使用 Twistlock 和 Prisma Cloud 实现容器安全

信息技术数字 » 资源 » 使用 Twistlock 和 Prisma Cloud 实现容器安全

对于任何在云端使用 Kubernetes、Docker 或微服务架构的公司而言，容器安全都至关重要。如今的挑战不再仅仅是加快部署速度，而是要避免为攻击者打开方便之门，让他们能够利用存在漏洞的镜像、薄弱的配置或过大的权限。

Twistlock现已集成到Palo Alto Networks的Prisma Cloud中，是保护容器和云原生工作负载的领先解决方案。原先的容器安全平台已并入全面的云原生应用保护平台（CNAPP），涵盖从代码级安全到运行时安全的所有方面，包括CI/CD、日志记录、运行时安全和合规性。

微服务架构及容器安全挑战

微服务架构本质上是动态的（ Docker Compose 和 Kubernetes之间的选择也是如此）：Pod、服务和容器持续部署，版本每天更新多次，实例根据负载进行扩展。这种模型加速了开发，但也使得基于静态边界和偶尔手动检查的传统安全机制过时。

容器技术确保软件在不同环境（开发、预生产、本地部署、公有云）中运行一致，而正是这种可移植性使其成为攻击者的主要目标。一个存在漏洞的基础镜像可以在几分钟内传播到成百上千个部署实例。

现代容器安全必须涵盖整个生命周期：从 CI/CD 流水线中的镜像构建，到日志扫描，再到运行时行为。如果仅在部署前或运行时进行安全检查，则始终存在危险的漏洞。

像 Prisma Cloud（前身为 Twistlock）这样的专业容器安全工具可以覆盖主机、网络、管理栈、构建流水线、镜像层以及容器化应用程序本身。其目标是实现持续监控，以适应云原生环境瞬息万变的特性。

与此同时，生态系统中涌现出许多互补的解决方案，例如 Wiz、Snyk、Trivy、Anchore、Aqua Security、Sysdig 和 Qualys，每个解决方案都有其自身的侧重点：漏洞扫描、合规性、运行时防御、CSPM 等。Prisma Cloud 将其中许多功能集成并扩展到一个单一平台中。

什么是容器安全工具？Prisma Cloud 的优势是什么？

容器安全工具是专门为应对 Docker、Kubernetes、Fargate、ECS、AKS、GKE、OpenShift 和其他编排平台的安全挑战而设计的软件解决方案。它们不仅限于简单的镜像防病毒，还能提供整个环境的上下文信息、策略、合规性和可见性。

以 Prisma Cloud Compute（Twistlock 的直接继任者）为例，我们谈论的是一个能够保护主机、容器、无服务器函数以及一般云原生工作负载的平台。它提供漏洞管理、合规性控制、基于规则和机器学习的运行时防御、云原生防火墙（例如用于 Web 应用程序和 API 的 WaaS）以及细粒度的访问控制。

Twistlock 最初是一个面向整个容器生命周期的漏洞管理和合规性解决方案，专注于扫描镜像并防止不安全的组件从开发环境迁移到生产环境。随着时间的推移，它又增加了对日志、网络和运行时环境的持续监控，以及访问控制和网络分段等功能。

在 Palo Alto Networks 于 2018 年收购 Prisma Cloud 之后，所有这些功能都被整合到了 Prisma Cloud 中，而 Prisma Cloud 本身已经涵盖了云安全的其他领域。最终形成了一个 CNAPP，它能够管理 Docker 配置、镜像、节点、插件和服务的规则，与 Cyber​​Ark 或 HashiCorp 等密钥管理器集成，并利用 Kubernetes 审计日志生成可操作的警报。

这种集成可以非常精细地查看依赖项、软件包、镜像层和运行时行为，无论是在 CI/CD 管道中，还是在主机、容器即服务平台或混合和多云环境中运行的容器中。

容器扫描：安全策略的关键要素

容器扫描是检测基础镜像、第三方库和自定义代码中漏洞的第一道防线。将扫描集成到 CI/CD 流水线中，可以在部署前发现问题，避免在生产环境中疲于应对。

及早发现漏洞可以节省时间和金钱：在构建阶段修复存在漏洞的库比在生产集群中修复（该集群中有数十个服务依赖于该库）要便宜得多。此外，它还能防止混乱的回滚和不必要的风险暴露。

