目前，一種新的攻擊技術(shù)和策略開(kāi)始受到網(wǎng)絡(luò )黑產(chǎn)分子的青睞——實(shí)現跨平臺攻擊。什么是跨平臺攻擊？舉例，比方網(wǎng)絡(luò )詐騙犯為了避開(kāi)電子商務(wù)平臺的監控可能會(huì )在微博上發(fā)消息，在百度上撒網(wǎng)，騰訊上聯(lián)系，最后在淘寶上交易。因此這樣的跨平臺操作方法會(huì )大大添加犯罪的過(guò)程監控和取證難度?？缙脚_攻擊不僅能夠影響到原本的受害者、就連受害者的其他移動(dòng)設備，甚至是所連接的網(wǎng)絡(luò )或者網(wǎng)絡(luò )中其他的系統都會(huì )被攻陷。

最早實(shí)現跨平臺攻擊功能的勒索軟件組織是RedAlert和Monster，他們可以針對目標的多個(gè)操作系統和環(huán)境實(shí)施該攻擊。

跨平臺攻擊的攻擊者只需編寫(xiě)一次特定的程序功能，就可以使用生成的代碼編寫(xiě)針對多個(gè)目標的攻擊腳本，這種攻擊不僅能阻礙分析，還可以針對特定受害者環(huán)境定制攻擊。攻擊者可以使用命令行自定義攻擊，例如，在針對特定類(lèi)型的客戶(hù)端虛擬機時(shí)，允許代碼在ESXi環(huán)境中運行。這也讓安全專(zhuān)家檢測和預防勒索軟件攻擊變得更加困難。

零信任并不是一種產(chǎn)品，而是一種基于深度防御和最低特權訪(fǎng)問(wèn)概念的安全方法。

在零信任及其實(shí)施方面，似乎每個(gè)人都在玩“猜迷游戲”，并且是從政府指導開(kāi)始。美國政府在今年1月對美國管理和預算辦公室(OMB)針對聯(lián)邦機構和部門(mén)的聯(lián)邦零信任戰略的評論既務(wù)實(shí)又充滿(mǎn)抱負。他們的觀(guān)察以L(fǎng)og4j漏洞為例，很好地總結了這一點(diǎn)：“零信任策略將使機構和組織能夠更快地檢測、隔離和響應這些類(lèi)型的威脅?！?/span>

然而，要使零信任戰略取得成功，實(shí)施者必須了解它是什么以及它所依據的基本原則。

在關(guān)于零信任主題的研討中，Trellix公司首席工程師兼漏洞研究主管Douglas McKee在Black Hat會(huì )議上指出，現實(shí)情況是“深度防御”和“最低特權訪(fǎng)問(wèn)原則””是流行術(shù)語(yǔ)“零信任”背后的基本要素。

正如Code42公司首席執行官Joe Payne所說(shuō)：“讓員工能夠以受信任的方式完成工作，并在企業(yè)的保護傘下，這樣如果他們冒險離開(kāi)企業(yè)的流程和程序，例如加載到基于Web的存儲，他們就會(huì )立即得到糾正?！?/span>

如今，網(wǎng)絡(luò )攻擊已經(jīng)變得十分廣泛且普遍，不斷是對于企業(yè)還是個(gè)人而言，都難以避免層出不窮的網(wǎng)絡(luò )攻擊。網(wǎng)絡(luò )攻擊的目標則是訪(fǎng)問(wèn)、更改或刪除數據，甚至出現敲詐勒索和中斷正常服務(wù)等現象。人們已經(jīng)明顯感受到網(wǎng)絡(luò )攻擊的影響，并且有報道稱(chēng)，這些攻擊只會(huì )變得更惡劣，甚至可能對全球經(jīng)濟造成破壞。

在這樣的情況下，網(wǎng)絡(luò )安全也日益受到人們的重視，對許多企業(yè)而言，網(wǎng)絡(luò )安全正在成為一種生存機制，而不再是可有可無(wú)的選項。不過(guò)，實(shí)施有效的網(wǎng)絡(luò )安全措施尤其具有挑戰性，因為設備的數量比人還要多，而攻擊者也變得更具創(chuàng )新性。為了對抗一直呈上升趨勢的網(wǎng)絡(luò )攻擊，機器學(xué)習被予以了重任。

網(wǎng)絡(luò )安全的“不安全”最直接就表現在數據泄露和各類(lèi)網(wǎng)絡(luò )攻擊上。在網(wǎng)絡(luò )時(shí)代，確保國家信息安全，對于國家政治安全的重要性空前增強。

零信任是一種被大量炒作的安全模型，但盡管存在營(yíng)銷(xiāo)噪音，但它對于具有安全意識的組織具有一些具體而直接的價(jià)值。

零信任的核心是，將授權從“在邊界驗證一次”轉變?yōu)椤半S時(shí)隨地驗證”。

為此，零信任要求我們重新思考身份的概念，并擺脫基于位置的身份，例如 IP 地址。

Kubernetes 采用者在網(wǎng)絡(luò )層實(shí)現零信任時(shí)具有明顯的優(yōu)勢，這要歸功于基于 Sidecar 的服務(wù)網(wǎng)格，它提供無(wú)需更改應用程序就可實(shí)現的最細粒度的身份驗證和授權。

雖然服務(wù)網(wǎng)格可以提供幫助，但 Kubernetes 安全性仍然是一個(gè)復雜而微妙的話(huà)題，需要從多個(gè)層次進(jìn)行了解。

