在云原生化之后，有些容器里面的問題是摸不透的。

近年來，隨著云原生技術日漸成熟普及，越來越多企業開始邁向"容器化"、"云原生化"，以滿足企業整合信息資源、發展創新業務、提質降本增效等需求。然而，將業務應用遷移到云端之后，很多企業都發現，以往的安全體系和運營思路無法應對新環境下的安全威脅，必須升級更為有效的安全體系，采用更為先進的安全產品，才能更好的保障企業云原生安全。在這方面，一直走在互聯網保險保障行業前列的水滴公司的經驗值得很多企業借鑒。

數據安全將成主要趨勢

水滴公司創建于2016年4月，是中國領先的保險+健康服務科技平臺，以"用互聯網科技助推廣大人民群眾有?？舍t，保障億萬家庭"為使命，致力于為用戶提供健康保障解決方案。

在保險保障端，水滴公司通過水滴保和水滴籌兩大業務為用戶提供高效的醫療資金解決方案，首創"大病籌款+人身保險"的健康保障模式；在健康服務端，水滴公司推出水滴好藥付、水滴健康等業務，與醫院、醫藥公司等醫療服務伙伴的合作，為用戶提供更廣泛的醫療服務選擇，包括線上購藥、在線問診和其他健康醫療服務。

截至2021年6月，水滴保累計保險用戶數1.021億，好藥付累計會員數約15萬，有3.72億愛心人士在水滴籌平臺上支持了大病救助項目，幫助近210萬名經濟困難的大病患者籌得超過428億元的醫療救助款。

由于承載著海量用戶和患者的隱私數據，水滴公司格外重視數據安全。在水滴公司安全專家常春峰看來，回歸到安全的基本面，數據安全是核心。對于企業內部的安全團隊來講，需要一個類似資產地圖的抓手，能夠對企業資產進行識別和發現，搞清楚資產是怎樣分布和分類分級的，并進行有針對性的防護。"從安全防線的角度來說，它屬于最外層，也是最接近用戶的一層，而主機層面的安全防護其實是0容錯的，一旦被突破就相當于被攻破。"

關于線上業務的安全架構，從數據安全生命周期的維度來解讀，在每一個階段都部署了安全產品，如最外端的DDos防護和WAF等攻擊防護的安全方案、再到內部主機層面的入侵檢測等安全產品，以及數據的加密傳輸、加密存儲和脫敏展示等等，安全團隊的理念是希望讓攻擊者"進不來，看不懂，拿不到"。

除了安全技術手段，水滴公司也會在公司內部開展攻防演練，定期舉辦年度"網絡安全周活動"，同時聘請專業的攻擊團隊做眾測和攻防演練、檢驗公司的安全防御能力，并向內部員工普及安全的重要性。

云原生帶來的喜與憂

2018年，水滴公司的架構團隊開始嘗試云原生建設，從原來的虛擬主機環境開始進行微服務化，把服務拆成更小的單元，再到容器化，對所有的容器進行管理。2019年時，其云原生架構已經成熟，如今，已經實現了規?；涞?，實現了網格化的管理和演進。

常春峰告訴記者，水滴公司線上安全產品的建設基本是針對容器化環境來進行的。容器化本身帶來了成本的下降與效率的提升，可以實現持續的部署和測試，而且不受跨平臺影響。但是對于安全建設來講卻意味著新的挑戰，安全必須要跟上業務的節奏，比如以往的思路是注重流程化SDL的建設，業務上線前要經過安全評估，采用的是安全平臺工單化，在DevOps的場景下是存在沖突點的。

常春峰解釋到："就像在一個有弧度的高速公路上，對車輛的速度要有一定的限制，才能保證其交通安全。不過，安全的本質還是要為業務服務，在安全和業務間尋找一個平衡點，提升效率。我們內部也在對DevSecOps方案進行落地，圍繞安全自動化的方案進行建設。"

但是水滴公司在實現云原生之前的安全能力是基于虛擬主機層面的，在從主機環境向云原生環境過渡的過程中，衍生出來的最大的問題就是原有的非容器化安全能力能否平移到容器上。

常春峰指出，在云原生化之后，有些容器里面的問題是摸不透的，對于安全威脅的感知存在一定的空白。如果容器環境自身有問題，或者它的基礎鏡像存在漏洞，還沒有對應的安全能力來發現和解決，它就變成了一個"盲盒"，這是最可怕的。而且，當時的基礎鏡像有上萬個，不可能依靠人工去解決這個問題，開源的產品自身存在一些限制，所以需要一個產品來"拆解"這個盲盒，能幫助公司進行清晰的資產盤點、分類分布、風險識別、發現攻擊威脅、實現態勢感知等等。"不然等攻擊發生時。全靠人工的去做應急響應，就會很被動。"

用青藤蜂巢拆解"盲盒"

于是，2019年，水滴公司開始進行云原生安全產品選型。常春峰強調，在選擇云原生安全產品時，穩定性是第一位的要素，在保證安全的同時一定要保證穩定性，"一旦穩定性出了問題，安全團隊是很難抗這個壓力的。"其次要考慮安全上的專業性和需求匹配，要切實戳中甲方安全團隊的痛點，能以更低的成本進行提效。

經過慎重的選型，水滴公司采用了青藤云安全的蜂巢·云原生安全平臺，它能提供覆蓋容器全生命周期的意站式容器安全解決方案，實現容器安全預測、防御、檢測和響應的安全閉環。

常春峰指出，青藤蜂巢·云原生安全平臺有一個非常好的亮點，就是從全生命周期視角出發的，它解決了安全層面的"盲盒"問題，除了入侵行為監控與感知這樣必備的基礎功能，資產地圖讓安全團隊更了解自己的資產，怎樣分布，讓安全風險更可見。特別是在容器化的環境下，一旦有組件被暴出存在漏洞，安全團隊可以快速借助產品能力進行定位，快速應急響應，提升安全效率。

而且，青藤蜂巢還提出了一些安全基線的問題，讓用戶可以站在一定的高度來審視可能被自己忽略的、看似安全但實際上可能被組合利用的風險環節。此外，青藤云安全的產品部署也非?？?，會有專業的團隊來幫助水滴公司進行灰度部署，售后服務的響應也很快。

常春峰表示，與2-3年前相比，如今國內的云原生安全市場相對成熟了很多，產業鏈條上的安全產品選擇也多了很多。不過從其個人經歷和對現有產品的使用體驗來看，相關產品未來還有一些的改進空間，要更加貼近業務場景?；趯夹g發展趨勢的判斷，如果未來出現新的或是顛覆式的產品技術迭代，安全產品也要跟隨這一趨勢，實現更新迭代。水滴公司將根據"時間管理四象限"，圍繞業務提效來進行安全基礎設施建設，只有在"重要&不緊急"的事情上下更多的功夫，才能減少對"重要&緊急"事件的時間投入，把事情做好，盡量讓企業面臨的安全風險更少一些。