扫描对于保护软件供应链也至关重要，因为软件供应链越来越多地包含外部组件：公共镜像、第三方软件包、其他团队的工件等。验证镜像中包含的所有内容是否包含已知的 CVE 或危险配置现在是强制性的。

从监管角度来看，许多行业要求定期进行漏洞扫描，并要求提供证据证明镜像和容器符合 GDPR、HIPAA、PCI DSS 或 CIS 等标准。集中式扫描工具有助于进行审计和生成报告。

另一个优势是缩小了攻击面：扫描器可以检测到不必要的软件包、被遗忘的调试工具，或者那些不增加功能却会增加风险的组件。通过去除所有冗余内容，可以获得更轻量级、更安全的镜像。

CI/CD 安全自动化及零日攻击防御

将安全性集成到 CI/CD 和GitOps等实践中，才能真正实现 DevSecOps。不再依赖偶尔的人工审查，每次提交或构建都会自动触发镜像扫描、代码分析、IaC 审查和策略检查。

Prisma Cloud Compute 与 Jenkins、GitHub、GitLab 和其他 CI 提供商等工具集成，以拒绝不符合策略的构建，为开发人员生成报告，并阻止将易受攻击的工件提升到更高的环境。

自动化也是缓解零日漏洞的关键。即使镜像已经通过所有检查，与该镜像中包含的软件包关联的新 CVE 也可能出现。通过持续扫描注册表项和运行环境，平台会在漏洞数据库更新后立即重新评估镜像。

这种方法最大限度地缩短了暴露窗口：组织可以在几小时内得知几周前部署的映像现在出现了问题，并可以根据严重性、互联网暴露、处理的数据等因素优先进行纠正。

就声誉而言，定期进行自动化扫描有助于赢得客户、合作伙伴和监管机构的信任。重视集装箱安全的公司通常在招标和尽职调查过程中脱颖而出。

Prisma 云计算（Twistlock）：架构、需求和部署

Prisma Cloud 提供两种主要部署选项：企业 SaaS 版本，由 Palo Alto Networks 托管和管理；以及自托管计算版本，客户可将其部署在自己的基础设施（本地、云或混合）上。

计算版直接继承了 Twistlock 架构，它有一个中央控制台，用于协调策略、收集数据和显示全局可见性，以及部署在主机、Kubernetes 节点、Fargate、EC2、Windows 容器和无服务器环境中的 Defender 代理。

关于控制台的技术要求，对于小型环境（少于 1000 个 Defender 节点且无需进行密集日志扫描），大约 2 GB 内存和 2 个虚拟 CPU 即可启动。对于超过 20000 个 Defender 节点的大型部署，Palo Alto Networks 建议使用最多 16 个虚拟 CPU、约 50 GB 内存和约 500 GB 的持久性 SSD 存储空间。

Defenders 的资源消耗相对较低：在基本场景下，它只需约 256 MB 的内存即可运行；在执行日志扫描或更密集的工作负载时，则可扩展至约 2 GB 的内存和 2 个虚拟 CPU。磁盘空间方面，它每台主机占用约 8 GB 空间，如果执行本地日志分析，则会增加到 20 GB。

如果将扫描集成到 CI 中，建议每个执行器至少拥有要扫描的最大图像大小的 1,5 倍的空间，以便能够下载、分析和生成必要的工件而不会出现瓶颈。

Prisma Cloud 性能和大规模测试

Palo Alto Networks 发布了 Prisma Cloud在模拟真实工作负载的超大型环境中的性能测试结果。其中一个场景涉及总共 20,000 台主机的 Kubernetes 集群、一台配备 16 个 vCPU 和 50 GB 内存的控制台，以及运行在容器优化操作系统上的配备 2 个 vCPU 和 8 GB 内存的 Defender 设备。

在该环境下，我们分析了 323 个镜像和近 20 万个容器，平均每个主机运行约 9,6 个容器。控制台占用约 1474 MiB 内存和 8% 的 CPU，而每个 Defender 进程占用约 83 MiB 内存和 1% 的 CPU——对于实时安全系统而言，这些数值相当合理。

单个容器扫描平均耗时 1 到 5 秒，额外占用 10-15% 的内存，而 CPU 使用率仅为 1%。这使得即使在要求苛刻的流水线中集成扫描功能也成为可能，而不会减慢新功能的上市速度。

