DevSecOps议程中，有两篇Kubernetes攻防的胶片，尚有一篇先容云原生清静和Serverless清静，说明这话题已经被主流观众所关注，并且关注热度一直向上，从容器到编排，再到无服务和云原生清静 。
例如，SANS的培训师在《Defending Serverless Infrastructure in the Cloud》演讲中提到[7]攻击者入侵了AWS的Lamda函数，通过反向署理获得无服务的操作系统细节，见下图 。
然后剖析了怎样从外部获取凭证进入容器，进而网络容器内部更多凭证，横向移动，建议将函数放在VPC内里，镌汰袒露面 。
在《Kubernetes Practical Attack and Defense》[8]中，讲者是一家清静资讯公司Inguardians的CTO，先先容了Kubernetes下的攻击思绪，在Master节点攻击API server等几个焦点组件，在Slave攻击Kubelet和运行时容器，提供了一个自己开源Kubernetes的渗透测试工具（https://github.com/inguardians/peirates），该工具主页Demo先容了获得袒露的神秘，然后从API-server建设账号，新建容器，并获得反连Shell 。另外还提供了一个测试训练情形，供学习 （https://www.bustakube.com/） 。
从以上几个胶片的内容可以看出，今年云盘算清静很显着的转变，清静倾向于攻防细节，情形则着重于编排系统之上的部分 。
看法4：DevSecOps成为热门，DevSecOps和云原生清静一直融合，创立配合话题
迅速开发DevOps似乎与云盘算是两个维度，但“容器-编排”可以支持迅速CI/CD的开发模式，而“编排-无服务”的云原生运营模式可以支持大规模弹性的应用场景 。这套手艺栈似乎为全天下绝大大都的开发者所青睐，而容器Kubernetes-Serverless又是云原生的底层手艺，以是随着迅速开发自己的清静机制（DevSecOps）一直生长，两种清静视角的融合一直加深 。
今年的云清静议程中有一些问题的起源，如代码中的硬编码Token、代码客栈的袒露凭证，都是清静迅速开发需要体贴的内容，现在年的DevSecOps 和应用清静（DevSecOps & Application Security）议程中，则有一篇《Compromising Kubernetes Cluster by Exploiting RBAC Permissions》[10]是专门先容Kubernetes的会见控制清静的 。
看法5：人是对抗永远的主题，人的因素不可忽视
今年大会的主体是Human Element，不可阻止的许多胶片中也泛起了这个元素，大部分都是简朴涉及，有两篇则是专门对人的因素举行探讨 。
如《Hacking Your Security Culture for the Cloud》[11]先容了在古板情形和云情形中差别的思绪，在云情形中做清静应该与云盘算的思绪匹配，如清静即代码，拥抱自动化，别的要阻止人为过失所造成的影响，组织红蓝对抗 。而[12]是泛起在迅速开发的session中的，讨论了事情时间、团队规模和修改他人代码频仍度等因素对代码清静性爆发的影响 。总之，手艺、流程和人是信息清静的三个组成部分，其中人的因素在一直的提升 。怎样施展人的主观能动性，关于提升清静防护效率至关主要 。
总之，云盘算已经成为了毗连万物的普适的基础设施，云盘算清静已经进入了下半场，怎样形成统一的清静系统，怎样提升云盘算的真实清静水平，怎样提升使用云盘算种种团队的清静能力，将是接下来云清静的生长偏向 。
参考链接
[1] https://www.rsaconference.com/usa/agenda/csa-summit-privacy-and-security-in-the-cloud
[2] https://cloudsecurityalliance.org/research/working-groups/consensus-assessments/
[3] Same Thing We Do Every Few Minutes, Pinky – Try to Take Over All Your Subdomains ,RSAC 2020
[4] Break the Top 10 Cloud Attack Killchains, RSAC 2020
[5] Using Automation for Proactive Cloud Incident Response,RSAC 2020
[6] Untangling SaaS Security in the Enterprise, RSAC 2020
[7] Defending Serverless Infrastructure in the Cloud, RSAC 2020
[8] Kubernetes Practical Attack and Defense, RSAC 2020
[9] Cloud Threat Hunting, RSAC 2020
[10] Compromising Kubernetes Cluster by Exploiting RBAC Permissions, RSAC 2020
[11] Hacking Your Security Culture for the Cloud，RSAC 2020
[12] Which Developers and Teams Are More Likely to Write Vulnerable Software,RSAC 2020
