行业投资评级 - 报告未明确给出行业投资评级 [1][2][3][4][5][6] 核心观点 - 报告主要围绕Kubernetes的安全风险展开，详细分析了Kubernetes的攻防矩阵，包括初始访问、执行、持久化、权限提升、防御绕过、凭证窃取、探测、横向移动和影响等9类战术 [11][12] - 报告还介绍了4个Kubernetes相关的安全开源项目，包括Kubebench、OPA、CDK和Trivy，为防御阶段使用工具提供了参考 [12] Kubernetes简介 - Kubernetes集群由一个控制平面和一组节点组成，控制平面管理集群中的节点和Pod，节点负责运行容器化应用 [21][22] - 控制平面组件包括kube-apiserver、etcd、kube-scheduler、kube-controller-manager和cloud-controller-manager，节点组件包括Kubelet、kube-proxy和Container runtime [23][24][25][26][31][35][36][37] Kubernetes安全风险 - Kubernetes ATT&CK矩阵详细描述了9类战术，包括初始访问、执行、持久化、权限提升、防御绕过、凭证窃取、探测、横向移动和影响 [39] - 初始访问风险包括凭证泄漏、Kubeconfig文件泄露、使用恶意镜像、存在漏洞的应用程序和暴露的敏感接口 [42][45][48][49][50] - 执行风险包括在容器内执行命令、创建恶意容器、带有SSH服务的容器、应用程序漏洞利用和Sidecar注入 [54][55][57][58][60] - 持久化风险包括创建后门容器、在已有权限的容器中植入后门、Kubernetes定时任务、在自定义镜像中植入后门和修改安全配置 [65][67][71][76][78] - 权限提升风险包括利用特权容器提权、为普通用户添加高权限、为EKS添加高权限角色、使用容器里挂载的敏感目录逃逸到宿主机和利用内核漏洞逃逸 [81][85][89][91][92] - 防御绕过风险包括容器日志清理、Kubernetes event日志清理、部署Shadow API Server、通过匿名网络访问和修改请求来源的UA头 [95][96][97][98][99] - 凭证窃取风险包括获取Kubernetes secret、获取Kubeconfig、访问容器SA、利用Kubernetes准入控制器窃取信息和不安全的凭据 [106][107][113][115][117] - 探测风险包括访问Kubernetes API Server、访问Kublet API、访问Kubernetes Dashboard、访问云厂商服务接口和访问私有镜像库 [124][131][133][136][137] - 横向移动风险包括Kubernetes内网横向访问、通过Service Account访问Kubernetes API、通过第三方Kubernetes组件横向移动、窃取凭证攻击云服务资源和窃取凭证攻击其他应用 [145][147][149][150][153] - 影响风险包括数据销毁、资源劫持和端点拒绝服务 [157][159][161] Kubernetes安全开源项目 - 报告介绍了4个Kubernetes相关的安全开源项目，包括Kubebench、OPA、CDK和Trivy，为防御阶段使用工具提供了参考 [12]

| --- | --- | |---------------------------------------------------------|--------------------------| | | | | | | | 通过实现高性能计算安全 增强研究完整性 | | | cloud security H GC GREATER CHINA REGION alliance ® | cloud security alliance® | 高性能计算（HPC）工作组的官网： https://cloudsecurityalliance.org/research/working-groups/high-performance-comp uting-cloud-security © 2024 云安全联盟大中华区-保留所有权利。你可以在你的电脑上下载、储存、 展示、查看及打印，或者访问云安全联盟大中华区官网（https://www.c-csa.cn）。 须遵守以下：(a)本文只可作个人、信息获取、非商业用途；(b) 本文内容不得 篡改；(c)本文不得转发；(d)该商标、版权或其他声明不得删除。在遵循 中华 人民共和国 ...