除了 CPU 和内存数量之外，真正的优势体现在安全运营 (SecOps) 和开发运营 (DevOps) 方面。Forrester Consulting 对 Prisma Cloud 进行的一项 TEI（总体经济影响）研究计算得出，其投资回报率高达 264%，安全运营效率提升价值数百万美元，并且重大安全事件显著减少。

另一个有趣的指标是事件解决时间的减少：用户报告称，由于统一的遥测和仪表板集中了日志、警报和网络上下文、IAM 和配置，以前需要几天才能完成的分析现在只需大约 3,3 小时即可完成。

Prisma Cloud 的安全功能继承并扩展自 Twistlock

Twistlock 的核心在于对整个容器生命周期进行漏洞管理。Prisma Cloud 也遵循这一思路，并在此基础上增加了额外的上下文信息和自动化功能，以确定修复漏洞的优先级。

该平台基于已知的CVE编号、严重性、可利用性、实际运行时暴露情况、服务关键性以及是否存在修复路径，建立风险优先级排序。它提供修复指南、分层镜像分析以及每个服务十大最关键漏洞列表。

在主动保护级别，Prisma Cloud 控制警报和阻止的严重程度，允许您为每个服务和组调整哪些行为应该只生成警告，哪些行为应该在构建期间或运行时被阻止，例如，响应在容器内执行危险命令的尝试。

漏洞检测的准确性得益于30多个上游数据源向CVE和警报数据库提供的信息。这减少了误报，并帮助团队专注于真正重要的事情，而不是浪费时间筛选无关信息。

此外，Prisma Cloud全面集成了漏洞管理功能：它可以扫描代码库、容器日志、CI/CD流水线和运行时环境。这避免了工具彼此孤立、互不通信的常见问题。

Prisma Cloud 作为 CNAPP：超越容器安全

如今，Prisma Cloud 已发展成为一个完整的 CNAPP 平台，其功能远远超越了 Twistlock。它包含云安全态势管理 (CSPM)、工作负载保护 (CWP)、权限管理 (CIEM)、网络安全、数据安全以及对基础设施即代码和 CI/CD 管道的控制等模块。

在CSPM中，该解决方案会审查AWS、Azure、GCP、OCI和阿里云上的配置，检测过度权限、暴露的资源、配置错误的服务以及与CIS、PCI等框架或公司内部基准的偏差。修复可以手动或自动进行。

在 CWP 领域，Prisma Cloud通过漏洞管理、进程监控、网络防御、文件完整性控制以及基于签名、动态分析和机器学习的行为规则来保护主机、容器和无服务器函数。

CIEM 模块专注于云权限和身份，识别过度授权的凭证、未使用的角色、暴露的密钥或跨账户访问，这些都可能导致在初始入侵后出现危险的横向移动。

网络安全组件包括异常检测功能、攻击路径分析、基于标签的分段以及与下一代 Palo Alto 防火墙（PAN-OS、Strata Cloud Manager、Panorama）的集成，从而实现传统网络世界和 Kubernetes 之间的一致策略。

使用 Prisma Cloud 为 Kubernetes 和容器提供原生安全保障

Prisma Cloud 的优势之一是其原生 Kubernetes 保护功能。它与控制平面集成，可直接查看容器、Pod 和命名空间，并强制执行动态的、基于标签的策略，而不是僵化的 IP 地址。

该解决方案可与标准的 kubectl、CNI 链和 Helm chart 注解协同工作，以便在每次部署时传播安全元数据。这使得根据上下文（环境、设备、关键性、互联网暴露等）自动应用网络、运行时和合规性规则变得容易。

Prisma Cloud 还可以摄取 Kubernetes 审计日志，以检测可疑事件、意外的角色变更、创建具有危险权限的服务帐户或对敏感对象的修改。所有这些信息随后都会转化为警报和仪表板，并集中显示在一个控制台中。

关于 WAAS（Web 应用程序和 API 安全），该模块可保护运行在 Kubernetes 或容器上的 Web 应用程序和 API 免受典型的 OWASP Top 10 攻击（注入、XSS、访问控制失效等）以及更高级的攻击。它可以在仅发出警报模式或主动阻止模式下运行。

