1、云原生安全的現狀2024 年報告云原生安全的現狀 2執行摘要回顧過去的 一年在開始探討 2024 年云原生安全現狀時，我們首先回顧一下 2023 年發生的事件以及產生的影響，這些事件和影響都與我們當前的態勢、我們面臨的挑戰以及我們為實現預期成果而選擇的戰略息息相關。2023 年，敏捷開發、開源軟件和云原生技術的發展勢頭十分強勁，而針對應用層的攻擊也成了一種必然趨勢。云原生生態系統面臨著供應鏈攻擊激增的問題，這表明開源軟件和第三方庫中普遍存在的漏洞。我們的 Unit 42 團隊分析的真實世界數據坐實了這種局面，將云確定為主要的攻擊面，80%的中度、高度和嚴重暴露都存在于云托管資產中。1一段時間以

2、來，我們一直將應用程序和基礎設施的安全放在首位。但是，我們不能忘記第三個懸而未決的重要因素。2023 年，全球數據空間達到 120 ZB，2因此確保敏感數據的安全仍然至關重要。然而，監測和控制敏感信息所面臨的挑戰已經升級。1 2023 年 Cortex Xpanse ASM 威脅報告2 Data Created Worldwide 2010-2025云原生安全的現狀 3更重要的是，2023 年，生成式人工智能橫空出世，成為了一種突破性技術，它有可能將開發時間和成本減半，最終重新定義應用經濟。3 但就像云技術及其無數好處與我們必須解決的挑戰密不可分一樣，作為一種開發工具，生成式人工智能也伴隨著令

3、人擔憂的問題。就在我們剛剛開始思考潛在的問題時，OWASP 就面向安全團隊發布了十大 LLM 安全風險，提醒我們注意提示詞注入、不安全的輸出處理，以及供應鏈漏洞和敏感信息泄露的新途徑。但挑戰對我們來說并不陌生?？梢哉f，生成式人工智能就像云技術一樣，已經成為一種主流。我們將以責任意識和安全優先為原則，越來越多地挖掘其強大力量。展望未來，當我們在追求目標的道路上不斷前進時，我們確信一件事 云安全與我們努力實現的任何其他目標一樣，都是我們的業務目標。3 生成式人工智能的經濟潛力|麥肯錫云安全與我們努力實現的其他目標一樣，都是一種 業務目標。簡介有備無患，時不我待預測威脅并調整戰略可以確保復雜云環境中

4、的恢復能力。云原生安全的現狀 4在與時間的賽跑中，做好充分準備才是游戲的奧義。除了時間的束縛，幾乎聽不到云安全從業者談論其他痛點。畢竟，他們在與以機器速度移動的攻擊者競爭識別漏洞的同時，還要被大量警報淹沒，手動整理來自分散工具的數據。在今年的云原生安全現狀調查中，90%的受訪者希望更好地確定風險優先級，這是可以理解的。超過 90%的人表示，自己使用的單點工具數量過多，造成了盲點，影響了確定風險優先級和防范威脅的能力。62%的安全從業人員希望獲得方便使用的安全解決方案，每 3 位受訪者中就有 1 位認為技術的快速變化是導致攻擊面擴大的主要障礙。多云到底有多少？企業平均利用 12 家云服務提供商(

5、CSP)為其部署的應用程序提供 SaaS、IaaS 和 PaaS 服務。再加上平均使用 16 種云安全工具，這凸顯了安全團隊必須駕馭錯綜復雜的生態系統。98%的共識強調了減少安全工具數量的重要性，從簡化和整合的角度定義了如何準備就緒。企業平均利用 12 家云服務提供商。云原生安全的現狀 5源源不斷的問題，例如與人工智能生成的代碼和未管理的 API 相關的安全風險，加上訪問管理不完善和攻擊面不斷擴大等傳統挑戰，凸顯了云安全威脅不斷變化的本質。各企業正在重新思考其戰略，許多企業強調需要進行根本性變革，從一開始就增強云安全性。要為安全和 DevOps 團隊配備必要的資源，了解大局至關重要。各企業正在

6、采取哪些措施來有效保障數據安全并滿足快速部署的需求？各企業在哪些方面遇到了挑戰？企業如何在安全和開發團隊之間架起橋梁？企業應對人工智能相關安全風險的準備情況如何？如何有效地將解決方案整合到業務框架中？我們一年一度的多行業調查旨在回答這些問題以及更多問題，深入探索塑造云原生安全未來的最佳實踐。各企業正在采取哪些措施來滿足數據安全和快速部署 的需求？企業應對人工智能相關安全風險的準備情況如何？各企業在哪些方面遇到了挑戰？企業如何在安全和開發團隊之間架起橋梁？是否將解決方案納入其業務框架？各企業在哪些方面遇到了挑戰？云原生安全的現狀 6我們的調查顯示，將工作負載轉移到云端但未針對云端進行優化的企業，