行业投资评级 - 报告未明确提及行业投资评级 [1][3][17] 核心观点 - 报告的核心观点是零信任技术在网络安全中的应用，强调“永不信任，始终验证”的理念，确保应用系统的安全性和数据的动态授权 [48][22][44] 行业概述 - 零信任技术是一种基于持续动态安全访问控制的技术，旨在降低访问过程中的安全风险，通过身份认证和授权，确保只有经过验证和授权的主体才能访问资源 [22][44][48] - 零信任架构包括安全网关、控制中心和代理等组件，各组件之间通过严格的通信协议和数据接口进行交互 [23][24][45] 技术规范与要求 - 应用系统与零信任安全网关之间的数据通信需满足身份鉴别、数据传输完整性和安全性等基本要求 [10][20][34] - 数据传输的延迟应控制在3秒以内，确保系统的实时性 [32][69][110] - 数据传输频率应不低于每60秒一次，以确保数据的实时性 [53][94][122] 数据接口与通信协议 - 应用系统与零信任安全网关的数据接口要求包括通信协议、数据传输和数据接口规范，支持HTTPS和国密算法等加密技术 [50][20][52] - 零信任安全网关与零信任控制中心之间的数据通信需使用TLS 1.2或更高版本的协议，确保数据的安全性和隐私性 [91][108][120] - 零信任代理与零信任安全网关之间的数据通信需满足身份验证、数据传输和异常告警等要求 [111][112][119] 异常告警机制 - 零信任系统需实时报告异常，异常告警接口参数应包括告警类型、级别、时间戳和告警内容等关键信息 [107][119][180] - 告警级别分为一般、警告和严重三个等级，以便控制中心采取相应的响应措施 [134][180][157] 其他技术细节 - 零信任系统支持IPv6协议，满足新一代网络协议的安全需求 [2][20][79] - 零信任系统采用最小权限原则，主体仅获得完成所需任务的最小权限集 [9][22][44]

⼀些云客户使⽤标准⻛险登记表来跟踪云服务和部署。只要该登记表可供安全和运营团队使 ⽤、并保持更新，包含本文所述信息，就是可以接受的。 2、环境 ID：为每个云环境分配⼀个唯⼀标识符，以便于跟踪和管理。此 ID 应出现在⽇志和 其他监控⼯具中，为每个环境提供精确的参考点。 7、所有者：确定每个云环境的业务所有者。这确保了决策和资源分配的可问责、责任和清 晰的沟通渠道。 拥有维护良好的云部署注册表可带来多种好处： 符合策略和法规：根据合规性需求对环境进⾏分类，云客户可以确认他们遵守内部策略和 外部法规， 从⽽最大限度地减少不合规的⾏为。 云特有的安全框架是专⻔为云环境设计的，并考虑了云计算的独特特性。这些框架解决了按 需资源分配、责任共担和快速弹性等⽅⾯的问题。通过使用特定于云的框架，云客户可以确保其 安全程序符合云的具体要求和挑战。 BSI 云计算合规标准清单 (C5) 2.3.3.1 NIST 网络安全框架 治理（GV）：建⽴并监控组织的网络安全风险管理策略、期望和策略。 检测（DE）：发现并分析可能的网络安全攻击和危害。 2.3.3.2 CSA 安全、信任、保证和风险注册 1、CSA STAR 证明：在此过 ...

