摘要： 当您的应用拥抱容器化与微服务，传统的安全边界已然失效。如何保证容器镜像不被篡改？如何控制Pod之间的网络访问？如何实时检测运行时入侵？本文将以实战为核心，在华为云CCE集群上，从镜像安全、网络微隔离、运行时防护三个维度，为您的云原生应用构建一套立体化的主动防御体系。

一、 引言：云原生时代，安全左移

在上一篇文章中，我们成功地将应用容器化并部署在CCE上，获得了前所未有的敏捷性与弹性。但随之而来的，是全新的安全挑战：

• 挑战1（供应链安全）： 你如何确保从镜像仓库拉取的基础镜像没有漏洞？如何保证自建镜像在构建过程中未被植入恶意代码？

• 挑战2（东西向流量）： 在集群内部，成百上千的Pod之间如何通信？如果一个Pod被入侵，如何防止攻击者横向移动？

• 挑战3（运行时安全）： 如何实时监控容器内的异常进程、文件篡改或恶意连接？

传统的边界防火墙在此束手无策。云原生安全必须遵循 “零信任” 原则，即从不信任，永远验证。

二、 架构蓝图：构建云原生安全的三道防线

我们围绕一个应用的生命周期，构建以下立体防御体系：

text

[ 防线一：构建时 ]
   代码 -> 镜像构建 -> [ 容器镜像仓库 SWR (安全扫描) ] --(安全镜像)--> 部署

[ 防线二：部署时 ]
   安全镜像 -> [ 华为云CCE集群 ] -> [ 网络策略 (Calico) ] -> (控制Pod间通信)

[ 防线三：运行时 ]
   Running Pods -> [ 容器安全服务 CGS (入侵检测) ] -> [ 云防火墙 CFW (控制南北流量) ]

---

三、 分步实战：部署三道安全防线

我们将在上一篇已部署的CCE WordPress应用上，层层加固。

防线一：构建安全基石——镜像漏洞扫描

目标是确保部署到集群的每一个“集装箱”都是安全的。

1. 进入华为云容器镜像服务SWR。

2. 找到你为WordPress项目创建的镜像仓库。

3. 开启“自动同步扫描”： 配置规则，当有新的镜像被推送（push）到仓库时，自动触发安全扫描。

4. 查看扫描报告：

   • 扫描完成后，报告会清晰列出漏洞的严重级别、数量及修复建议。

   • 你可以设置安全策略，例如：禁止部署包含“高危”及以上漏洞的镜像。

价值点阐述： “这将安全能力‘左移’到了开发阶段。通过在CI/CD流程中集成镜像扫描，我们能在部署前就卡住有风险的版本，从源头上杜绝了已知漏洞被带入生产环境的风险，实现了安全的质量门禁。”

防线二：实施网络微隔离——配置网络策略

目标是即使在集群内部，也遵循“最小权限原则”，防止攻击者横向移动。

1. 前提： 在创建CCE集群时，选择启用网络模型为“VPC网络”并安装Calico网络插件。

2. 创建NetworkPolicy，限制WordPress Pod的访问：

   • 假设你的WordPress Pod带有标签 app: wordpress。

   • 你的数据库RDS地址为 192.168.1.10:3306。

   • 创建以下策略，只允许WordPress Pod访问数据库，并拒绝其他所有入站流量。

   yaml

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: wordpress-isolation
     namespace: default
   spec:
     podSelector:
       matchLabels:
         app: wordpress  # 此策略作用于所有带有app=wordpress标签的Pod
     policyTypes:
     - Ingress
     - Egress
     ingress: []  # 拒绝所有入站流量（即使来自集群内部）
     egress:
     - to:  # 只允许出站到特定数据库
       - ipBlock:
           cidr: 192.168.1.10/32  # 你的RDS内网IP
       ports:  # 只允许访问数据库端口
       - protocol: TCP
         port: 3306
     - ports:  # 允许Pod出站访问DNS，这是集群内部通信的基础
       - protocol: TCP
         port: 53
       - protocol: UDP
         port: 53

3. 在CCE控制台或使用kubectl应用此策略。

价值点阐述： “这条策略为你的WordPress应用构建了一个逻辑上的‘保险箱’。即使攻击者通过应用漏洞进入了某个Pod，他也无法扫描或攻击集群内的其他服务（如后台管理系统），极大地限制了爆炸半径，实现了东西向流量的精细控制。”

防线三：开启实时威胁洞察——部署容器安全服务

目标是像一名7x24小时的保安，实时监控容器内的一举一动。

1. 进入华为云容器安全服务CGS控制台。

2. 一键开启防护： CGS与CCE无缝集成，你只需在控制台找到你的集群，点击“开启防护”。

3. 查看安全报告：

   • 进入CGS控制台，你可以看到逃逸检测、恶意程序、容器异常等多个维度的安全监控。

   • 模拟一次攻击（例如，在容器内执行 curl http://malicious.site），观察CGS如何捕获并告警此次异常的网络连接。

价值点阐述： “CGS相当于为你的每个容器安装了‘行车记录仪’。它不仅能在入侵发生时立即告警，还能通过行为基线学习，发现偏离正常模式的异常操作，实现真正的主动防御，为您的云原生应用提供最后的、也是最关键的一道运行时防线。”

---

四、 总结：将安全融入基因

通过以上三步，我们为云原生应用构建了一个贯穿构建、部署、运行全生命周期的安全体系：

• SWR镜像扫描 确保了应用的“出生证明”清白。

• Calico网络策略 为应用创造了“最小权限”的生存环境。

• CGS运行时防护 提供了7x24小时的“贴身保镖”。

结语：

云原生不是降低了安全标准，而是重新定义了安全战场。通过将安全能力左移并融入开发和部署的每一个环节，我们能够构建出比传统架构更安全、更韧性的应用。在华为云，安全不是一种选配功能，而是内置于每一个云原生服务中的核心基因。