CN118170961A - 云原生环境信息处理方法、装置、设备、存储介质和程序产品 - Google Patents

Abstract

本公开提供了一种云原生环境信息处理方法，涉及云计算技术领域，可以应用于金融技术领域。所述方法包括：响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；按照预设信息收集结构树对所述目标信息进行分类整理；以及基于图数据库对分类整理后的目标信息进行可视化处理，其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。本公开还提供了一种云原生环境信息处理装置、设备、存储介质和程序产品。

Description

云原生环境信息处理方法、装置、设备、存储介质和程序产品

技术领域

本公开涉及云计算技术领域，具体地涉及云原生安全技术领域，更具体地涉及一种云原生环境信息处理方法、装置、设备、存储介质和程序产品。

背景技术

随着云计算和软件开发技术的不断进步，云原生安全也在不断演变。信息收集技术在云原生安全中扮演着至关重要的角色。如何解决云原生环境下的信息收集的完整性、准确性成为亟需解决的技术问题。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

鉴于上述问题，本公开提供了一种云原生环境信息处理方法、装置、设备、存储介质和程序产品。

根据本公开的第一个方面，提供了一种云原生环境信息处理方法，所述方法包括：

响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；

按照预设信息收集结构树对所述目标信息进行分类整理；以及

基于图数据库对分类整理后的目标信息进行可视化处理，

其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。

根据本公开的实施例，所述根据预设采集方式获取目标信息包括；

根据云原生控制面服务收集集群资源信息；

根据容器化业务服务收集服务信息；

收集容器内信息；以及

基于镜像信息收集数据。

根据本公开的实施例，所述根据云原生控制面服务收集集群资源信息包括：

调用Kubernetes集群接口获取集群资源信息，所述集群资源信息包括版本信息、节点信息、Pod信息、集群日志信息和用户认证授权信息。

根据本公开的实施例，所述根据容器化业务服务收集服务信息包括：

基于微服务治理特性和/或API治理特性收集云原生环境信息。

根据本公开的实施例，所述收集容器内信息包括：

通过容器内本地操作指令收集容器信息；以及

通过容器内网络交互收集容器信息。

根据本公开的实施例，所述基于镜像信息收集数据包括：

收集镜像和镜像仓库中组合映像命令的编排文本；以及

收集镜像运行时的环境信息。

根据本公开的实施例，所述按照预设信息收集结构树对所述目标信息进行分类整理包括：

将所述目标信息按照软件栈层次进行分类整理；以及

生成集群-节点-Pod-容器的信息结构树。

根据本公开的实施例，所述基于图数据库对分类整理后的目标信息进行可视化处理包括：

对云原生控制面服务收集的集群资源信息进行建模；

对集群拓扑信息进行建模；

对容器化业务服务和Pod信息进行建模；

对容器内信息和关键文件进行建模；以及

对容器间的网络交互进行建模。

根据本公开的实施例，所述对云原生控制面服务收集的集群资源信息进行建模包括：

将控制面服务作为第一节点导入图数据库，记录所述第一节点的属性信息；以及

建立第一节点之间的第一关联边，所述第一关联边用于表征服务之间的依赖关系或交互关系。

根据本公开的实施例，所述对集群拓扑信息进行建模包括：

将宿主机和节点作为第二节点导入图数据库，记录所述第二节点的属性信息；以及

建立第二节点之间的第二关联边，所述第二关联边用于表征节点之间的连接关系，所述连接关系包括网络连接和容器与节点的关联关系。

根据本公开的实施例，对容器化业务服务和Pod信息进行建模包括：

将业务服务作为第三节点导入图数据库，并记录所述第三节点相关的属性信息；

将Pod和容器作为第四节点导入图数据库，记录所述第四节点相关的属性信息；以及

建立所述第四节点之间的边关系，所述边关系用于表征Pod与宿主机的关联以及容器与Pod的关系。

根据本公开的实施例，对容器内信息和关键文件进行建模；

将容器关键进程和关键文件作为第五节点导入图数据库，记录关键文件的存储路径和关键进程的存在情况；以及

通过边关系表征关键文件与容器以及关键进程与容器的关联关系。

根据本公开的实施例，所述对容器间的网络交互进行建模包括：

将网络节点、端口和协议作为第六节点导入图数据库，记录所述第六节点相关属性信息；以及

建立容器与网络节点之间的边关系，所述边关系用于表征容器与网络设备的连接和交互关系。

本公开的第二方面提供了一种云原生环境信息处理装置，所述装置包括：

云原生环境信息采集模块，用于响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；

分类整理模块，用于按照预设信息收集结构树对所述目标信息进行分类整理；以及

图数据库建模分析模块，用于基于图数据库对分类整理后的目标信息进行可视化处理，

其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。

根据本公开的实施例，所述云原生环境信息采集模块包括：第一采集子模块、第二采集子模块、第三采集子模块和第四采集子模块。

第一采集子模块，用于根据云原生控制面服务收集集群资源信息；

第二采集子模块，用于根据容器化业务服务收集服务信息；

第三采集子模块，用于收集容器内信息；以及

第四采集子模块，用于基于镜像信息收集数据。

根据本公开的实施例，所述第一采集子模块具体用于调用Kubernetes集群接口获取集群资源信息，所述集群资源信息包括版本信息、节点信息、Pod信息、集群日志信息和用户认证授权信息。