7、其總體擁有成本較高，這也印證了上述觀點。更重要的是，他們的應用程序并沒有獲得云技術聞名遐邇的靈活性和可擴展性優勢。人們正在重新思考自己的直接遷移部署。當被問及如果是首次遷移到云，他們會采取哪些不同的做法時，50%的受訪者表示會花更多時間重構應用程序，而不是在遷移時只做最小的改動。要點2024 年調查發現52%的受訪者認為 DevOps 與 SecOps 之間的沖突是壓力的重要來源。52%52%強調了與加快上市進度相關的風險，71%的受訪者將倉促部署歸咎于安全漏洞，突出了快速開發的需要與維護安全的必要性之間的緊張關系。云原生安全的現狀 7當安全被視為一種障礙時，壓力就會很大。86%的受訪者認為，

8、安全是阻礙軟件發布的一個制約因素。近一半的受訪者或多或少都經歷過重大發布延遲。71%71%48%48%云原生安全的現狀 8人工智能生成的代碼比人工智能輔助的攻擊更令人擔憂。超過五分之二(43%)的安全專業人士預測，人工智能驅動的威脅將避開傳統檢測技術，成為更常見的威脅載體。38%的受訪者將人工智能驅動的攻擊列為首要的云安全問題。對人工智能生成的代碼帶來的風險更加擔憂。是的，據稱所有受訪者都接受人工智能輔助編碼。38%44%100%云原生安全的現狀 9執行摘要：回顧過去的一年簡介：有備無患，時不我待2024 年調查發現要點 云經濟：全球視角從探索到云原生創新規劃傳統應用程序的成本優化 平衡工具、

9、供應商和企業需求云安全的首要關注點事故響應：與時間賽跑保護云中敏感數據的安全 有什么不同的做法？人為因素 風險、現實和云安全戰略 擁抱未知：人工智能對應用程序生命周期的影響保護云安全的建議2461113161821252831343740 43目錄調查參與者中既有高管領導，也有從業人員，涵蓋了各企業的廣泛觀點。從業人員級別的參與者具體來自開發、信息技術或信息安全職能部門。所有受訪者都表示自己對企業的云業務和云安全狀況了如指掌，并且數據來源于專業調查小組。云原生安全的現狀 我們的研究樣本涵蓋了主要行業部門，其中包括消費品和服務、能源資源和工業、金融服務、醫療保健、技術、媒體和電信。第四年云原生安

10、全現狀報告對全球企業為利用云服務和新的應用技術堆棧而采用的安全實踐、工具和技術進行了考察。調查于 2023 年 12 月 20 日至 2024 年 1 月 17 日進行，收集了來自澳大利亞、巴西、法國、德國、印度、日本、墨西哥、新加坡、英國和美國共 10 個國家 2800 多名受訪者的數據。Palo Alto Networks 與 Wakefield Research 合作進行了我們的調查。超過 50%的樣本來自企業規模的組織（年收入超過 10 億美元）。10云原生安全的現狀 11云經濟全球視角在各個地區，云計算投資趨勢都肯定了云計算的戰略意義。全球各企業對云基礎設施、服務和運營效率進行了大量

11、投資，希望推動數字化轉型和擴張?？傮w趨勢顯示，云計算支出激增，50%以上的企業每年在云服務上的投資超過 1000 萬美元。這種將云技術融入業務運營各個方面的做法表明，隨著企業追求更高的敏捷性、可擴展性和創新性，投資趨勢即使不會加速，也會持續下去。云原生安全的現狀 12在各地區之間，我們看到了細微但有說服力的差異。澳大利亞、墨西哥和新加坡在較高的投資區間內表現出強勁的云計算支出，而美國和英國則繼續在中等范圍內進行大量投資。法國和德國的云計算支出模式顯示出成熟而謹慎的態度，大部分投資都在 900 萬歐元到 4600 萬歐元之間。相比之下，在巴西、印度和日本等新興市場中，投資額低于 1,000 萬美

12、元的企業比例較高，分別為 40%、41%和 43%。除了云計算的成熟度之外，這一趨勢還可能反映出這些地區中小型企業的增多以及保守的支出戰略。與擁有“初級基礎設施”的企業相比，自稱“廣泛集成”或“完全原生環境”的企業傾向于在云技術上投入更多。例如，在英國，32%投資不足 1000 萬美元的企業處于探索云計算的初始階段，而 76%投資 1000 萬美元或以上的企業已經實現了廣泛的云計算集成。這種局面在各地區都是一致的，表明隨著企業在云計算領域的發展日趨成熟，云計算支出也在增加，這很可能是由于采用了更先進的云服務和架構，以及規模的擴大。云支出快照圖 1.地區性投資格局不到 1,000 萬美元1,00

13、0 萬美元或以上0%80%美國英國新加坡澳大利亞巴西法國德國印度日本墨西哥70%60%50%40%30%20%10%30%32%27%28%29%40%36%36%41%43%69%73%72%72%57%59%61%65%64%70%云原生安全的現狀 13從探索到云原生創新云計算之旅不是線性的。這是一個適應、學習和轉型的連續過程，由戰略投資、成熟度、部署方法和運營效率共同決定。云計算的成熟度不僅限于技術的采用，而是既反映了一個企業的文化、流程以及駕馭云計算實現業務轉型的能力，又對其產生了影響。在今年的調查受訪者中，成熟度涵蓋針對特定項目使用基本云基礎設施，以及廣泛集成和完全原生云環境。在這一