通过将这些功能与 Palo Alto 防火墙相结合，组织可以统一从网络层到应用程序负载的可见性和控制，使用相同的真实来源来集中式身份、标签和策略。

Prisma Cloud 的安全状况、漏洞和合规性

与任何复杂的软件一样，Prisma Cloud 也存在一些漏洞， Palo Alto Networks 已主动解决这些漏洞。过去的例子包括本地权限提升漏洞、Web 控制台中的跨站脚本 (XSS) 漏洞以及错误的加密验证，其中 CVE-2021-3042 和 CVE-2021-3033 等漏洞的 CVSS 评分较高。

该公司维护着一套积极的漏洞响应机制，即使在尚未发布公开的 CVE 编号时，也会分配自己的漏洞标识符（PRISMA）。补丁程序分发迅速，尤其是 SaaS 版本，该版本无需客户干预即可持续更新。

在加密和数据保护方面，Prisma Cloud 将日志和遥测元数据存储在云端管理的加密服务（如 RDS 或 Redshift）中，符合传输中和静态数据安全的最佳实践。

在身份验证方面，Compute Edition 支持 SAML 等强大的方法，可将 Compute Edition 与企业身份提供商集成，从而实现 SSO 并应用 MFA 策略或集中式会话管理。

该平台还提供预定义的检查项、可导出的报告、按法规分类的仪表盘以及创建自定义控制的功能，帮助组织满足合规标准。这对于金融、医疗保健和公共管理等领域至关重要。

技术要求、支持和兼容性

Prisma Cloud 的许可模式基于积分，客户根据其需要保护的模块和工作负载（企业版、计算版等）消耗积分。这使得成本可以根据每个组织的需求进行定制，但也增加了规模调整和预算编制的复杂性。

操作系统兼容性广泛：自托管的 Compute 控制台可在 x86_64 Linux 发行版上运行，而 Defenders 支持各种 x86_64 和 ARM64 Linux 主机、Windows 容器以及常见版本的 Docker Engine 和容器运行时。

在公有云方面，Prisma Cloud 涵盖 AWS、Azure 和 GCP，以及 Oracle 云基础设施和阿里云等提供商。它专为多云和混合环境而设计，提供深度 API，可与流水线、外部安全工具和 DevOps 生态系统集成。

SaaS 版本会持续更新，因此传统的“停止支持”概念并不适用。自托管的计算版本则有版本生命周期，与 Palo Alto 的产品策略保持一致，团队在规划升级时应注意这一点。

关于技术支持，用户意见不一：许多用户对文档的丰富性和技术能力给予了积极评价，而另一些用户则提到技术支持体验可能不稳定，在某些情况下响应时间有待提高。

市场愿景、替代方案和用户感知

在 CNAPP 和容器安全领域，Prisma Cloud 与 Wiz、Orca Security、Aqua Security、Sysdig、Microsoft Defender for Cloud、Lacework、Check Point CloudGuard、Trend Micro Cloud One、Qualys、SentinelOne Singularity Cloud Security 等厂商，以及 Checkmarx One 和 Veracode 等 SCA/DevSecOps 解决方案厂商展开竞争。

Prisma Cloud 的主要优势在于其广泛的覆盖范围：从基础设施即代码 (IaC) 和持续集成/持续交付 (CI/CD) 到运行时环境，涵盖客户成功策略管理 (CSPM)、客户成功流程 (CWP)、客户信息管理和事件管理 (CIEM)、网络安全和数据安全。对于希望减少工具和仪表盘数量的组织而言，将所有功能整合到单一平台上通常是一个极具吸引力的方案。

用户提及最多的优势包括：统一的云资产可见性、自动修复能力、强大的查询语言（RQL/KQL）用于调查事件，以及与云提供商和第三方技术的良好集成。

缺点方面，学习曲线最为陡峭（它并非一款简单的工具），用户提及最多，此外，一些功能似乎仍在开发中。部分用户还觉得其许可模式略显复杂，并指出技术支持服务有待改进。

即使存在这些缺点，Prisma Cloud 仍被视为拥有复杂基础设施的公司的一个强大解决方案，特别是那些已经在其他安全层使用 Palo Alto Networks 并希望在网络、端点和云工作负载之间保持一致策略的公司。

Prisma Cloud 中的 Twistlock 的演进，使其成为一个非常完整的容器和云原生应用程序保护平台：它从代码层面控制漏洞，自动执行 CI/CD 扫描，监控日志和运行时，与 Kubernetes 和公有云原生集成，最重要的是，它增加了一层上下文和优先级排序，帮助团队专注于真正关键的事情，而不会被警报淹没。