Paper Files / Cloud
面向多云环境的威胁操作建模与基于遥测的检测：IaaS、PaaS 与 Kubernetes 基础设施中的实用防御策略（2025）
TITLE: 面向多云环境的威胁操作建模与基于遥测的检测：IaaS、PaaS 与 Kubernetes 基础设施中的实用防御策略（2025） ABSTRACT: 云计算已成为企业基础设施、数字服务和人工智能平台的主导运行基底。到 2025 年，结合 AWS、Microsoft Azure 和 Google Cloud Platform（GCP）的多云与混合云环境已十分常见，而基于容器、Kubernetes 和无服务器函数的云原生架构显著扩大了攻击面。本文提出了一种面向云安全的操作性分析方法，重点关注威胁建模、风险形式化以及基于遥测的检测与响应机制的实际实施。该研究分析了在 2021 至 2025 年间红队行动和事件响应中观察到的常见攻击向量，包括 IAM 身份滥用、通过云 API 进行的数据外泄、Kubernetes 工作负载被攻陷，以及对存储和虚拟网络配置错误的利用。我们提出了一种适用于云环境的形式化风险评估模型，该模型结合了暴露度、权限级别和可观测性等指标，并以数学形式表达，以实现缓解措施优先级的自动化排序。该方法包括原生遥测数据收集（CloudTrail、Azure Activity Logs、GCP Audit Logs）、利用 eBPF 进行运行时插桩，以及基于规则并与 MITRE ATT&CK for Cloud 框架对齐的行为检测。研究描述了一种使用截至 2025 年被广泛采用的工具实现的实践方案，包括 Falco、ScoutSuite、kube-bench 以及在 SIEM 中构建的分析流水线。我们在一个包含 Kubernetes 工作负载和无服务器服务的模拟多云环境中对该方法进行了实验评估，结果表明平均检测时间（MTTD）显著降低，并且风险优先级排序得到改进。本文还提供了一个现实案例研究，其基于公开事件中观察到的模式，包括凭证泄露和云 API 滥用。结果表明，将形式化风险建模与细粒度遥测以及 Zero Trust 控制相结合，能够显著提升云环境的运行韧性。该工作为在复杂云基础设施中运营的进攻性与防御性安全团队提供了一个实用框架，并与截至 2025 年的安全生态系统前沿水平保持一致。
- 引言
云计算从根本上改变了 IT 基础设施的运营模式。在 2018 年至 2025 年之间，组织将关键工作负载迁移到诸如 Amazon Web Services (AWS)、Microsoft Azure 和 Google Cloud Platform (GCP) 等平台，这一趋势受到弹性能力、自动化以及规模经济的推动。然而，这种转型也引入了新的安全范式。与传统数据中心不同，云环境由 API、身份以及可编程策略定义，这使得安全重点从网络防护转向身份与配置控制。
来自安全公司的事件报告数据显示，大多数云环境中的安全漏洞并非源于传统的软件漏洞，而是源于 配置错误和凭证滥用。Unit 42 和 Wiz Research 的研究表明，过度的 IAM 权限和暴露的 API 密钥仍然是主要的入侵向量（PALO ALTO NETWORKS, 2024；WIZ, 2023）。与此同时，基于容器和 Kubernetes 的云原生环境引入了新的控制平面，从而增加了攻击面的复杂性。
2025 年的另一个关键因素是云计算与人工智能之间的融合。运行机器学习模型训练与推理管道的基础设施通常会存储大量敏感数据，并依赖可扩展的 GPU 资源。这一情境为攻击者创造了明确的经济动机，无论是为了数据外泄还是为了滥用计算资源。
从运营角度来看，云安全涉及三个核心挑战：
• 在分布式环境中的可见性有限
• 身份与权限管理复杂
• 在高度动态的 API 中检测恶意活动
诸如 Zero Trust Architecture（NIST, 2020）和 Cloud Security Posture Management (CSPM) 等框架被提出以应对这些问题，但许多组织在大规模实际实施这些方法时仍面临困难。
此外，针对云环境的进攻技术也在迅速演进。诸如 Pacu、CloudFox 和 ScoutSuite 等工具展示了看似无害的权限如何被链式利用，以实现权限提升并访问敏感资源。在 Kubernetes 环境中，涉及 kubelet 被攻陷、滥用服务账户或利用特权容器的攻击在红队演练中已变得常见。
本文从操作性视角探讨这一问题。与仅关注策略或概念框架不同，我们提出一种结构化方法，用于：
