将服务网格视为一种安全工具

如果你喜欢最安全的职业，你的机会非常好，因为你开始变得很沮丧，因为微服务有点小，或者可能是很多。微服务体系结构--即利用REST构建大量小型、分布式、模块化组件的体系结构----从软件架构师的角度来说是强大的。

要快速更改组件而不使整个应用程序关闭，或希望在Fly中添加新功能？微型服务促进了这些目标。您可以修改（或添加）您对独立感兴趣的特定服务，而不必重建大型的整体应用程序。

当然，这一点的缺点是，从安全管理的角度来看，这可能是一场噩梦。有几个原因是如此。对于安全架构师来说，这是一个挑战，因为我们最有效的工具之一--应用威胁建模--依赖分析攻击者的视点组件之间的交互。

这样做的前提是随着时间的推移保持或多或少恒定的通信信道。如果开发人员每五分钟推送一次更新--并且如果服务之间的路径改变--威胁模型仅在该时间点有效。如果您曾经尝试过威胁模型（并保持当前）一个迅速发展的应用程序，这些应用程序会大量使用微服务，那么您就可以确切了解这可能是多么令人沮丧。

从行动的角度来看，这也是个挑战。在发动机罩下，对MicroService实现最普遍的方法是Kubernette业务流程的Docker。这意味着实际运行服务的容器被设计为短暂的：新的容器被添加以适应负荷增加，并且容器被重新部署以适应应用改变或更新的配置。

为了说明这是有挑战性的，让我们说您在几天前具有入侵检测系统警报、日志条目或可疑活动。哪些主机/节点确实参与了哪些主机/节点，它们所在的状态是什么？

想弄清楚这可能是想抓住风：那些容器很可能被覆盖，在你到达那里的时候被重新部署了几次。除非从警报中清楚地显示出什么是透明的(而且什么时候是什么时候?)您的事件解决现在依赖于逆向工程从过去某个时间到高度复杂系统的状态。

幸运的是，一个可以与此显著帮助的最新技术是服务网格体系结构。作为设计模式，服务网格实际上可以通过几种方式向安全从业者提供大量的帮助。它对于开发人员来说是强大的，但同样--如果对于我们在安全领域的人来说不是更强大的话。

什么是服务网格？有一种方法来思考它是你的服务的一个"交通调度员"。当一个服务想要与另一个服务进行通信时，有两个选项可以用于这样做。选项一：它知道存在的每一个其他服务，并实现与之交谈的逻辑。备选案文2：它要求其他人做这项工作。

好好想想，就像发一封信。如果我想寄一封信给我在肯塔基州的表哥，我可以给我写信，上车，开车送他的房子，把它放在他的手里。这取决于一堆事情：我知道他的地址，有一辆车，准备好去，弄清楚如何到达他的房子，知道他是否移动，等等。只是效率不高。

最好的办法是给我写这封信，地址，让邮局做这项工作。让他们保持必要的信息和交付设备，让我专注于我真正关心的事情：我的信到了那里。

实施-明智的是，有许多方法可以这样做，但最常用的方法是通过"Sidecar"容器。什么是Sidecar容器？它只是另一个容器--一个运行代理的容器，它被配置为在服务之间矢量应用流量。这意味着它被配置和部署，以便将消息的"交货"与应用程序逻辑解耦。

从应用程序开发的角度来看，收益应该是相当明显的：开发人员可以专注于业务逻辑，而不是基于"东-西"通信的机制（即服务之间的通信）。然而，从安全角度来看，也有优势。

值得注意的是，它为监控和其他安全服务提供了一个挂钩。这可以被添加，而不需要对单个服务应用逻辑进行调整（或者，实际上，甚至知道）。因此，例如，如果我想允许服务A使用TLS和强健的身份验证仅与服务B交谈，我可以做到这一点。同样，如果我希望在给定的时间点记录哪个版本的容器与另一个容器对话，我可以配置它来告诉我。

如果这听起来对你很有吸引力，那就应该了。事实上，它代表了在安全世界中很少发生的事情：它使开发人员能够以更安全的方式而不是以更安全的方式做事。

开发人员发现它很有吸引力，因为他们不必为与其他服务的通信提供通信和交付物流的详细信息。此外，它同时添加了安全选项，否则我们必须在应用层强制执行。

因此，如果您的组织正在考虑微服务，服务网格体系结构实际上可以帮助您确保该环境的安全。如果你已经在使用它，了解它是什么可以帮助你集成到谈话中，并给你工具来减轻一些微服务“痛点”。\r\r\r\r\r\r\n""

唯一的一点是，它确实需要一些准备工作来学习新的工具集，并将体系结构工具适应新的模型。无论您是使用Istio+Envoy、Linkerd还是其他内容，都会首先让您阅读文档，了解哪些功能可用，工具集如何工作，以及哪些策略/配置选项可供您使用。这是个好主意，因为这只是一个时间问题，直到您需要验证配置。

此外，如果您仍然打算威胁模型您的应用程序，您可能需要考虑新的范例，这始终是一个好主意。

具体而言，在您的数据流分析中更有逻辑的视图----也许是通过单独分析每个服务的输入和输出，而不是假定"服务A"将仅与"服务B"（或更糟糕的是，假设服务之间的静态流量基于应用程序在给定时间点进行的操作）。

重点是，安全专业人员不仅不应害怕服务网格，而且应该考虑积极拥抱它的实参。

EdMoyle是前奏学院总经理兼首席内容官。自2007年以来，他一直是一个ect新闻网络专栏。他在计算机安全方面的广泛背景包括取证、应用渗透测试、信息安全审计和安全解决方案开发方面的经验。ED是供开发人员使用的加密库的共同作者，也是作为作者、公共演讲和分析人员的信息安全行业的频繁贡献者。