调整策略，解决新问题并及时隔离或者 解决！ DevSecOps 标准化能力-承载无忧-E2E云原生纵深安全保障-4-技术建议方案 技术 说明 优点 缺点 SAST(静态应用程序 安全测试) 白盒测试，通过污点跟踪对源代码或者二进制程序（也包括Docker镜像等） 进行静态扫描，尽可能前置，在IDE编写代码或者提交代码时进行，将极 大优化整体效率和成本 可以无视环境随时可以进行，覆盖漏洞类型全面， 可以精确定位到代码段 费和成本的提升。在离线混部集群，通过动态调度削峰填谷，当在线集群的使用率处于波谷时段，将离线任务调度到 在线集群，可以显著的提高资源的利用率。然而，Hadoop Yarn目前只能通过NodeManager上报的静态资源情况进行分配， 无法基于动态资源调度，无法很好的支持在线、离线业务混部的场景。 • 操作系统镜像及部署复杂性拖慢应用发布：虚拟机或裸金属设备所依赖的镜像，包含了诸多软件包，如HDFS、Spark、 发布周期。 • 在资源利用率方面，借助云原生架构的技术能力，多方位提升系统的资源利用率，如细粒度调度（将CPU和内存 这两个核心资源划分的更细，从而更充分的分配系统资源）、动态调度（基于节点真实负载情况，而非静态划分 的资源，将任务调度到已分配了资源但是未实际使用的节点上，从而更充分的提高系统算力），在离线混部（根 据离线任务和在线任务的周期性，削峰填谷，从而充分利用系统闲置资源）。 • 在应用改造成本、迁

、微服务的监测和异 常检测等。  管理模式的变化 云原生安全威胁分析与能力建设白皮书 15 云原生应用的快速迭代和部署频率也对安全治理模式提出了新的要求。传统 的安全治理模式通常是基于静态的规则和策略，针对云原生 DevOps 安全治理 需要采用持续安全集成和交付的实践，结合自动化的安全测试、漏洞扫描和合规 性检查等工具，以确保安全策略和控制的持续有效性。 面对这些新的挑战，国 全能力。代码作为企业最核心的资产，其安全性在传统安全与云原生安全都极为 重要，代码的风险主要来自于代码数据丢失、泄露，以及编码中引入风险漏洞。 在代码安全方面，需重点考虑静态应用安全测试和软件成分分析两个方面。 （1）静态应用安全测试 SAST 与人工代码审查相比，具有效率高、结果一致等优点，属于白盒测试 的一种。利用 SAST 工具进行检测不需要运行测试的应用程序，而且理论上可以 覆盖 于资源问题导致的故障产生。 （2）文件完整性安全 业务容器运行所依托的基础内容由镜像提供，而其在运行过程中可能也会产 云原生安全威胁分析与能力建设白皮书 57 生重要数据，针对原本镜像就存在的数据，例如静态 web 站点网页，以及运行 过程中产生的数据，例如携带敏感信息的日志等，需建立文件防篡改，风险进程 禁止操作等手段，保护容器运行的临时数据，以避免数据泄露。 （3）恶意行为检测 传统的入侵

Kubernetes + YARN Kubernetes + Volcano 静态划分资源池 统一资源池 Kubernetes + YARN Kubernetes + Volcano 集群低负载场景 K8s资源池空闲，大数据业务无法使用 大数据业务可以使用集群整体空闲资源， 提高整体资源利用率 集群高负载场景 通过静态划分的资源池保证大数据业务和通用 业务的资源配额 通过Volcano提供的队列保证各类业务资

ü 过程持续验证 !"#$%&'( !"#$)*+,- !"#$%&' 安全开发-代码扫描SAST 源代码审计针对源代码缺陷进行静态分析检测。它在对目标软件代码进行语法、语义分析的技术上，辅以数据流 分析、控制流分析和特有的缺陷分析算法等高级静态分析手段，能够高效的检测出软件源代码中的可能导致严重 缺陷漏洞和系统运行异常的安全问题和程序缺陷，并准确定位告警，从而有效的帮助开发人员消除代码中的缺陷、

kube-state-metrics 也是部署到 Kubernetes 集群中即可，通常作为一个单副本的 Deployment • 可以为 ksm 分配一个 ClusterIP，当做一个普通服务配置静态目标地址即可，也可以不分配，不分配就是用 PodIP 采集，容器迁移 PodIP 会变，所以只能走 kubernetes 的服务发现机制 • ksm 采集的监控指标数据量很大，请求其 /metrics

GateWay API网关是一个服务器，是整体系统的唯一流量入口。 API网关封装了系统内部细节，为每个客户端提供一个定制的外化API。 还具有其它职责，如身份验证、监控、负载均衡、 缓存、请求分片与管理、静态响应处理、协议转换等，它将公共的非 业务功能能力进行了集成和管理，同时也简化了微服务的研发和部署。 为什么需要API网关 传统网关上容器云(K8S) Gateway 网关Controller K8S