如何应对机器身份带来的安全威胁

企业DevOps文化的兴起加速了产品交付时间线。自动化无疑有其优势。然而，容器化和云软件开发的发展将企业暴露在一大片新攻击面之下。

如今，企业里机器身份的数量早已大大超出人员身份的数量。实际上，机器身份的增加正造成网络安全欠账，推升了安全风险。

本文谨描述机器身份形成的三种重大安全风险及其应对方法。

机器身份的保护方式不同于人员身份。人员ID可通过登录和密码凭证加以验证，机器ID则采用证书和密钥来验证。这些凭证的一个大问题在于其有效期限。

证书的有效期通常为两年，但技术进步的飞快速度将某些有效期缩短为13个月。鉴于DevOps周期中常存在几千个机器身份，且证书有效期各不相同，这就导致手动更新和审计流程几乎不可能。

依赖手动流程验证证书的团队可能会面临DevOps流水线无法承受的计划外宕机情形。拥有公开服务的公司可能会因此类宕机情形而损害品牌形象。2021年2月发生的Google Voice事件就是证书相关宕机的绝佳案例，当时Google Voice因为TSL证书过期而崩溃了，整整24小时不能提供稳定服务。

自动化证书管理是该问题的最佳解决方案。Akeyless的解决方案能够自动审计和更新快要过期的证书。除了顺应更广泛的自动化DevOps潮流之外，Akeyless等工具还简化了秘密管理。例如，企业可采用该工具在机器访问敏感信息时创建一次性短期证书，从而实现即时访问。这些证书免除了对静态密钥和证书的需求，减少了公司内部潜在的攻击面。

机器ID验证也仰赖私钥。随着企业工具使用率的上升，影子IT逐渐成为主要问题。甚至员工试用SaaS软件再停用之后，这些软件的安全证书都常会遗留在网络上，徒增可供攻击者利用的漏洞。

秘密管理工具与网络各个方面紧密集成，可以监测影子证书和密钥，令移除多余密钥和保护有效密钥变得简单。

事件响应滞后

被盗或过期机器身份给安全团队带来的一大问题是其所导致的一系列级联问题。例如，一旦单个机器ID被盗，安全团队就必须尽快更换其密钥和证书。如果未能及时更换，Jenkins等一系列自动化持续集成/持续交付（CI/CD）工具就会抛出错误，影响发布计划。

Jenkins等工具串联DevOps流水线各个环节，还会引发下游问题。此外还有第三方工具集成问题。如果云容器因为检测到一个被盗ID就决定撤销你所有的机器ID，会出现什么状况？

所有这些问题会一股脑袭向你的安全团队，引发大量问题，导致几乎不可能归结为某个根本原因。好消息是自动化和电子密钥管理简化了这一过程。在这些工具的帮助下，安全团队能总览数字密钥和证书位置，了解更新或办法新密钥或证书的各个步骤。

令人惊讶的是，DevOps的容器化方法致使大多数企业无法全面了解密钥位置。大多数产品团队各自为战，只在生产前聚到一起，集成各自的代码。这么做的结果就是缺乏对各个不同部分的安全透明度。

在机器ID主导的世界里，安全无法保持静态或集中。敏捷开发环境要求匹配敏捷安全态势。这种态势能帮助企业快速应对级联问题和确定根本原因。

缺乏审计洞察

机器ID的增多并没有遭到忽视。各国政府逐渐要求用加密密钥监控数字身份，尤其是在监管敏感业务部门时。此外还有企业必须遵守的诸多数字隐私法案。这种情况下，任何手动机器ID管理计划都会成为安全团队的噩梦。

当今世界，安全审计不过关会导致严重后果。除了失去公众信任，企业还会沦为恶意黑客的攻击目标，增加发生安全事件的风险。企业通常管理着数十万个机器身份，每个机器身份的配置和有效期都不一样。

靠人力是不可能紧密跟踪所有这些机器身份的。但很多企业还真就让安全团队手动管理这诸多机器身份了，平白让自己承担了重大安全风险。即便靠手动流程处理密钥更新事宜，人为失误也会产生问题。何况，期望少数管理员能了解每个证书的信任要求也不现实。