14、范圍內，我們看到應用程序部署方法之間的相關性。50%的受訪者表示，自己會花更多時間重構應用程序。50%50%云原生安全的現狀 14對直接遷移的部署偏好(35%)與許多企業在云遷移過程中采取的務實方法相一致。雖然云原生和重構部署可帶來長期效益，但最初關注快速、低干擾遷移一直是一種約定俗成的方法。從直接遷移開始的企業通常會通過重構發展到云原生開發，從尋求速贏發展到擁抱云優先戰略，以提高性能、可擴展性和成本效益。我們的調查證實了這一趨勢，在使用云技術 3 年或以上的企業中，云原生部署取代直接遷移的比例為 36%?？傮w平均平均 3 年以上云原生33%直接遷移36%重構31%云原生36%直接遷移33%重

15、構31%性能、可擴展性 成本效益速贏經驗豐富的企業轉向云原生圖 2.將應用程序部署到云端的主要方法云原生安全的現狀 15從各地區的成熟度趨勢來看，澳大利亞(26%)、新加坡(26%)和美國(24%)的成熟度較高，各有約四分之一左右擁有完全云原生的環境。法國和德國緊隨其后，分別為 17%和 14%。隨著企業深化云投資，他們也在不斷改進應用程序的部署方法。規模較大的企業更傾向于采用先進的部署方法，這可能是由于他們擁有更多的資源、復雜的要求以及對創新的戰略關注。26%澳大利亞26%新加坡24%美國17%法國14%德國完全云原生的呼喊 圖 3.擁有最多完全云原生環境的國家/地區云原生安全的現狀 163

16、0%的云計算成本用于改造傳統應用程序。規劃傳統應用程序的成本優化傳統應用程序的現代化消耗了云計算總體擁有成本的很大一部分，強調了戰略性云遷移規劃的重要性。大多數受訪者（全球 67%）表示，用于傳統應用程序現代化的支出占其云總體擁有成本(TCO)的 10%到 30%。在 24%的企業中，成本飆升超過 30%，這凸顯了平衡運營連續性和追求創新的必要性。在地區差異方面，拉丁美洲、日本和亞太地區有更高比例的受訪者（分別為 29%和 26%）將 30%或更多的云計算總體擁有成本用于傳統應用程序的優化。印度尤為突出，42%的受訪者表示，他們的云計算總體擁有成本中有 30%或更多用于面向云端優化傳統應用程序

17、。當被問及為什么開發人員的時間被挪用到解決錯誤和代碼漏洞時，45%的人將原因歸咎于應用程序架構。傳統應用程序現代化方面的巨額支出突出表明，云遷移項目需要進行戰略規劃。各企業應評估哪些應用程序適合直接遷移，哪些應用程序需要重構或完全重新開發，以優化成本和效益。安全和合規方面的挑戰使得這一點尤為重要，因為舊的應用程序在設計時可能根本就沒有考慮到云原生安全。云原生安全的現狀 1745%的受訪者表示，應用程序架構問題耗費了太多時間。云原生安全的現狀 18平衡工具、供應商和企業需求眾所周知，云是模糊的。這里增加一個云服務提供商(CSP)，那里增加一個安全工具。生態系統不斷延伸，再延伸。復雜性始終如影隨形

18、。由于平均使用 16 種云安全工具，因此 98%的受訪者認為必須減少這一數字，這一點也不足為奇。幾乎同樣多的人(97%)希望減少與自己合作的供應商（平均為 14 家）。以這樣或那樣的形式承擔復雜性是每年出版的云原生安全現狀報告中反復出現的主題。迄今為止，我們還沒有看到這方面取得進展的跡象。事實上，專用于云安全的工具數量比去年的調查結果增加了 60%。然而，對于經常面對復雜性的人來說，解決復雜性問題的動力是發自內心的。98%的受訪者認為，現在平均有 16 種云安全工具，必須將其減少。98%98%云原生安全的現狀 192024 年，多云將轉化為每個企業約 12 家云服務提供商，涵蓋 SaaS、Ia

19、aS 和 PaaS。地區平均值從美國的 16 家到拉丁美洲的 9 家不等。而這僅代表生態系統中的公有云部分，占企業云工作負載的一半多一點(52%)。隨著企業使用的 CSP 越來越多，保持可視性并確保安全策略、訪問控制和數據保護的一致性就會變得越來越困難。對于一半以上的調查受訪者(54%)來說，云環境的復雜性和分散性是一個重大的安全挑戰。54%的受訪者認為，云環境的復雜性和分散性對安全構成了重大挑戰。云原生安全的現狀 20云架構引入了另一層復雜性。2024 年調查受訪者的工作負載在不同架構中的分布情況表明，企業正在傳統架構（虛擬機）與現代架構（無服務器）之間游走，形成了一種過渡性的云格局。這種多

20、樣性要求安全團隊為這些環境打造一致的策略和安全解決方案?，F代工作負載以可移植性、粒度、短暫性和異構性為特征，擴大了攻擊面。這就需要一種不同的安全方法，一種具有可操作洞察力、監控和事故響應的方法。架構跳躍：趨勢還是過渡？調查結果表明，企業正在傳統架構和現代架構之間徘徊，云技術正處于過渡階段。圖 4.云架構的使用21%自托管容器19%CaaS19%PaaS20%無服務器21%VM云原生安全的現狀 211362547人工智能生成的代碼人工智能驅動的攻擊內部威脅API 風險訪問管理不完善CI/CD 對攻擊面的影響未知、未管理的資產云安全的首要關注點一系列威脅帶來了嚴重的安全隱患，這說明采取積極主動措施

