2023年6月6日，由工业和信息化部主办，中国信息通信研究院承办的“ ICT 中国·2023 高层论坛-云原生产业发展论坛”在北京国家会议中心成功召开。作为DevSecOps敏捷安全领导者，悬镜安全携手中国移动智慧家庭运营中心（智家中心）荣获“2023 年度云原生安全守护先锋-云原生安全实践”奖项。
图1 2023 年度云原生安全守护先锋-云原生安全实践
悬镜安全以灰盒安全测试平台灵脉IAST为基础，结合智家中心在云原生场景下的实际需要，悬镜安全通过将DevSecOps理念与云原生场景完美融合，基于核心智能单探针技术，将灵脉IAST安全融入到智家中心开发、测试、发布、运营的全生命周期中，以IAST为入口，使悬镜安全第三代DevSecOps智适应威胁管理体系融入到智家中心的生产流程当中，为用户打造覆盖应用全生命周期的云原生数字供应链安全治理体系。最终，悬镜安全协助智家中心在“轻量化、漏洞响应、性能、DevOps生态”这四个层面实现了创新，打造了符合自身需求的云原生数字供应链安全治理平台。
云原生架构的应用，在提升数字化应用交付效率的同时，也让安全更加集中到业务应用本身。随着中移云原生技术应用深度的增加，软件架构微服务化导致子应用划分更广、应用开发发布迭代速度达到分钟级别，交付速度的加快和微服务间请求关联性的增加，会直接影响到传统检测工具对漏洞有效性判断的准确度。因此从检测能力角度看，单纯从静态代码或者静态制品的角度去进行安全扫描，已经很难满足智家中心在云原生安全场景下对数字化应用进行持续敏捷安全测试的高要求。
为此，智家中心需要在已有的云原生架构上，携手悬镜安全灵脉IAST灰盒安全测试平台，基于云到端的应用威胁扫描场景，协助其全新搭建起一套适用于自身云原生环境的DevSecOps敏捷安全体系，原生地解决了应用业务开发测试场景下如何协同业务迭代的敏捷性和业务交付的安全性的问题，可柔和地嵌入到整个SDL和DevSecOps体系当中，将安全漏洞的发现和修复时间前置到开发测试环节，在完成业务开发测试的同时透明完成安全测试，以确保云原生环境下应用程序、数据、基础设施和网络的安全性及完整性。
图2 中移智家中心云原生DevSecOps建设体系
为此，智家中心需要在已有的云原生架构上，携手悬镜安全灵脉IAST灰盒安全测试平台，基于云到端的应用威胁扫描场景，协助其全新搭建起一套适用于自身云原生环境的DevSecOps敏捷安全体系，原生地解决了应用业务开发测试场景下如何协同业务迭代的敏捷性和业务交付的安全性的问题，可柔和地嵌入到整个SDL和DevSecOps体系当中，将安全漏洞的发现和修复时间前置到开发测试环节，在完成业务开发测试的同时透明完成安全测试，以确保云原生环境下应用程序、数据、基础设施和网络的安全性及完整性。
价值交付
单探针技术构筑云原生共生安全场景底层核心能力
轻量化部署，伴随应用全生命周期：部署灵脉IAST最大限度减少了在应用侧反复安装安全探针的动作，降低了对中移开发团队的影响。开发阶段提前在数字化应用的容器环境中埋下IAST插桩探针，辅助开发团队将安全左移，在开发过程中提前发现潜在漏洞风险。随后应用在发布时会携带探针一同打包上线，伴生在应用中的探针可以顺势转为RASP探针，扮演好积极防御的角色。只需一次安装动作，就能够使探针伴随应用全生命周期，解决从开发、测试到运营阶段的关键安全问题。漏洞响应敏捷，杜绝应用带病上限：依赖于智能单探针带来的进阶版IAST和RASP的双重联动能力，IAST可在应用上线前发现漏洞，通过RASP以智能热补丁的方式一键自动修复漏洞，在应用快速上线的同时提供可靠的安全保障。应用架构适应性，降低安全发现风险：灵脉IAST通过插桩的方式将Agent融合进应用中（也可以采用共享空间等其他方式），在启动脚本中放入自动化安装脚本，基于污点分析的检测技术，无脏数据产生，将安全能力和基础设施绑定，在应用运行被访问执行时即可同步进行安全测试，实现安全前置。