GB/T25069-2010GB/T35273-2020GB/T22239-20190095-0005-0028-0054-GB/T25069—2010、GB/T35273-2020、ISACA-Glossary界定的下列術(shù)語(yǔ)和定義適用信息技術(shù) 角色對(duì)象入侵授權(quán)數(shù)據(jù)保護(hù) 泄露 Information DataPrivacyImpact SoftwareDevelopment StructuredQuery kerneladdress-spacelayoutrandomization TransportLayerSecurity ApplicationProgrammingInterface Security-EnhancedLinux KeyManagementService SecureSocketsLayer LightweightDirectoryAccessProtocol SystemforCross-domainIdentityManagement OpenIdConnect SecurityInformationEventManagement gRPCRemoteProcedureCalls CrossSite Server-SideRequest XMLExternalEntity UniformResource Role-BasedAccess Attribute-BasedAccessControl SecurityInformationandEventManagement KernelAddressSpaceLayoutRandomization SupervisorModeExecutionPrevention SupervisorModeAccessKernelTable云原生得以迅速發(fā)展，一方面得益于開(kāi)發(fā)運(yùn)營(yíng)一體化（DevOps）的廣泛采用，另一方面在IT云原生安全也可按照開(kāi)發(fā)運(yùn)營(yíng)安全DevSecOps和云化系統(tǒng)安全兩個(gè)維度考慮安全機(jī)制。GDT、系統(tǒng)調(diào)用表）完整性校驗(yàn)的能力；應(yīng)啟用內(nèi)核地址空間布局隨機(jī)化（KASLR）應(yīng)支持配置內(nèi)核頁(yè)表隔離（KPTI）TLSCABUILD應(yīng)對(duì)容器資源（例如：內(nèi)存、處理器、網(wǎng)絡(luò)、存儲(chǔ)等）UTSwebshellIPJenkins、GitLab操作系統(tǒng)基礎(chǔ)鏡像（busybox、Alpine、CentOS、Ubuntu、編程語(yǔ)言基礎(chǔ)鏡像（JavaPythonNodeJs應(yīng)用基礎(chǔ)鏡像（NginxTomcatJettyDocker（DockerHub）、Google（gcr.io）OSa)a)a)a)應(yīng)具備對(duì)倉(cāng)庫(kù)進(jìn)行權(quán)限管理的能力，應(yīng)保證僅授權(quán)用戶有權(quán)修改、發(fā)布、刪除相a)a)應(yīng)具備多種云原生探針采集器（：DaemonSet、Sidecar、DockerEngineLogDriver等）部署的能力；應(yīng)具備在日志數(shù)據(jù)中包含必要云原生資源的信息（Namespace、Pod、Container、Image、Node等）的能力；WORD、PDF、EXCEL、HTMLAPIAPI應(yīng)具備設(shè)置容器的強(qiáng)制訪問(wèn)控制機(jī)制（例如：SELinux）應(yīng)具備限制容器執(zhí)行系統(tǒng)調(diào)用的能力（例如KubernetesAPIServer、Etcd）；應(yīng)具備集群內(nèi)組件使用安全協(xié)議傳輸通信（例如：TSL/SSL）應(yīng)具備對(duì)集群共享數(shù)據(jù)庫(kù)（例如：Etcd）在主體（包括：用戶、設(shè)備、應(yīng)用、API等）訪問(wèn)容器編排平臺(tái)所管理的資源時(shí)，需應(yīng)具備配置外部身份源（例如：LDAP、SCIM）應(yīng)支持提供多種認(rèn)證方式（OpenID、KeystonePassword、匿名請(qǐng)求等），應(yīng)具備對(duì)于用戶身份敏感信息（例如：郵箱、手機(jī)號(hào)等）在主體（包括：用戶、設(shè)備、應(yīng)用、API等）訪問(wèn)容器編排平臺(tái)所管理的資源時(shí)，需GM/T0028a)應(yīng)采取有效的安全措施，保障密鑰導(dǎo)入與導(dǎo)出的安全，并保證密鑰的正確性，包a)a)IPIP應(yīng)具備向外導(dǎo)出日志的能力，以便與外部日志分析系統(tǒng)（例如:SIEM）APIAPIAPI應(yīng)具備特定請(qǐng)求（IP、UA）APIAPIAPIAPIAPIAPIAPIAPIAPIWeb（例如：SQLi、XSS、SSRF、XXE、RCEAPIAPIAPIAPIAPIAPIAPIAPIAPIAPIAPI應(yīng)支持客戶端訪問(wèn)服務(wù)端的憑證（例如：Token）APIAPIAPI應(yīng)具備微服務(wù)間雙向通信加密（例如：mTLS）APIa)a)HTTPHSTS）；禁止緩存包含敏感數(shù)據(jù)的響應(yīng)，對(duì)于沒(méi)必ORMHTTPHTTPReferer、User-AgentHostmultipartContent-TypeHTTPXMLJSONAPISDK；應(yīng)支持賬單告警機(jī)制，以便有效對(duì)拒絕錢包服務(wù)攻擊（DoWDenialofWallet）應(yīng)具備無(wú)服務(wù)器函數(shù)間