21、的重要性，這些措施可以趕超新出現的和長期存在的風險。在探討云安全的首要關注點時，調查反饋顯示，全球社會對云環境面臨的多方面威脅有著深刻的認識。從確保人工智能生成的代碼和 API 安全所面臨的細微挑戰，到不完善的訪問管理和內部風險帶來的普遍威脅，這些問題多種多樣，影響深遠。云原生安全的現狀 2201100101001101101001101100101101011001010011011021API 風險緊隨其后的首要問題，43%的全球受訪者將目光投向了 API 相關風險。作為應用程序之間進行數據交換和集成的網關，API 可能會導致未經授權的訪問，暴露敏感數據，并為網絡攻擊制造漏洞。企業的擔憂主

22、要集中在未管理和不安全的 API、第三方 API 風險以及缺乏對 API 集成的監督。從地區來看，巴西對 API 風險的關注度最高，52%的受訪者認為這是一個重要的威脅載體。人工智能生成的代碼44%的企業對人工智能生成的代碼引入的不可預見的漏洞和利用感到擔憂。在算法自主創建軟件的過程中，由于缺乏人為監督，可能會出現未被發現的安全缺陷。此外，人工智能生成代碼的開發速度之快可能會超過傳統的安全測試方法，從而導致漏洞可能進入生產階段。雖然這方面的擔憂普遍存在，但美國和印度的擔憂更為明顯。云原生安全的現狀 2335人工智能驅動的攻擊隨著人工智能技術的不斷發展，人工智能驅動攻擊的可能性 也在上升。人們越

23、來越意識到人工智能可能會被當作武器，再加上人工智能的不確定性使其難以規劃和防御，這讓 38%的企業感到擔憂。人工智能的復雜性和針對性可能會導致更大的破壞，這應該引起各企業對人工智能所代表的不斷變化的威脅形勢的警惕。CI/CD 對攻擊面的影響由于 CI/CD 管道有可能引入漏洞并快速將漏洞部署到生產中，因此 34%的企業擔心其對攻擊面的影響。日本和亞太地區的擔憂加劇，其中 40%的人認為漏洞和安全違規增加的風險是一個重大問題。訪問管理不完善35%的企業將訪問管理不完善列為首要關注問題，這凸顯了企業在控制誰能訪問云中哪些內容方面所面臨的挑戰。在拉丁美洲等地區，訪問控制問題尤為突出，44%的受訪者表

24、示需要有效的身份和訪問管理解決方案。4云原生安全的現狀 246內部威脅32%的受訪者擔心內部威脅。各地區的這一比例相當一致，從而加劇了降低與內部人員（包括業務合作伙伴、第三方供應商和承包商以及員工）泄密相關的風險這一普遍挑戰。鑒于 98%的企業稱自己在眾多環境中存儲數據，因此內部威脅的機會特別多。事實上，45%的企業稱，機會增加可能導致了高級持續威脅(APT)的增多。7未知、未管理的資產最后，29%的受訪者擔心云中未知的、不受管理的資產。這一問題在歐洲被認為更為緊迫，表明人們更加意識到資產管理和可視性方面可能存在差距，從而可能導致漏洞和違規行為。云原生安全的現狀 25#1 數據泄露#2 違規行

25、為#3由于錯誤配置導致停機安全事故增幅最大的前三位是代價最高的。$事故響應：與時間賽跑安全事故要求企業不斷調整和改進自身的實踐，以保持領先地位。云安全事故呈上升趨勢，其中通常最嚴重的事故（數據泄露）的數量不斷增加，高達 64%的企業報告了這類事故。另有 48%的企業報告違規行為增加，隨后是 45%的企業報告因配置錯誤導致的運行停機時間增加。云原生安全的現狀 26在前文詳述的安全事故中，42%的受訪者稱過度寬松的權限增加令人感到不安。各企業都知道身份管理是云環境的關鍵，但權限問題依然存在。從破壞和數據泄露到違反合規性和機密暴露，所有這些事故的上升都可能涉及到 IAM 部分。事故的上升趨勢突出表明

26、，必須嚴格控制訪問權限并遵守最低特權原則，才能保護系統和敏感數據的安全。數據泄露重大違規行為不安全的 API由于錯誤配置導致停機高級持續性威脅機密暴露訪問權限過于寬松的身份脆弱或中毒的工作負載映像工作負載之間不受限制的網絡訪問數據泄露64%48%46%45%45%43%42%42%41%34%安全事故呈上升趨勢圖 5.過去 12 個月安全事故有所增加云原生安全的現狀 27企業目睹了高級持續性威脅(APT)的增加，這些威脅以其復雜性、隱蔽性和滲透網絡的能力而聞名，同時可以長時間不被發現。令人擔憂的是，盡管企業報告稱在檢測和應對事故方面沒有遇到不尋常的挑戰，但他們仍然屈從于這種高風險的危險。APT