开发模式适应性，降低IT运营成本：灵脉IAST基于对非服务架构适应性的优势，能够简便地接入，且无需专业的安全测试，只需进行功能触发即可检测应用漏洞，以及其“秒级”完成检测和上报的能力，完美契合在云原生DevOps场景下对于安全性和敏捷性融合的要求。云原生安全适应性，提高漏洞检测精准度：灵脉IAST对于微服务和分布式框架的兼容，能够梳理发现新应用制品中已知和未知的全量API（通过本地配置检测、接口流量跟踪等方式），对API中的未授权访问以及API测试覆盖率等有很好的发现和统计能力。风险追溯适应性，降低漏洞修复的工作量：灵脉IAST利用其应用插桩特性，实现微服务调用链路跟踪，展示微服务应用漏洞攻击链路，解决风险所在具体应用进程的追溯问题，有效降低了安全人员和开发人员对漏洞修复的工作量。
从通信行业的角度来看，云原生安全技术可以广泛应用于通信行业的各个领域，包括移动通信、固定通信、云计算和数据中心等。通信行业中的各种网络设备、服务器、应用程序和数据库等都可以使用云原生安全技术进行安全防护。此外云原生安全技术也可以帮助通信行业提高网络安全的可见性和效率，缩短应对安全事件的响应时间，减少安全事故的发生和影响。同时，云原生安全技术还可以加强对业务数据的保护，提高整个业务系统的安全性和稳定性，降低信息安全风险，从而实现业务的可持续发展。不过，云原生的广泛应用也会为通信行业带来更多的安全风险，如容器中可能存在漏洞、微服务之间的通信可能被攻击等，此外云原生环境中存有大量的服务和组件，使用粗粒度的控制方法往往会使得业务安全性受到威胁。此外随着运行在云原生环境当中的业务越来越多，对于技术团队而言其安全需求也会发生变化。因此，使用云原生技术来推动企业数字化进程，已经成为通信行业的一种共识。而在云原生环境下，通信企业更需要建立起一套能够适应并持续保护应用业务安全的云原生敏捷安全体系。随着云原生应用的快速增长，企业需要同安全厂商持续深度合作，进一步将云原生完整纳入到软件供应链安全防护体系当中。此次智家中心与悬镜安全在云原生安全层面的成功合作，为通信行业打造完善的云原生软件供应链安全防护体系提供了可参考、可落地的成功实践。中国移动智慧家庭运营中心（简称智家中心）是中国移动通信有限公司的全资子公司，于2014年3月在杭州成立，是中国移动贯彻“网络强国”战略和“互联网+”行动计划、促进企业转型发展的重要布局。目前注册资本15.5亿元人民币。公司具备国家高新技术企业、CMMI-5、ISO14001、信息系统集成资质三级、安全工程类一级、安全开发类一级、增值电信业务经营许可等资质。公司立足“研发运营一体化”的角色定位和“智慧家庭运营中心”的重要职责，落实集团公司创世界一流“力量大厦”。悬镜安全，起源于北京大学网络安全技术研究团队“XMIRROR”，创始人子芽。作为DevSecOps敏捷安全领导者，始终专注于以“代码疫苗”技术为内核，凭借原创专利级“全流程数字供应链安全赋能平台+敏捷安全工具链”的第三代DevSecOps智适应威胁管理体系，创新赋能金融、车联网、泛互联网、智能制造、通信及能源等行业用户，构筑起适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的共生积极防御体系，持续守护中国数字供应链安全。了解更多信息请访问悬镜安全官网：www.xmirror.cn
文章来源: https://mp.weixin.qq.com/s?__biz=MzA3NzE2ODk1Mg==&mid=2647786978&idx=2&sn=42571db36acb41bc7ad05041162f5d43&chksm=87708db5b00704a30861bc39df510bd3cdfefa79e24fb0fa63d6b1e570a753c7614a77243f57&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh