2023 上半年的 攻击数据显示，攻击者利用 API Key、敏感文件执行、敏感信息读取等手段发起 的攻击次数呈明显上升趋势，占总攻击事件的 1.69%。API 滥用已成为导致企 业 Web 应用程序数据泄露的最常见的攻击媒介，通过攻击 API 来达成攻击目的， 已成为上半年攻防演练中各攻击队最常用的攻击手段之一。 在 5G 核心网和边缘计算方面，容器化的网元和边缘计算平台越来越普遍， 5G 1：攻击者通过攻击镜像层，改变云原生应用的不可变基础设施，引导 云原生安全威胁分析与能力建设白皮书 20 受害者使用该镜像创建容器，进而实现入侵容器、宿主机的目的。路径 1 显示 针对镜像层可能存在的攻击手段，包括：镜像投毒攻击、镜像仓库攻击、中间人 攻击、敏感信息泄露攻击和针对镜像不安全配置的攻击。 路径 2：攻击者直接对容器或容器运行时发起攻击，通过利用容器或容器运 行时存在的漏洞，实现入侵宿 级 容器运行时只是强调了容器化的不同方面。路径 2 显示针对容器运行时可能存 在的攻击手段，包括：容器运行时攻击、容器提权和逃逸攻击、拒绝服务攻击和 容器网络攻击。 路径 3：攻击者对编排工具发起攻击，通过利用编排工具存在的漏洞，实现 入侵宿主机的目的。路径 3 显示针对编排工具可能存在的攻击手段，包括：攻 击 k8s 组件、服务对外暴露攻击、业务 pod 攻击、集群环境下的横向攻击、k8s

"#$%&' 安全开发-代码扫描SAST 源代码审计针对源代码缺陷进行静态分析检测。它在对目标软件代码进行语法、语义分析的技术上，辅以数据流 分析、控制流分析和特有的缺陷分析算法等高级静态分析手段，能够高效的检测出软件源代码中的可能导致严重 缺陷漏洞和系统运行异常的安全问题和程序缺陷，并准确定位告警，从而有效的帮助开发人员消除代码中的缺陷、 培养安全开发意识，提高安全开发水平、减少不必要 规检测 l 安全检测及个人信息合规 检测支持下载检测报告 支持的场景 l 安全自查：发现各租户移动应用安 全问题，通过自动化方式提供安全 检测手段 l 合规自查：发现各租户移动应用个 人信息合规问题，通过自动化方式 提供合规检测手段 l 手机端：解决现行手机端用户便利 性的同时带来的安全问题 l 能力输出：针对自有安全能力可以 增值输出政企客户 安全管控-镜像扫描 在自 通过不断的宣贯，让整个团队建立安全 意识 建立规范，严格执行 制定并发布《平台能力中心安全编码规范》 定期演练，检测有效性 定期演练，检验防护措施的有效性 持续运营，持续更新 漏洞规则要更新，病毒库要更新，防御手段也 要更新 乘舟上云 稳如磐基 CMIT云原生公众号

和降低成本 默认安全策略，可以天然的规避大部分 安全问题，使得人员配置和沟通工作大 量减少，提高了整体效率! 安全右移是为了恰到好处的安全，一些非严 重安全问题，没有必要堵塞主研发流程，可 以交于线上安全防御系统。提高了整体实施 效率！ 安全编排自动化和响应作为连接各个环 节的桥梁，安全管理人员或者部分由 AIOps组件可以从全局视角观察，动态 调整策略，解决新问题并及时隔离或者 解决！ DevSecOps 难以覆盖复杂的交互场景，测试过程对业务造成 较大的干扰，会产生大量的报错和脏数据，所以 建议在业务低峰时进行。 IAST(交互式应用程序 安全测试) 结合了上面两种的优点并克服其缺点，将SAST和DAST相结合，通过插桩 等手段在运行时进行污点跟踪，进而精准的发现问题。是DevSecOps的一 种推荐方式。 如果在被动模式下运行IAST，那么开发测试过程 中就可以完成安全扫描，不会像DAST一样导致业 务报警进而干扰测试，同时由于污点跟踪测试模 需要进行大量的安全特征以及资产库的建设或者 三方集成。（涉及业务能力） RASP(运行时安全应 用程序自我保护) 可以看做是IAST的兄弟，RASP通过程序上下文和敏感函数检查行为方式 来阻止攻击，属于一种主动的态势感知和风险隔离技术手段 可以自动化的对非预计风险进行识别和风险隔离 对系统性能有一定影响 可信计算 核心目标是保证系统和应用的完整性，从而保证系统按照设计预期所规 定的安全状态。尤其是像边缘计算BOX这种安全防护，根据唯一Hash值验