27、 發生頻率的增加表明整體安全態勢存在缺口。鑒于 APT 經常利用零日漏洞或使用社會工程戰術來繞過傳統的檢測機制，這樣的情景強調了采取主動而非被動的安全方法的必要性。這促使人們認識到，需要進行持續監控、威脅搜尋并實施先進的安全措施，才能在攻擊發生之前進行預測和預防。如上所述，風險評估可以從仔細研究身份管理開始。高級持續性威脅(APT)的日益頻繁表明，安全態勢存在缺口。云原生安全的現狀 2850%的企業依賴手動審查代碼來查找敏感數據。保護云中敏感數據的安全企業面臨著巨大的數據安全挑戰，許多企業依靠的方法不足以保護敏感信息。在我們調查的企業中，有 50%會進行人工審核，以識別云中的敏感數據并對其進行

28、分類，這是數據安全現狀的一個令人擔憂的指標。人工審核耗時、容易出錯，而且往往不全面，使企業容易受到數據泄露的影響。64%的受訪者表示，在過去 12 個月中，數據泄露事故有所增加。98%的企業在多個位置存儲敏感數據，包括內部服務器、公有云、帶有本地存儲的 SaaS 應用程序、由第三方托管的私有云以及終端，我們都知道安全挑戰是巨大的。云原生安全的現狀 29分散在多個位置的數據難以跟蹤和保護。安全團隊需要深入了解每個環境的控制和配置，并有能力協調多個團隊的安全工作。管理既復雜又耗時，我們從數據安全的首要挑戰中就能看出這一點。每 3 位網絡安全專業人員中就有 2 位(64%)發現數據泄露事故有所增加。

29、Data Storage Distribution端點17%內部部署23%SaaS19%私有云19%公有云22%漫長的數據冒險之旅圖 6.數據存儲分布云原生安全的現狀 30有趣的是，過去 12 個月，雖然只有 38%的企業指出了機密管理方面的困難，但卻有 43%的企業發現機密暴露有所上升。更奇怪的是，報告機密管理不善的拉丁美洲企業(47%)比其他地區都多。與此同時，26%拉丁美洲企業的機密暴露有所下降，這一比例高于其他任何地區。這就提出了一個問題：對問題的認識是否與結果的改善相關？Sensitive Data54%50%48%38%云環境的復雜性和分散性寬松的 IAM 實踐或權限不夠細化對敏感

30、數據的監控不足機密管理不善0%50%40%60%30%20%10%數據安全的敵人圖 7.數據安全面臨的最大挑戰43%的企業發現機密暴露有所增加。云原生安全的現狀 31有什么不同的做法？后見之明為改進云遷移提供了非常清晰的洞察力。當企業回憶起第一次向云遷移時，事后看來，在哪些方面可以采用不同的方法來降低風險和提高效率。通過探索這些見解，我們獲得了集體經驗 融合了戰略規劃、安全重點、技術調整和市場調研，每一點都有助于實現更有效、更安全的云遷移過程。云原生安全的現狀 32重構應用程序 半數(50%)的調查參與者建議將更多時間花在重構應用程序上，而不是只做極少改動就能遷移應用程序。這一戰略涉及重新構想

31、應用程序的架構和開發方式，充分利用云原生功能和服務，從而顯著提高可擴展性、性能和成本效益。調查反饋反映了企業各角色之間的平衡觀點，凸顯了這種觀點在面對云環境加強應用準備方面的價值。建立治理框架多達 53%的受訪者強調了投資治理框架來管理云資源的重要性。這也是我們從客戶那里聽到的，有些客戶將自己早期使用云計算的日子形容為“狂野西部”。通過定義明確的角色、政策和流程，企業可以確保高效、安全地使用資源。從一開始就建立這樣一個框架，可以提供一個結構化的環境，以適應變化并與企業一起擴展。值得注意的是，這一觀點在高管和從業人員層面都得到了重視，強調了其相關性。各企業正在重新思考其戰略，許多企業強調需要進

32、行 根 本 性 變革，從一開始就增強云安全性。71%的受訪者表示，倉促部署帶來了安全漏洞。71%云原生安全的現狀 33優先考慮安全性和合規性50%的受訪者認為，云安全與傳統的企業內部安全有著本質區別，因此主張從云遷移過程一開始就優先考慮安全性和合規性。通過將安全和合規考量納入遷移戰略，企業可以避免導致漏洞、數據泄露和違規處罰的隱患。信息安全和 IT 部門強調了這種方法，突出了他們對保護企業資產的重視。從地區來看，這對拉丁美洲的企業尤為重要(57%)?？疾旃ぞ吆凸?另有 48%的受訪者強調，必須投入更多時間考察工具和供應商。這一洞察力凸顯了云服務市場的復雜性和多樣性，正確的工具和合作伙伴關系

33、可以極大地影響云技術的成功運用。通過全面評估各種方案，企業可以選擇最適合其需求、預算和戰略目標的解決方案。從事 DevOps 工作的人員尤其重視這一觀點，因為他們直接參與了這些工具的實施和使用。50%的企業從一開始就優先考慮合規性。50%云環境的復雜性和分散性給 50%以上的受訪者帶來了挑戰。云原生安全的現狀 34人為因素安全流程會引發延遲、壓力以及 DevOps 與 SecOps 之間的沖突，這表明需要采用以人為本的方法來確保應用程序開發的安全性。云安全與應用開發之間的沖突并不新鮮。就像云計算的復雜性和降低復雜性的動力一樣，建設者和保護者之間的紛爭也一直存在。盡管我們看到這方面的進展甚微，但