• 在多云环境中进行威胁建模
• 形式化身份与服务暴露的风险
• 实现基于遥测数据的检测机制
本研究的核心假设是，结合 云原生遥测（cloud telemetry）、使用 eBPF 的运行时监测（runtime instrumentation） 以及 定量风险建模，可以显著缩短事件检测与响应时间。
本文其余部分结构如下。下一节讨论云安全领域的最新研究进展与相关工作。随后，我们形式化威胁模型并提出所建议的方法。之后，我们描述系统的实际实现，并在多云环境中对其进行实验评估。最后，我们讨论其运营层面的影响以及未来研究方向。
- 背景与相关工作
在过去十年中，云安全已经显著发展。早期研究主要集中在租户隔离以及虚拟化安全上。然而，随着云原生架构的兴起，攻击面已经扩展到管理 API、CI/CD 管道、身份系统以及容器编排平台。
主要云服务提供商采用的共享责任模型规定，物理基础设施和 hypervisor 的安全由提供商负责，而客户必须保护身份、数据和配置。当组织假设某些控制措施会由提供商自动保障时，这一模型常常会产生运营上的安全缺口（AWS, 2024）。
为指导云安全实践，已经开发了多个框架。NIST Cloud Computing Security Reference Architecture 定义了云环境中的控制与治理原则（NIST, 2018）。Cloud Security Alliance (CSA) 提出了 Cloud Controls Matrix，该框架被广泛用于审计与合规（CSA, 2023）。
另一个重要进展是 MITRE ATT&CK for Cloud 矩阵的建立，该矩阵对 AWS、Azure 和 GCP 的对手技术进行了分类（MITRE, 2024）。该矩阵包含如下战术：
• 通过暴露凭证实现 Initial Access
• 通过配置错误的 IAM 策略实现 Privilege Escalation
• 通过存储 API 实现数据外泄
开源工具在云安全中同样发挥着重要作用。表 1 展示了一些在审计和红队行动中最常使用的工具。
| 工具 | 主要功能 | 平台 | 年份 |
|---|---|---|---|
| ScoutSuite | 自动化配置审计 | AWS/Azure/GCP | 2017 |
| Pacu | AWS 利用框架 | AWS | 2018 |
| CloudFox | 枚举与权限提升 | AWS/Azure | 2022 |
| kube-bench | CIS Kubernetes 检查 | Kubernetes | 2018 |
| Falco | 运行时行为检测 | Linux/K8s | 2016 |
近期研究强调，大多数云环境中的安全事件涉及 凭证泄露或被攻陷。Verizon 的一份报告指出，在涉及云基础设施的事件中，超过 40% 使用了被窃取或重复使用的凭证（VERIZON, 2024）。
另一个显著趋势是 CNAPP（Cloud Native Application Protection Platforms） 的采用，该类别将 CSPM、CWPP 和容器安全功能整合到单一平台中。Prisma Cloud、Wiz 和 Orca Security 等商业解决方案已被广泛用于持续的风险可见性管理。
与此同时，基于 eBPF 的技术在运行时监控方面越来越受欢迎。诸如 Falco 等工具利用 eBPF 捕获系统事件，并以极低的开销实现，从而能够在容器和主机中检测可疑行为。
尽管取得了这些进展，但 云安全理论 与 实际防御运营 之间仍然存在差距。许多组织收集了大量日志，却缺乏能够优先识别高风险事件的形式化模型。
本文通过提出一种结合运营遥测数据的定量风险模型来弥补这一差距。
- 威胁模型与问题形式化
多云环境引入了一种分布式攻击面，由身份、托管服务、虚拟网络和工作负载组成。为了对安全问题进行形式化，我们定义三个主要组件：
- 身份（用户、角色、服务账户）
- 资源（实例、存储桶、数据库）
- 访问通道（APIs、网络、端点）
在云场景中，典型对手通常具备以下初始能力之一：
• 访问已暴露的凭证
• 访问已被攻破的容器
• 访问 API token
从该初始立足点出发，攻击者会尝试进行权限提升或访问敏感数据。
表 2 展示了在云环境中常见的攻击向量。
| 攻击向量 | ATT&CK 技术 | 影响 |
|---|---|---|
| 暴露的 IAM 凭证 | T1078 | 初始访问 |
