云端容器风险

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

报告发现，Kubernetes仪表板可被不受限制地访问，公共云环境中其他关键基础设施的凭据也以明文形式存储。

大多数人都会锁门，至少出门时会锁。毕竟，谁也不想回到家后，发现有人瘫在自家沙发上看Netflix，还专挑自己绝不会看的类型，把决定“推荐列表”内容的算法彻底搅乱。想想都可怕。

因此，您可能会惊讶地发现，根据犯罪统计数据，约30%的窃贼会从敞开或未上锁的窗户或门进入。

再看技术领域，RedLock CSI团队最近发布的一份报告揭示了类似的“门户大开”现象。RedLock是一个基于云、支持API的基础设施安全监控平台，可帮助您了解云环境的情况，类似于云端的ADT。该报告基于对客户环境的分析，评估了超过100万个处理12 PB网络流量的资源。报告发现了不少安全问题，其中这一项引起了我的注意：

遗憾的是，发现明文凭据并不令人意外。您可能还记得，我们在2016年初讨论《新型内部威胁：自动化框架》时就提出过这个问题。遗憾的是，如果入口门户大开，使用明文凭据对跨容器环境的活动进行授权，所构成的外部威胁可能不亚于内部威胁。

当然，也许有人会说，这些完全开放的仪表板并不关键，甚至可能根本不在生产环境中。它们只是用于测试或开发，对吧？它们原本只是一个概念验证（POC），用于日后将应用容器化，只不过后来被遗忘了，或者没有被视为威胁。但我们知道，这类云中缺乏治理的环境会导致云资源无序扩张，不仅会逐渐蚕食预算，还会带来其他风险。更不用说，任何人都可以不受限制地访问一个只需点击按钮，就能按指令启动无数系统的系统。

同一份报告发现，“14%的用户账户处于休眠状态，其凭据仍然有效，但过去90天内没有任何登录记录”。这似乎进一步表明，大量云资源处于无人管理的状态，而且其活动很可能也未受到监控。

哪怕只有一扇门或一扇窗没有上锁，也会增加风险。一般来说，在物理安全场景中，不法分子必须亲自试探门锁，才能确定门是否上锁。这需要投入实际的时间和精力。但在数字世界中，这一要求已不复存在。我可以使用脚本扫描您的系统，并让脚本在几秒内向我发送消息，详细列出发现的所有正在运行且可供访问的系统。数字入侵的门槛更低，因此，即使只留下一个入口，也会带来更大的风险。

向云环境缓慢而稳步的迁移已对IT的许多方面产生影响，其中一个很少被提及的方面是管理。但我们应该重视这一点，尤其是如今大多数管理功能都通过Web界面提供，并且任何寻找入口的人都能轻易通过80端口访问。这意味着，管理控制台和仪表板的安全性必须优先考虑。这些系统基于标准Web组件构建，其中许多组件容易受到与面向用户的组件相同的安全漏洞影响。无论是跨站脚本攻击、SQL注入、默认密码还是后门访问，我们都必须（这里的“必须”是RFC规范中的MUST）投入时间和预算，对用于部署应用的系统和环境的管理端进行测试和保护。

我们讨论的并不是什么“新”安全范式，而是基本的Web应用安全。近20年来，我们一直在严格限制对Web应用的访问。相关做法已得到充分理解，不能仅仅因为环境只用于开发或测试，就轻率地忽视这一点。

无论是现实中的窃贼还是数字攻击者，只需一扇未锁的门，就能进入整栋房屋。对于数字攻击而言，技术的发展以及扫描、渗透和访问互联系统的便利性，会使其后果波及更广、蔓延更快。

请务必注意安全。不要忽视管理控制台和系统的安全性。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章