34、今年云原生安全現狀調查的參與者讓我們更近距離地了解了面臨的挑戰 或許還能窺見解決方案的冰山一角。最能說明問題的數據是，84%的受訪者 占壓倒性多數 表示安全流程導致了項目時間進度的延誤，這至少是探討這個問題的一個好的切入點。這可能是 83%的人認為安全流程是一個負擔的原因。另有 79%的人表示，員工經常忽視或繞過安全流程。還有 71%的人承認不了解自己的安全責任。云原生安全的現狀 35對于在云 DevOps 團隊中配備了云安全專業人員的 94%的企業來說，這些數據點是如何體現的呢？對許多人來說，防御戰略就是由安全人員生成無數工單讓開發人員解決。往好了說，這是不可持續的。往差了說，這會導致錯過最

35、后期限、效率低下、運行時漏洞和團隊壓力。開發人員在組織結構的推動下創建代碼、進行創新并交付有收入潛力的功能。換句話說，工單容易累積，造成安全問題積壓。這也是大多數人錯過上市日期的原因所在，從而延續了一種替罪羊文化。受訪者的壓力可想而知，71%的受訪者表示不僅自己壓力大，隊友的壓力也很大。93%的受訪者認為，離職率高是不難預見的。92%的企業將 DevOps 和 SecOps 團隊之間的優先級沖突歸咎于開發和部署效率低下。86%的受訪者認為，安全是阻礙軟件發布的一個制約因素。同時，91%的人表示開發人員需要編寫更安全的代碼。云原生安全的現狀 36在領導層考慮工作場所的士氣問題時，他們需要意識到組

36、織結構沖突和程序錯位是如何導致士氣低落的，以及士氣低落是如何侵蝕績效的。文化上對生產力的強調似乎削弱了生產力，因為生產力最終既成為沖突的催化劑，也成為沖突的犧牲品。多達 92%的受訪者都認為，DevOps 和云 SecOps 優先級的沖突阻礙了高效的開發和部署。令人震驚的是，71%的人表示，倉促部署帶來了安全漏洞。對被黑客攻擊負責DevOps 與 SecOps 之間沖突變化速度快，時間緊迫員工流失率46%52%48%43%DevOps 和 SecOps 承擔的壓力不斷上升生產力既是沖突的根源，也是沖突的犧牲品。圖 8：DevOps 和云 SecOps 專業人士的壓力來源云原生安全的現狀 374

37、0%的企業在解決缺陷和漏洞時因工具不完善而被拖延。風險、現實和云安全戰略各企業都在尋求高效的安全工具，這些工具具有自動化、集中可視性和易于使用的功能，可減少盲點并精簡運營。工具問題在很大程度上導致了安全缺陷和漏洞解決的延遲，影響了 40%調查受訪者的開發進程。每 3 位安全從業人員中就有 1 位將安全工具落伍歸結于自己無法隨時掌握威脅載體。近五分之二(38%)的人認為警報干擾是造成延誤的原因。在多云環境中管理安全具有挑戰性。這需要一個高度詳細的大局觀戰略，包括對所有云資產的無死角可視性、跨提供商的一致安全策略執行、高級威脅檢測和響應能力.從代碼到云的全面安全。云原生安全的現狀 38在工具方面，

38、2024 年受訪者的首要主題是提高效率和效益。各企業正在認識到精簡運營的重要性，這不僅是為了成本管理，也是有效安全態勢的關鍵組成部分。對于 91%的受訪者來說，使用的單點工具數量造成了盲點，影響了確定風險優先級和預防威脅的能力。98%的受訪者意識到了工具泛濫的影響，希望減少正在使用的云安全工具的數量。但是，88%的企業在確定需要哪些安全工具方面舉步維艱。與去年相比，這一群體大幅增加，這表明離散工具選項的激增使整合目標變得撲朔迷離。不過，團隊確實知道自身需要哪些能力。94%的人希望解決方案能提供即時的補救措施。幾乎同樣多的人(93%)認為，如果有一個解決方案能夠自動發現相互關聯的漏洞和配置錯誤，

39、并知道哪些攻擊成功的可能性最大，那么他們的企業將從中受益。93%的人認為，如果有一個解決方案能夠自動發現相互關聯的云安全缺陷，那么他們的企業將受益匪淺。云原生安全的現狀 39安全團隊(90%)需要更自動化的風險優先級排序，這將有助于減輕上一節討論的一些安全負擔。超過十分之九(92%)的人認為，云安全需要更多開箱即用的可視性和風險優先級過濾功能，而且只需最低限度的學習。事實上，在 52%的企業中，易用性是選擇解決方案時最重要的因素。雖然他們關注的重點是威脅，但安全專業人員對整個應用生命周期都很感興趣。多達 94%的受訪者認為，自己將受益于跨所有云賬戶和服務的集中式安全解決方案，93%的受訪者將受

