云原生安全及VPC应用
Posted 认知计算与云安全
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了云原生安全及VPC应用相关的知识，希望对你有一定的参考价值。
从安全的角度来看，VPC 并不是一种神奇的力量。这是另一层责任。
如今，当我在云上构建新应用或与同行交流类似主题时，我们通常都不会提到 “VPC”。这 是因为，人们越来越倾向于将云原生应用（cloud-native applications）直接部署在更 高层的托管服务之上 —— 例如 Lambda、API Gateway 和 DynamoDB —— 这些服务通过 API 与彼此进行通信。在 AWS上，这种情况下的最佳实践是 使用 IAM 做认证和鉴权，以保障微服务间的通信安全。
如果需要将公有云和私有数据中心打通，那 VPC 是不可或缺的。但现代云原生应用 的安全，真的还需要 VPC 扮演关键角色吗？在给出我自己的答案之前，我先陈述几位业 内专家的观点。
也许此刻你正在与安全团队一起，评估你们为本地部署的应用（on-prem applications ）设计的云原生方案
你们的评估方式是：对照一个清单（checklist），逐 一检查方案是否满足其中列出的要求，满足的就打对勾（checking the box）。我们来听听 PurpleBox Security 公司的 Nihat Guven 对此怎么说：“安全（security）与合规 （compliance）在其中同样重要，二者互相追赶（playing catch-up）”。但是，相比 于真正去思考 VPC 能否提供安全优势、能提供哪些安全优势，“大家更多地将精力放在了 合规方面，即 —— 遵循既有标准，只要清单上列出了（例如，VPC），我们就做”。
有这样一种观点：VPC 并没有什么神奇之处。“VPC 实际上并没有做任何 事情”，她指出。“你真正需要的是一个包含 NACL、子网和安全组的合理网络架构。你 需要知道如何构建这样的架构，然后才能针对攻击做好监控。此外，你还要理解网络的各个 分层、攻击的种类，以及攻击者是如何渗透网络的。”
以上例子都说明，很多时候 VPC 只是可选项，而非必需。遗憾的是，很多工程师并没有理 解到这一层。
引用某专家的观点“如果没有业务需求 ——例如与私有数据中心互联 —— 那最好不要引入 VPC”，否则，“由 于 VPC 而引入的额外复杂性对安全配置来说非但无益，反而有害”。
确实，对于安全配置来说，越多并非永远意味着越好（more is not always better） 。如果你连配置 IAM 角色都还没搞熟，那又如何相信你能做好 VPC 安全？如果你连S3 bucket 的 public 属性都不清楚，那又如何确定你能管好安全组、ACL 以及 VPC 引入的 subnets？
VPC 确实会带来一些额外的网络监控工具，例如 flow logs，但问题又来了：你知道如何高 效地使用这些工具吗？如果不知道，那就是在花大价钱抓数据，但又没有如何分析这些数据 的清晰计划。
另外，并不是说引入了 VPC，它就自动为你的数据提供一层额外的防护。正如 Magee 提醒我们的：“即使在 VPC 内，数据的保护也仅仅 HTTPS 加密 —— 就像你自己用 HTTPS 加 密一样。你觉得这种安全值得信赖吗？”。
云安全太难了！但我显然不是在鼓励大家因此而放弃。相反，正是因为云安全如此困难且重 要（both hard and important），我才建议你不要轻易引入自己的网络控制方案，而 应该尽可能用好平台提供的安全能力。
这听起来像是 “serverless” 的套路 —— 事实上，我们确实离此不远了。
但
并不是说网络安全在这些领域已经式 微了，而是说越来越多的职责下沉到了云提供商那里。
你确实会失去一些控制能力 ，但换来的是 AWS 最佳实践的保驾护航之下，更快的应用构建速度。
你可能会说，保护云原生应用的安全其实最后就是：“要么裸奔，要么上云”（letting go and letting cloud）。确实，但这种职责模型转变（paradigm shift）是传统的安全团队才需 要关心的 ；对于用户来说，只需要用好这种优势，自然就会取得巨大收益。
因此，尝试去建立你的威胁模型，理解你面临的风险，对你的团队进行恰当的培训。做完这 些你可能会发现，你最终还是需要 VPC，但那说明你是真的需要它，而不是为了合规或其 他需求而无脑地引入。
如果有一天，你的云原生蜘蛛侠（cloud-native Spidey）意识开始变得模糊，有一点还请 牢记：有时候，责任越小，能力越大（sometimes, great power comes from less responsibility）。
原文地址：https://acloudguru.com/blog/engineering/do-i-really-need-a-vpc