在云原生化之后，有些容器里面的问题是摸不透的。
近年来，随着云原生技术日渐成熟普及，越来越多企业开始迈向“容器化”、“云原生化”，以满足企业整合信息资源、发展创新业务、提质降本增效等需求。然而，将业务应用迁移到云端之后，很多企业都发现，以往的安全体系和运营思路无法应对新环境下的安全威胁，必须升级更为有效的安全体系，采用更为先进的安全产品，才能更好的保障企业云原生安全。在这方面，一直走在互联网保险保障行业前列的水滴公司的经验值得很多企业借鉴。
数据安全将成主要趋势
水滴公司创建于2016年4月，是中国领先的保险+健康服务科技平台，以“用互联网科技助推广大人民群众有保可医，保障亿万家庭”为使命，致力于为用户提供健康保障解决方案。
在保险保障端，水滴公司通过水滴保和水滴筹两大业务为用户提供高效的医疗资金解决方案，首创“大病筹款+人身保险”的健康保障模式;在健康服务端，水滴公司推出水滴好药付、水滴健康等业务，与医院、医药公司等医疗服务伙伴的合作，为用户提供更广泛的医疗服务选择，包括线上购药、在线问诊和其他健康医疗服务。
截至2021年6月，水滴保累计保险用户数1.021亿，好药付累计会员数约15万，有3.72亿爱心人士在水滴筹平台上支持了大病救助项目，帮助近210万名经济困难的大病患者筹得超过428亿元的医疗救助款。
由于承载着海量用户和患者的隐私数据，水滴公司格外重视数据安全。在水滴公司安全专家常春峰看来，回归到安全的基本面，数据安全是核心。对于企业内部的安全团队来讲，需要一个类似资产地图的抓手，能够对企业资产进行识别和发现，搞清楚资产是怎样分布和分类分级的，并进行有针对性的防护。“从安全防线的角度来说，它属于最外层，也是最接近用户的一层，而主机层面的安全防护其实是0容错的，一旦被突破就相当于被攻破。”
水滴公司安全专家常春峰
关于线上业务的安全架构，从数据安全生命周期的维度来解读，在每一个阶段都部署了安全产品，如最外端的DDos防护和WAF等攻击防护的安全方案、再到内部主机层面的入侵检测等安全产品，以及数据的加密传输、加密存储和脱敏展示等等，安全团队的理念是希望让攻击者“进不来，看不懂，拿不到”。
除了安全技术手段，水滴公司也会在公司内部开展攻防演练，定期举办年度“网络安全周活动”，同时聘请专业的攻击团队做众测和攻防演练、检验公司的安全防御能力，并向内部员工普及安全的重要性。
云原生带来的喜与忧
2018年，水滴公司的架构团队开始尝试云原生建设，从原来的虚拟主机环境开始进行微服务化，把服务拆成更小的单元，再到容器化，对所有的容器进行管理。2019年时，其云原生架构已经成熟，如今，已经实现了规模化落地，实现了网格化的管理和演进。
常春峰告诉记者，水滴公司线上安全产品的建设基本是针对容器化环境来进行的。容器化本身带来了成本的下降与效率的提升，可以实现持续的部署和测试，而且不受跨平台影响。但是对于安全建设来讲却意味着新的挑战，安全必须要跟上业务的节奏，比如以往的思路是注重流程化SDL的建设，业务上线前要经过安全评估，采用的是安全平台工单化，在DevOps的场景下是存在冲突点的。
常春峰解释到：“就像在一个有弧度的高速公路上，对车辆的速度要有一定的限制，才能保证其交通安全。不过，安全的本质还是要为业务服务，在安全和业务间寻找一个平衡点，提升效率。我们内部也在对DevSecOps方案进行落地，围绕安全自动化的方案进行建设。”
但是水滴公司在实现云原生之前的安全能力是基于虚拟主机层面的，在从主机环境向云原生环境过渡的过程中，衍生出来的最大的问题就是原有的非容器化安全能力能否平移到容器上。
常春峰指出，在云原生化之后，有些容器里面的问题是摸不透的，对于安全威胁的感知存在一定的空白。如果容器环境自身有问题，或者它的基础镜像存在漏洞，还没有对应的安全能力来发现和解决，它就变成了一个“盲盒”，这是最可怕的。而且，当时的基础镜像有上万个，不可能依靠人工去解决这个问题，开源的产品自身存在一些限制，所以需要一个产品来“拆解”这个盲盒，能帮助公司进行清晰的资产盘点、分类分布、风险识别、发现攻击威胁、实现态势感知等等。“不然等攻击发生时。全靠人工的去做应急响应，就会很被动。”
用青藤蜂巢拆解“盲盒”
于是，2019年，水滴公司开始进行云原生安全产品选型。
常春峰强调，在选择云原生安全产品时，稳定性是第一位的要素，在保证安全的同时一定要保证稳定性，“一旦稳定性出了问题，安全团队是很难抗这个压力的。”其次要考虑安全上的专业性和需求匹配，要切实戳中甲方安全团队的痛点，能以更低的成本进行提效。
经过慎重的选型，水滴公司采用了青藤云安全的蜂巢·云原生安全平台，它能提供覆盖容器全生命周期的意站式容器安全解决方案，实现容器安全预测、防御、检测和响应的安全闭环。
常春峰指出，青藤蜂巢·云原生安全平台有一个非常好的亮点，就是从全生命周期视角出发的，它解决了安全层面的“盲盒”问题，除了入侵行为监控与感知这样必备的基础功能，资产地图让安全团队更了解自己的资产，怎样分布，让安全风险更可见。特别是在容器化的环境下，一旦有组件被暴出存在漏洞，安全团队可以快速借助产品能力进行定位，快速应急响应，提升安全效率。
而且，青藤蜂巢还提出了一些安全基线的问题，让用户可以站在一定的高度来审视可能被自己忽略的、看似安全但实际上可能被组合利用的风险环节。
此外，青藤云安全的产品部署也非常快，会有专业的团队来帮助水滴公司进行灰度部署，售后服务的响应也很快。
常春峰表示，与2-3年前相比，如今国内的云原生安全市场相对成熟了很多，产业链条上的安全产品选择也多了很多。不过从其个人经历和对现有产品的使用体验来看，相关产品未来还有一些的改进空间，要更加贴近业务场景。基于对技术发展趋势的判断，如果未来出现新的或是颠覆式的产品技术迭代，安全产品也要跟随这一趋势，实现更新迭代。水滴公司将根据“时间管理四象限”，围绕业务提效来进行安全基础设施建设，只有在“重要&不紧急”的事情上下更多的功夫，才能减少对“重要&紧急”事件的时间投入，把事情做好，尽量让企业面临的安全风险更少一些。
（责任编辑:刘畅）