40、益于云計算和應用程序安全與傳統網絡安全的整合。便于 SecOps 學習和使用52%23%12%8%4%2%便于 DevOps 學習和使用有競爭力的價格和/或成本一流的安全功能支持各種各樣的平臺和技術堆棧對應用程序和網絡性能的潛在影響（如延遲）94%的企業將受益于跨所有云賬戶和服務的集中式安全解決方案。購物清單之首圖 9.選擇云安全工具時考慮的首要因素云原生安全的現狀 40擁抱未知人工智能對應用程序生命周期的影響在人工智能驅動的世界中，各企業展示了應對未來的云和應用程序安全未雨綢繆的方法。人工智能已經到來，可以說，各企業既焦慮又樂觀，并且全力以赴。是的，近五分之二的云安全專業人士(38%)認為人

41、工智能驅動的攻擊是最令人擔憂的問題。在具體詢問數據安全問題時，特別是人工智能攻擊可能危及敏感數據的問題時，這一比例飆升至 89%，翻了一番還多。受訪者顯然還處于未知領域。超過五分之二的受訪者(43%)預測，人工智能驅動的威脅將避開傳統的檢測技術，變得更加普遍。他們預計最令人擔憂的趨勢是什么？47%的人預計，由人工智能引發的供應鏈攻擊會危及軟件組件或云服務。緊隨其后的是通過個性化網絡釣魚、社交工程或深度偽造來欺騙用戶(45%)，以及操縱輸出或利用人工智能系統的漏洞(44%)。云原生安全的現狀 41另一方面，47%的企業已經將與人工智能生成的代碼相關的安全風險納入了視線。盡管如此，100%的受訪者

42、都在接納人工智能輔助應用程序開發 這在 Palo Alto Networks 的云原生安全現狀報告歷史上尚屬首次。人工智能不僅已經到來，而且將繼續存在。各企業目前正處于人工智能發展的不同階段。相當一部分受訪者(50%)廣泛使用人工智能來生成和優化代碼。這方面的地區性先驅包括新加坡(60%)、印度(58%)和巴西(57%)。在德國(52%)和日本(51%)，略高于半數的企業采用了較為保守的方法，即有選擇性地適度采用。90%的企業表示開發人員需要編寫更安全的代碼。47%的企業已經將與人工智能生成的代碼相關的安全風險納入了視線。100%的受訪者都在接納人工智能輔助應用程序開發 這在 Palo Alt

43、o Networks 的 云原生安全現狀報告 歷史上尚屬首次。人工智能已經到來，而且勢不可擋。100%100%90%90%47%47%云原生安全的現狀 42無論如何，企業都不能掉以輕心。當被問及 2024 年的重中之重時，100%的企業都致力于了解其人工智能部署的整個流程?？梢曅陨婕傲税舾袛祿屯茢嗲榫车臄祿?。幾乎每個企業(99%)都會制定相關政策，確保對人工智能模型和服務的訪問權限是在“需要知道”的基礎上授予的。另有 98%的企業計劃建立一個清單來盤點人工智能模型及其部署的 GenAI 輔助應用程序。在開發過程中擁抱人工智能，同時高度關注人工智能帶來的威脅，表明了一種知情的觀點。各企業

44、認識到，人工智能既是創新的推動力，也是潛在的攻擊載體，因此似乎敏銳地意識到，必須在追求人工智能效益與采取嚴格的安全措施防范人工智能帶來的威脅之間取得平衡。各企業認識到，人工智能是創新的推動力，也是潛在的攻擊載體。100%的企業將優先考慮了解其整個 AI 部署流程。1云原生安全的現狀 432024 年的云原生安全需要采取全面、多面的方法，從戰略上關注長期存在的挑戰和新出現的風險。Palo Alto Networks 的研究人員建議優先考慮五個關鍵領域。保護云安全的建議通過平臺化進行整合考慮使用集中式安全管理平臺，這種平臺將在您的云計算成熟之旅中跟隨您，為您的應用程序和數據提供端到端的保護。隨著企

45、業擴展其云并使其架構使用多樣化，一種全面的、與架構無關的云安全方法對于實現最佳可視性、控制和自動化至關重要。為滿足新的云安全要求做好準備的一種戰略方法是，首先選擇一家能夠擴展到未來用例的平臺供應商，其中包括應用程序和運營安全。這樣，您的安全團隊就能快速響應新要求，降低培訓成本，并大大簡化新安全功能的集成。云原生安全的現狀 44安全采用人工智能人工智能在應用程序開發中發揮著巨大且快速成長的作用 包括 GenAI 加速代碼開發、用作訓練數據的企業數據以及利用新訓練的人工智能模型的應用程序。這些趨勢加劇了云安全的挑戰。由于人工智能生成的代碼可能會導致錯誤配置、漏洞和缺陷更快地擴散，因此一定要規范人工

46、智能的使用。保護您的軟件供應鏈，使您的開發人員能夠在其應用程序投入生產之前提高代碼的安全等級。自動發現敏感數據，確保模型訓練中不使用敏感數據。為利用這些模型而編寫的應用程序也需要得到保護。確保為開發人員（包括人工智能開發人員）制定政策并提供安全的開發環境，這樣安全團隊才不至于苦苦追趕。確保為開發人員制定政策并提供安全的開發環境，這樣安全團隊才不至于苦苦追趕。2云原生安全的現狀 45智能的數據安全實施數據安全戰略，確定如何保護敏感數據，無論這些數據存儲在哪里。戰略應包括加密數據、控制數據訪問和監控數據可疑活動的措施。應通過技術控制和定期安全審計來落實政策。投資自動化數據發現和分類解決方案。具有數