| 过度的 IAM 权限 | T1098 | 权限提升 |
| 公共 S3 存储桶 | T1530 | 数据外泄 |
| 特权容器 | T1611 | 容器逃逸 |
| 被盗的 Kubernetes tokens | T1552 | 横向移动 |
为了量化风险，我们定义一个基于三个因素的风险函数：
• 暴露度 ($E$)
• 权限级别 ($P$)
• 可检测性 ($D$)
操作风险定义为：
$$ R = \frac{E \times P}{D} $$
其中：
- $E$ 表示可访问该资源的路径数量
- $P$ 表示相关的权限级别
- $D$ 表示基于遥测数据的检测概率
$R$ 的值越高，缓解优先级越高。
该模型允许优先识别危险配置，例如具有广泛权限但日志可见性较低的角色。
- 所提出的方法论
所提出的方法论结合了三层主要安全机制：
- 持续配置审计
- 运行时监控
- 基于日志的行为分析
首先，像 ScoutSuite 这样的审计工具可以识别云账户中的不安全配置。
执行示例：
python scoutsuite.py aws --profile security-audit --report-dir reports
该步骤可以识别如下问题：
• 公共存储桶
• 具有 AdministratorAccess 策略的角色
• 已禁用的日志
第二层使用 基于 eBPF 的运行时监控 来检测容器中的可疑行为。
Kubernetes 合规检查示例：
kube-bench run --targets master,node --benchmark cis-1.23
这些控制可以检测不安全配置，例如：
• 特权容器
• 使用 hostNetwork
• 服务账户的过度权限
第三层分析云 API 日志。诸如 CreateAccessKey、AssumeRole 或 GetObject 的事件可能表明恶意活动。
表 3 展示了关键事件示例。
| 事件 | 服务 | 指标 |
|---|---|---|
| CreateAccessKey | IAM | 可能的持久化 |
| AssumeRole | STS | 横向移动 |
| GetObject | S3 | 数据外泄 |
| RunInstances | EC2 | 加密货币挖矿 |
这些事件会在 SIEM 中进行关联，以识别攻击链。
- 实现
该实现部署在一个包含以下组件的实验环境中：
• AWS
• Azure
• 运行在 GKE 上的 Kubernetes 集群
架构包括：
• 通过 CloudTrail 和 Audit Logs 收集日志
• 摄取至 SIEM
• 通过 Falco 进行行为检测
Falco 规则示例：
- rule: Unexpected Shell in Container
desc: Detecta execução de shell interativo
condition: container and shell_procs
output: "Shell inesperado em container (user=%user.name)"
priority: WARNING
此外，自动化脚本会为每个云资源计算风险评分 $R$。
- 实验评估
实验环境包含 120 个云资源和 35 个 IAM 身份。
| 指标 | 之前 | 之后 |
|---|---|---|
| MTTD | 47 分钟 | 8 分钟 |
| MTTF | 3.2 小时 | 1.1 小时 |
| 高风险资源 | 28 | 9 |
另一项评估比较了检测工具。
| 工具 | 类型 | 覆盖范围 |
|---|---|---|
| Falco | 运行时 | 高 |
| GuardDuty | 托管 | 中 |
| Azure Defender | 托管 | 高 |
| 自定义 SIEM | 日志 | 高 |
结果表明，将运行时遥测与云日志结合能够显著提升可见性。
- 案例研究
在一个受真实事件启发的模拟场景中，一名开发者在公共代码仓库中暴露了一把 AWS 密钥。一名自动化攻击者利用该密钥执行 STS 命令并承担了一个特权 role。
随后，攻击者访问了一个包含数据库备份的 S3 bucket。事件序列包括：
GetCallerIdentityListBucketsAssumeRoleGetObject
日志关联在不到 10 分钟内检测到了该行为。
- 讨论
结果表明，云安全在很大程度上依赖于 操作可见性。即使组织收集了日志，也常常缺乏高效的关联机制。
