CSA GCR：云原生安全威胁分析报告.pdfVIP

云原生安全威胁分析报告厦门服云信息科技有限公司

1

云原生安全威胁分析报告厦门服云信息科技有限公司

序

2006年，亚马逊AWS把存储与计算能⼒通过S3和EC2以互联⽹的方式输送给广大⽤户，开启了云计算时代。云服

务使得算⼒与数据资源像工业时代的电⼒资源一样，通过电⽹按需输送给千家万户。然而早期的云计算技术架构以虚

拟机为主，资源损耗极大，就像由一大堆小型发电机堆砌的发电厂。云原生则是新一代云计算技术架构，采⽤了基

于云计算特点的新理念与方法，包括容器、微服务、服务⽹格、DevOps等技术，好比运转现代化大型发电机的发电

厂，将云计算资源充分发挥出了优势。2013年发布的Docker项目，2014年发布的Kubernetes项目，2015年成立

的CNCF云原生基金会对云原生发展起到了重要作⽤。

然而，新兴威胁总是伴随着新兴技术而来，传统的IT与云安全解决方案对应新的云原生威胁捉襟见肘。CSA在云计

算顶级威胁白皮书指出了云原生技术的重大新威胁，在云安全指南4.0中提出过对应措施，在CCM云安全标准中制

定出相应的安全要求，在CNST云原生安全标准与认证中设置了设计与测评基线，并成立全球容器与微服务工作组、

无服务工作组、云密钥管理工作组和大中华区云原生安全工作组持续进行云原生技术安全研究与标准制定。

云安全联盟大中华区理事单位安全狗发布的《云原生安全威胁分析报告》是业内对云原生安全威胁全面的分析，对广

大云厂商和上云企业提供了极具价值的实践洞见,不仅覆盖容器化基础设施、容器编排平台、云原生应⽤以及无服务

等方面云原生安全威胁，还提出了云原生漏洞风险检测模型“CCICA”，基于ATTCK容器矩阵的产品检测能⼒模型

方法论“AKDA”，各类云原生威胁检测技术，这项报告对于云原生生态的安全发展具有重要的意义。

从发展趋势看，更多企业将会广泛应⽤云原生技术，云原生应该基于开源、开放的技术标准，云原生安全应该具有包

括安全检测的内生安全能⼒，这样云原生将为企业带来快速业务创新的更大价值，相信数字领域的所有安全工作者都

会从阅读本白皮书中受益。

——国际云安全联盟大中华区

2

云原生安全威胁分析报告厦门服云信息科技有限公司

目录

一、前言4

二、云原生安全威胁分析4

（一）容器化基础设施的威胁风险4

（二）容器编排平台的风险分析7

（三）云原生应用的威胁风险8

（四）无服务的威胁风险9

（五）服务网格的威胁风险10

三、云原生安全近年威胁10

（一）近年云原生安全事件风险10

（二）近年云原生安全漏洞风险16

四、云原生威胁检测技术13

（一）容器镜像安全检测技术13

（二）容器运行时安全检测技术15

（三）容器网络安全检测技术16

（四）云原生可观测性17

（五）宿主机威胁检测技术19

（六）容器ATTCK矩阵22

五、云原生漏洞风险检测模型23

（一）CCICA云原生安全模型介绍23

（二）CCICA云原生安全模型漏洞检测方法概述25

六、云原生入侵风险检测模型27

（一）AKDA模型28

（二）模拟红队攻击29

（三）攻防知识图谱31

（四）数据源32

（五）威胁检测算法32