47、據檢測和響應(DDR)功能的數據安全態勢管理(DSPM)可以快速準確地掃描大量數據，包括以文本文檔和圖像等非結構化格式存儲的數據。選擇包含大量全球最佳實踐和開箱即用的合規性報告的云安全工具。這將使您的安全團隊做好準備，應對創新企業迅速提出的新審計要求。定期審查和更新數據安全措施，確保這些措施能有效地應對不斷變化的威脅環境，并對員工進行數據安全最佳實踐培訓。員工需要了解數據泄露的風險以及如何保護敏感數據。安全團隊應提供有關數據安全最佳實踐的培訓，并定期提醒員工注意這些實踐。員工需要了解數據泄露的風險以及如何保護敏感數據。安全團隊應提供有關數據安全最佳實踐的培訓，并定期提醒員工注意這些實踐。3云原

48、生安全的現狀 46設置積極主動的安全措施認識到安全團隊和開發團隊有不同的工作流程和績效指標。每個陣營都以獨有的日程安排為目標，從獨有的角度出發。雖然這兩個團隊的工作都是為了支持企業，但他們的工作往往是對立的。如果不能有意識地、戰略性地、100%地致力于建立一種 DevSecOps 文化，業務成果就會面臨風險。減少 DevOps 管道中的交通擁堵評估您的 DevOps 成熟度和工作流程。無論將代碼推向生產的頻率是每天、每周還是每月，都要觀察安全問題成為制約因素的頻率如何。了解軟件工程師在發布應用程序之前必須進行的漏洞清理程度。為提高效率并鞏固安全性，請考慮采用安全設計方法。無論將代碼推向生產有多

49、頻率，都要觀察安全問題成為制約因素的頻率如何。如果不能有意識地、戰略性地、100%地致力于建立一種 DevSecOps 文化，業務成果就會面臨 風險。45云原生安全的現狀 47該平臺在整個應用生命周期中提供持續可視性和威脅防御，包括成熟的零日威脅。Prisma Cloud 從代碼到云TM的覆蓋范圍涵蓋代碼、基礎架構、工作負載、數據、網絡、Web 應用、身份和 API 安全性，是能夠滿足您云之旅中每一步安全需求的平臺。借助 Prisma Cloud，安全和 DevOps 團隊能夠開展有效協作，從而加快安全的云原生應用開發和部署流程。平臺經過集成，可簡化管理和工具整合流程，借助其模塊化即付即用架構

50、，企業可按需選擇安全用例和各種云服務提供商。Palo Alto Networks 如何提供幫助Palo Alto Networks 的 Prisma Cloud 可在多云環境中從代碼到云保護應用程序。云原生安全的現狀 48第四次年度云原生安全現狀調查于 2023 年 12 月 20 日至 2024 年 1 月 17 日期間通過電子郵件邀請和在線調研形式進行。受訪者包括來自這四個主要地區的開發、信息安全或信息技術部門的 2800 名高管和從業人員：北美地區（美國，36%），歐洲、中東和非洲（德國、法國、英國，21%），拉丁美洲（巴西、墨西哥，14%）以及亞太和日本地區（印度、新加坡、澳大利亞、日

51、本，29%）。此外，本次調查還對所有主要行業進行了抽樣調查，包括消費品和服務、能源資源和工業、技術、媒體和電信、金融服務和醫療保健等行業。任何樣本的結果都會受到取樣差異的影響。差異的大小是可以測量的，并受到訪談次數和表達結果的百分比水平的影響。就本研究中進行的訪談而言，如果對樣本所代表的全體人員進行訪談，調查結果的正負相差不超過 1.9 個百分點（全球樣本）、3.1 個百分點（北美地區）、4.0 個百分點（歐洲、中東和非洲地區）和 3.5 個百分點（亞太地區）的概率為 95/100。研究方法Palo Alto Networks全球網絡安全領導者 Palo Alto Networks 通過科技的

52、力量，保護并改變著人們工作以及企業的運營方式，從而塑造以云為導向的安全未來。我們的使命是成為首選的網絡安全合作伙伴，保護您的數字生活安全無憂。一直以來，Palo Alto Networks 在不斷創新中抓住機會，利用人工智能、分析、自動化和業務流程編排方面的最新突破來幫助客戶應對全球最大的安全挑戰。Palo Alto Networks 通過提供集成式的平臺，為不斷發展中的合作伙伴生態系統賦能，在保護數以萬計的企業云、網絡和移動設備安全方面，我們始終站在最前沿。我們的愿景是打造更安全無憂的世界。有關詳細信息，請訪問 。Prisma Cloud by Palo Alto NetworksPrisma Cloud 是一個全面的云原生安全平臺，在整個開發生命周期以及跨多云和混合云部署期間，為應用、數據和整個云原生技術堆棧提供了業界最廣泛的安全性和合規性覆蓋。Prisma Cloud 集成方法能夠幫助安全運營和 DevOps 團隊保持敏捷性、有效開展協作并安全加速云原生應用開發和部署。有關詳細信息，請訪問