应用交付流程安全规范

本博客地址：https://security.blog.csdn.net/article/details/130793290

一、平台安全使用规范

平台安全使用规范主要是规定平台层（包括主机、Kubernetes集群）的用户和文件权限及Kubernetes平台配置和使用规则。

如下所示：

二、容器镜像安全规范

容器镜像安全规范主要是规定应用镜像打包规范，约束使用的基础镜像以及基础镜像的使用方法。

如下所示：

● 只能使用指定的容器基础镜像（如alpine的固定版本）
● Dockerfile中不能包含敏感信息（比如密码等）
● 需通过USER命令指定容器进程的启动用户，不能以默认的root身份启动
● 镜像不能挂载包括/etc、/bin、/root等路径在内的系统关键路径
● 发布的镜像需通过镜像扫描平台进行安全扫描
● 非特殊情况，不允许在基础镜像的基础上再下载扩展软件包
● 某些情况下，安装扩展软件包时，去除无用的附属文件（如debug工具、帮助文件等）

三、云原生应用安全规范

云原生应用安全规范主要是规定Pod的定义规则、namespace的隔离规则以及各应用之间的访问规则；还包括应用在架构上的安全定义规则。

如下所示：

四、安全审计规范

安全审计规范主要是规定应用的操作日志、与安全相关的运行日志及运行事件的输出规范。

如下所示：

● 用户对资源的操作和管理需记录操作日志，操作日志的信息字段需记录操作源IP等关键字段
● Web层接口的调用入口及出口需记录调用日志，调用日志的级别需为WARN。调用日志需标记出调用时间、输入参数和能够标记调用用户的字段信息
● 应用日志中不能输出用户的隐私信息（比如用户密码等）
● 应用日志需对应用异常情况进行捕获，并输出应用运行的整体情况日志，如在线程池满的时候，输出线程总数及请求队列的统计信息
● 需开启kube-apiserver审计，记录平台的事件信息

最后，应在DevSecOps流水线中配置自动化的安全规范检查机制，将安全的检查工作融入日常的开发流程中，利用云平台的自动化机制来实现自动化的持续安全。