全性，确保不引入存在漏洞的组件； 使用基于插桩技术的IAST工具，在功 能测试的同时，检测是否存在高危漏 洞风险，并展示漏洞触发数据流，便 于修复指导。 源头 检测 积极防御：针对今后随时可能爆发的 未知0DAY漏洞，推荐使用RASP应用 自防御能力，针对该类漏洞的攻击利 用方式精准有效的防护。它可以通过 应用的函数行为分析、上下文情境感 知及热补丁技术有效阻断绝大部分 RCE类未知漏洞攻击。 轻量级探针端 + 统一管控中心 + 积极防御插件 运营时威胁与攻击 注入攻击 URL黑名单 跨站脚本攻击 …… 恶意文件访问 反序列化攻击 扫描器攻击 OWASP Top 10 文件读写 数据库访问 表达式执行 本地命令执行 … 检测/响应 虚拟补丁 攻击分析 扫描拦截 威胁出厂免疫 攻击态势分析 安全事件监测 攻击来源回溯 Java Web 积极防御引擎 Tomcat SpringBoot SpringBoot XX Java AS 字 节 码 注 入 + 检 测 算 法 语言覆盖Java、PHP、Python、NodeJS、GO、.Net等 安全防御设备联动 分布式高可用架构 基于SBOM构建云原生应用风险治理流程 SCA+IAST+RASP+漏洞情报 快速获取SBOM——OpenSCA

可观察 健康检查 告警 指标 日志 追踪 问题和根因 预警 监控&稳定性 分析&追踪&排错&探索 • 从稳定性目标出发，首先需要有提示应用出问题的手段 • 当提示出现问题后，就需要有定位问题位置的手段，进 一步要有能够指出问题根因、甚至提前就预警的手段。 拓扑流量图：是不是按预期运行 分布式跟踪:哪些调用 故障或者拖慢了系统 监控与告警： 主动告诉我 问题发生了！ 微服务部署后就像个黑盒子，如何发现问题并在 化处理定制化场景下的软件、运维工具或者规范等等，并需要不断的测试。 • 为了应付各类的环境的问题，势必要求交付人员的能力非常强，也是成本 居高不下的原因之一。 在K8s这种环境中，存在两种定制化的手段：其一是Deployment API，但是它却 把研发和运维的描述放在了一起；其二是Operator（CRD），我们不得不为不同 客户开发很多不同特质的Operator，交付成本依然很高。 定制Operator这种解决方案，看似

易成本，在业务发展良好的情况， 可能会有部分利益分给设备商。 对IT设备供应商、ISV集成商而言，有利因素主要体现在可能获得高于传统设备销售的收益（视定价水平和业务发展状况），提供了降 价以外的竞争手段，并获得更密切的客户关系。不利因素体现在业务发展风险，实际业务量达不到预测水平或装机容量导致货款无法 全部收回，回款周期拉长导致客户信用风险放大，存在合同条款风险（双方权责、收入确认机制、资产转移等）。

会变，所以只能走 kubernetes 的服务发现机制 • ksm 采集的监控指标数据量很大，请求其 /metrics 接口可能要拉取十几秒甚至几十秒，对于一些不关注的资源， 我们可以不采集，典型的手段是通过 –resources 参数来控制，比如 –resources=deamonsets,deployments • 对于某个具体的资源类型，可以做更细粒度的控制，比如屏蔽某个指标：--metric-