另一个挑战是身份管理。在大型环境中，一个 AWS 账户可能拥有数千个 IAM roles。如果没有自动化，很难识别危险权限。
此外，Kubernetes 环境由于身份控制、网络和运行时之间的相互作用，引入了额外的复杂性。
- 结论与未来工作
本研究提出了一种基于正式风险建模和分布式遥测的云环境安全操作方法。配置审计、运行时监控和日志分析的结合显著降低了恶意活动的检测时间。
未来工作应探索使用机器学习来分析云 API 行为，并将检测技术与自动化修复策略集成。
- 参考文献
AMAZON WEB SERVICES. AWS 安全最佳实践. 2024. https://docs.aws.amazon.com/security/
CLOUD SECURITY ALLIANCE. 云控制矩阵 v4. 2023. https://cloudsecurityalliance.org
FALCO PROJECT. Falco 文档. 2024. https://falco.org
GOOGLE CLOUD. Security Command Center 概述. 2024. https://cloud.google.com/security-command-center
KUBERNETES. Kubernetes 安全文档. 2024. https://kubernetes.io/docs/concepts/security/
MITRE. 云 ATT&CK 矩阵. 2024. https://attack.mitre.org
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. 零信任架构. 2020. https://nvlpubs.nist.gov
NIST. 云计算安全参考架构. 2018. https://nvlpubs.nist.gov
ORCA SECURITY. 云安全现状报告. 2024. https://orca.security
PALO ALTO NETWORKS. Unit 42 云威胁报告. 2024. https://unit42.paloaltonetworks.com
SCOUTSUITE. 多云安全审计工具. 2024. https://github.com/nccgroup/ScoutSuite
SYSdig. Falco 运行时安全. 2023. https://sysdig.com
VERIZON. 数据泄露调查报告. 2024. https://www.verizon.com/business/resources/reports/dbir/
WIZ. 云安全风险报告. 2023. https://www.wiz.io
MICROSOFT. Azure 安全基准. 2024. https://learn.microsoft.com/security/benchmark/
CISA. 云安全技术参考架构. 2023. https://www.cisa.gov
CNCF. 云原生安全白皮书. 2022. https://www.cncf.io
SNYK. Kubernetes 安全报告. 2023. https://snyk.io
AQUA SECURITY. 云原生威胁报告. 2024. https://www.aquasec.com
RED HAT. Kubernetes 安全指南. 2024. https://access.redhat.com
IBM SECURITY. 云威胁态势. 2023. https://www.ibm.com/security
GOOGLE. BeyondCorp 零信任模型. 2021. https://cloud.google.com/beyondcorp
MICROSOFT. Defender for Cloud 文档. 2024. https://learn.microsoft.com/azure/defender-for-cloud
AWS. CloudTrail 文档. 2024. https://docs.aws.amazon.com/cloudtrail
KUBERNETES CIS BENCHMARK. Center for Internet Security. 2023. https://www.cisecurity.org
EBPF FOUNDATION. eBPF 概述. 2024. https://ebpf.io