报告行业投资评级 - 报告对行业的投资评级未明确提及 [1][2][3][4][5][6][7][8][9][10][11][12][13][14][15][16][17][18][19][20][21][22][23][24][25][26][27][28][29][30][31][32][33][34][35][36][37][38][39][40][41][42][43][44][45][46][47][48][49][50][51][52][53][54][55][56][57][58][59][60][61][62][63][64][65][66][67][68][69][70][71][72][73][74][75][76][77][78][79][80][81][82][83][84][85][86][87][88][89][90][91][92][93][94][95][96][97][98][99][100][101][102][103][104][105][106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] 报告的核心观点 - 报告的核心观点围绕数据分类分级的重要性、实施方法和应用展开 [23][24][25][52][53][54][55][56][57][58][59][60][61][62][63][64][65][66][67][68][69][70][71][72][73][74][75][76][77][78][79][80][81][82][83][84][85][86][87][88][89][90][91][92][93][94][95][96][97][98][99][100][101][102][103][104][105][106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] 国内外政策和现状 - 国内外政策现状 [40][41][42][43][44][45][46][47][48][49][50][51] - 国内外技术发展现状 [45][46][47][48][49][50][51] - 数据分类分级的目标和意义 [49][50][51] 数据分类分级概述 - 数据分类分级概念 [53][54][55][56][57][58][59][60][61][62][63][64][65][66][67][68][69][70][71][72][73][74][75][76][77][78][79][80][81][82][83][84][85][86][87][88][89][90][91][92][93][94][95][96][97][98][99][100][101][102][103][104][105][106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 数据分类分级面临的挑战 [57][58][59][60][61][62][63][64][65][66][67][68][69][70][71][72][73][74][75][76][77][78][79][80][81][82][83][84][85][86][87][88][89][90][91][92][93][94][95][96][97][98][99][100][101][102][103][104][105][106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] 数据分类分级能力建设 - 数据分类分级职能架构 [65][66][67][68][69][70][71][72][73][74][75][76][77][78][79][80][81][82][83][84][85][86][87][88][89][90][91][92][93][94][95][96][97][98][99][100][101][102][103][104][105][106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 数据分类分级管理体系 [65][66][67][68][69][70][71][72][73][74][75][76][77][78][79][80][81][82][83][84][85][86][87][88][89][90][91][92][93][94][95][96][97][98][99][100][101][102][103][104][105][106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 数据分类分级系统建设 [65][66][67][68][69][70][71][72][73][74][75][76][77][78][79][80][81][82][83][84][85][86][87][88][89][90][91][92][93][94][95][96][97][98][99][100][101][102][103][104][105][106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 数据分类分级监督 [65][66][67][68][69][70][71][72][73][74][75][76][77][78][79][80][81][82][83][84][85][86][87][88][89][90][91][92][93][94][95][96][97][98][99][100][101][102][103][104][105][106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] 数据分类分级方法 - 数据分类分级原则 [106][107][108][109][110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 