零信任是一種位于現代安全實(shí)踐前沿的強大的安全模型。這也是一個(gè)容易引起轟動(dòng)和炒作的術(shù)語(yǔ)，因此很難消除噪音。那么，究竟什么是零信任，對于 Kubernetes，它究竟意味著(zhù)什么？在本文中，我們將從工程的角度探討什么是零信任，并構建一個(gè)基本框架來(lái)理解它對 Kubernetes 運維和安全團隊等的影響。

泄密溯源技術(shù)、大數據反詐系統、量子加密技術(shù)……在2022年國家網(wǎng)絡(luò )安全宣傳周網(wǎng)絡(luò )安全博覽會(huì )中，諸多網(wǎng)絡(luò )安全新技術(shù)、新應用亮相，各種沉浸式的科普互動(dòng)也讓觀(guān)眾目不暇接。

當前，我國網(wǎng)民規模達10.51億，互聯(lián)網(wǎng)普及率高達74.4%，互聯(lián)網(wǎng)早已全面融入社會(huì )生活各方面，成為支撐社會(huì )正常運行不可或缺的基礎設施。網(wǎng)絡(luò )安全一旦遭到破壞，哪怕是某一局部范圍內的安全功能喪失，都會(huì )使社會(huì )生活直接受到影響。

網(wǎng)絡(luò )安全意味著(zhù)互聯(lián)網(wǎng)絡(luò )、網(wǎng)絡(luò )空間和網(wǎng)絡(luò )生活免受攻擊、破壞、危險、事故等干擾或威脅，能夠在有效的防范防護下，維持其穩固存在和正常運行。構筑網(wǎng)絡(luò )安全的堅實(shí)屏障，是建設美好網(wǎng)絡(luò )家園，享有安定有序、文明向善的網(wǎng)絡(luò )生活的必要前提。近年來(lái)，我國網(wǎng)絡(luò )安全工作各領(lǐng)域的成功實(shí)踐，深刻揭示出網(wǎng)絡(luò )安全保障的三大“密碼”：強化網(wǎng)絡(luò )安全意識、完善網(wǎng)絡(luò )安全體系和落實(shí)網(wǎng)絡(luò )安全責任。

物聯(lián)網(wǎng)解決了許多領(lǐng)域的關(guān)鍵問(wèn)題，從生產(chǎn)到健康，從運輸到物流。然而，物聯(lián)網(wǎng)網(wǎng)絡(luò )日益增加的安全風(fēng)險要求在利用連接設備時(shí)需要保持謹慎。

互聯(lián)的物聯(lián)網(wǎng)對象不是相同的設備、對象或服務(wù)。每個(gè)對象都有不同的用途、接口、操作機制和底層技術(shù)。鑒于這種多樣性，對所有對象應用單一的安全結構和方法不足以提供物聯(lián)網(wǎng)所需的安全。物聯(lián)網(wǎng)安全計劃通過(guò)預防性方法保護通過(guò)網(wǎng)絡(luò )連接的物聯(lián)網(wǎng)設備，旨在防止對其進(jìn)行大規模網(wǎng)絡(luò )攻擊。與任何其他計算設備一樣，物聯(lián)網(wǎng)設備是黑客攻破公司網(wǎng)絡(luò )的潛在切入點(diǎn)。因此，需要強有力的安全措施來(lái)保護它們。

如今，物聯(lián)網(wǎng)的范圍已經(jīng)擴大到包括傳統的工業(yè)機器，使它們具備與網(wǎng)絡(luò )連接和通信的能力。您可以看到，物聯(lián)網(wǎng)技術(shù)現在被用于醫療設備或各種目的，如教育、制造、業(yè)務(wù)開(kāi)發(fā)和通信。越來(lái)越多的用例使得物聯(lián)網(wǎng)網(wǎng)絡(luò )的安全性比以往任何時(shí)候都更加重要。61%的企業(yè)物聯(lián)網(wǎng)網(wǎng)絡(luò )和戰略呈現出高度成熟的狀態(tài)。

當前數據安全犯罪中的數據已遠遠超出“計算機信息系統”的技術(shù)性范疇，從其自身的物理層面上講具有內在的以“云計算”為核心的技術(shù)優(yōu)勢和以“網(wǎng)絡(luò )經(jīng)濟”為平臺的經(jīng)濟效應和財富價(jià)值，從公眾的價(jià)值需求上講，包含公眾對數據儲存狀態(tài)及其內容的信賴(lài)感，這種信賴(lài)感關(guān)乎個(gè)人信息、關(guān)乎社會(huì )秩序、關(guān)乎國家安全。因此，數據安全法益符合法益內涵，應被賦予獨立法益價(jià)值進(jìn)行評價(jià)。

現行刑法中，涉及數據安全法益保護的條文僅有第二百八十五條第2款和第二百八十六第2款，在當前的刑法體系中事實(shí)上形成了“重信息網(wǎng)絡(luò )，弱數據安全”的差序格局，數據安全類(lèi)犯罪依附于計算機信息系統犯罪。數據安全法益的出現引發(fā)了立法時(shí)未預料到的情況，是以擴張性解釋來(lái)使現行關(guān)于計算機信息系統犯罪涵攝侵犯數據安全法益的相關(guān)犯罪行為還是針對新法益進(jìn)行刑事立法予以規制，是數據安全法益保護需要研究的問(wèn)題。