数据分类分级依据 [110][111][112][113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 数据分类方法 [113][114][115][116][117][118][119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 数据分级方法 [119][120][121][122][123][124][125][126][127][128][129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 数据分类分级变更 [129][130][131][132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] 数据分类分级实施方案 - 数据分类分级实施过程 [132][133][134][135][136][137][138][139][140][141][142][143][144][145][146][147][148][149][150][151][152][153][154] - 业务活动识别 [134][135][136][137][138][139][140][141][142][1

报告行业投资评级 报告行业投资评级为"买入"。 报告的核心观点 1. 云安全已成为企业数字化转型过程中不可忽视的核心问题 [9] 2. 传统威胁正在逐渐被边缘化,新的风险如配置错误、身份与访问管理的薄弱、不安全的API接口,以及缺乏系统性的云安全策略,正成为核心安全问题 [13][14] 3. 随着生成式人工智能的广泛应用,企业在享受技术创新带来的效率提升的同时,也面临着更复杂的安全挑战 [9] 4. 全球云安全将继续面临愈发复杂的供应链风险、监管环境的不断演变,以及新型攻击手段的层出不穷 [9] 5. 企业需要采用创新的安全架构和技术,如零信任模型、自动化安全管理、云原生安全工具等,以增强应变能力 [9][139][140] 6. 安全技能的差距也将继续成为企业面临的长期挑战,推动全员持续教育与技能提升是增强组织整体安全韧性的关键 [140] 报告内容总结 配置错误与变更控制不足 1. 配置错误是指云计算资产的设置不正确或次优,可能使其容易受到意外损坏或外部/内部恶意活动的攻击 [20] 2. 不充分的变更控制实践可能导致未被检测到的不当配置,构成重大安全风险 [20] 3. 配置错误/不充分变更控制可能导致数据泄露、数据丢失、数据破坏、系统性能下降、系统中断、赎金要求、不合规和罚款、收入损失、股价下跌,以及公司声誉受损等严重影响 [21][22][23][24] 4. 关键缓解措施包括云配置监控、审计和评估,采用实时自动化验证的云系统和变更管理方法 [25][26] 身份与访问管理(IAM) 1. IAM确保个体在证明自己的身份后,只能访问被授权的资源,在网络安全中扮演关键角色 [30] 2. 云环境中IAM管理可能变得复杂且风险重重,如错误和安全漏洞、过度权限和配置错误等 [30] 3. 不充分的IAM可能导致未经授权的访问、数据泄露和监管不合规,造成重大的财务和声誉损害 [31][32][33][34] 4. 关键缓解措施包括使用统一IAM解决方案、遵循最小权限原则、自动化配置和去配置,以及部署访问评估和监控工具 [35] 不安全的接口与APIs 1. API和UI因多种原因变得容易受到攻击,如不充分的认证机制、缺乏加密、不当的会话管理、输入验证不足等 [44] 2. 不安全的接口可能导致系统访问、数据泄露、系统中断、功能延迟、收入损失、不合规和罚款,以及公司和客户声誉受损 [45][46][47] 3. 关键缓解措施包括按照最佳实践监控和保护API、实施速率限制和节流、更新传统的安全控制方法和变更管理政策,以及调查凭证生命周期自动化和异常API流量监控技术 [48][49] 云安全策略缺失 1. 云安全策略包括考虑外部因素、现有实施情况以及云技术的选择、优先级和趋势,以创建高层次的计划或方法 [56] 2. 缺乏云安全策略和架构会阻碍有效和高效的基础设施安全工作和设计的实施,可能导致数据泄露、部署阻碍、财务成本增加、不合规和罚款,以及公司声誉受损 [57][58][59][60] 3. 关键缓解措施包括制定云安全策略或关键指导原则,在设计和实施时考虑业务目标、风险、效率、安全威胁和法律合规性,并设计适当的云网络、账户、数据、身份管理和边界保护 [61]

报告行业投资评级 报告未提供行业投资评级。 报告的核心观点 1. 人工智能（AI）技术已经成为推动全球科技创新和社会进步的重要动力之一，在各行各业中广泛应用。[14][15] 2. 随着 AI 技术的广泛应用,其安全性、可靠性和伦理问题也逐渐浮出水面,成为社会各界关注的焦点。[1][2] 3. AI 存在数据泄露、模型安全性、系统框架等多方面的安全风险,以及内容失真、伦理风险等社会问题。[3][4][5] 4. 为提高 AI 的可信度,需要从数据质量、模型设计、测试验证、持续监控等多个环节进行全面评估和改进。[6][7][8] 5. 政策法规、行业标准、教育培训等多方面措施有助于推动 AI 可信度的提升。[9][10][11] 6. 企业在 AI 应用中也积极探索可信 AI 的实践,如百度、蚂蚁集团等公司的相关实践。[12][13] 分类总结 1. 政企办公: - 阿里钉钉和金山办公等公司利用 AI 技术提升办公效率,如智能问答、文档生成等。[63][64] 2. 金融行业: - 中国工商银行和东方财富等金融机构应用 AI 技术于投研、风控、反欺诈等场景,提升决策效率和准确性。[65][66] 3. 消费行业: - 京东、淘宝等电商平台利用 AI 技术优化选品、营销、客服等环节,提升消费者体验。[67][68] 4. 医疗行业: - 百度、阿里健康等公司开发面向医疗行业的 AI 大模型,应用于诊断、用药等场景,提升医疗服务效率。[69][70]