根据本公开的实施例，第二采集子模块具体用于基于微服务治理特性和/或API治理特性收集云原生环境信息。

根据本公开的实施例，第三采集子模块具体用于通过容器内本地操作指令收集容器信息；以及通过容器内网络交互收集容器信息。

根据本公开的实施例，第四采集模块具体用于收集镜像和镜像仓库中组合映像命令的编排文本；收集镜像运行时的环境信息。

根据本公开的实施例，所述分类整理模块包括分类整理子模块和生成子模块。

分类整理子模块，用于将所述目标信息按照软件栈层次进行分类整理；以及

生成子模块，用于生成集群-节点-Pod-容器的信息结构树。

根据本公开的实施例，所述图数据库建模分析模块包括第一建模子模块、第二建模子模块、第三建模子模块、第四建模子模块和第五建模子模块。

根据本公开的实施例，第一建模子模块具体用于将控制面服务作为第一节点导入图数据库，记录所述第一节点的属性信息；建立第一节点之间的第一关联边，所述第一关联边用于表征服务之间的依赖关系或交互关系。

根据本公开的实施例，第二建模子模块具体用于所述对集群拓扑信息进行建模包括：

将宿主机和节点作为第二节点导入图数据库，记录所述第二节点的属性信息；建立第二节点之间的第二关联边，所述第二关联边用于表征节点之间的连接关系，所述连接关系包括网络连接和容器与节点的关联关系。

根据本公开的实施例，第三建模子模块具体用于将业务服务作为第三节点导入图数据库，并记录所述第三节点相关的属性信息；将Pod和容器作为第四节点导入图数据库，记录所述第四节点相关的属性信息；以及建立所述第四节点之间的边关系，所述边关系用于表征Pod与宿主机的关联以及容器与Pod的关系。

根据本公开的实施例，第四建模子模块具体用于将容器关键进程和关键文件作为第五节点导入图数据库，记录关键文件的存储路径和关键进程的存在情况；以及通过边关系表征关键文件与容器以及关键进程与容器的关联关系。

根据本公开的实施例，第五建模子模块具体用于将网络节点、端口和协议作为第六节点导入图数据库，记录所述第六节点相关属性信息；以及建立容器与网络节点之间的边关系，所述边关系用于表征容器与网络设备的连接和交互关系。

本公开的第三方面提供了一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得一个或多个处理器执行上述云原生环境信息处理方法。

本公开的第四方面还提供了一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行上述云原生环境信息处理方法。

本公开的第五方面还提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述云原生环境信息处理方法。

通过本公开的实施例提供的一种云原生环境信息处理方法，响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；按照预设信息收集结构树对所述目标信息进行分类整理；以及基于图数据库对分类整理后的目标信息进行可视化处理，其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。相较于相关技术，本公开实施例提供的能够实时、精准地收集云环境中的敏感信息，提供全面的信息覆盖，通过图数据库建模，可以在图形化界面中展示云原生环境的拓扑结构、节点之间的关联关系，有利于提高云原生环境安全性。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述内容以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的云原生环境信息处理方法、装置、设备、存储介质和程序产品的应用场景图；

图2示意性示出了根据本公开一实施例提供的一种云原生环境信息处理方法的流程图；

图3示意性示出了根据本公开另一实施例提供的根据预设采集方式获取目标信息的流程图；

图4示意性示出了根据本公开又一实施例提供的按照预设信息收集结构树对所述目标信息进行分类整理方法的流程图；

图5a示意性示出了根据本公开又一实施例提供的信息收集结构树示意图；

图5b示意性示出了根据本公开又一实施例提供的信息收集矩阵示意图；

图6示意性示出了根据本公开又一实施例提供的基于图数据库对分类整理后的目标信息进行可视化处理方法的流程图；

图7示意性示出了根据本公开实施例的一种云原生环境信息处理装置的结构框图；以及

图8示意性示出了根据本公开实施例的适于实现云原生环境信息处理方法的电子设备的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

云原生安全一直是云计算和软件开发领域中关注的重要议题。随着云原生技术的发展和广泛应用，安全性成为云原生环境中的一个关键挑战。随着云原生技术的不断演进和安全意识的提升，安全工具和最佳实践也在不断发展，以解决云原生环境中的安全挑战。企业和组织需要持续关注安全问题，采取全面的安全措施来保护其在云原生环境中的应用和数据。云原生安全是一个不断发展和演进的领域，随着云计算和软件开发技术的不断进步，云原生安全也在不断演变。信息收集技术在云原生安全中扮演着至关重要的角色。随着企业和组织将工作负载迁移到云原生环境中，安全团队需要实时、全面地收集、分析和监控大量数据，以识别潜在的安全威胁并保护关键的系统和数据。尽管云原生信息收集技术在近年来取得了显著进展，但其发展依然存在不完善之处。尤其是在大规模数据的实时收集、智能分析和威胁预测方面，仍面临挑战。信息收集的完整性、准确性以及对多样化云原生环境的适应性仍然需要更深入的研究和改进。

基于上述技术问题，本公开的实施例提供了一种云原生环境信息处理方法，所述方法包括：响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；按照预设信息收集结构树对所述目标信息进行分类整理；以及基于图数据库对分类整理后的目标信息进行可视化处理，其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。

图1示意性示出了根据本公开实施例的云原生环境信息处理方法、装置、设备、存储介质和程序产品的应用场景图。

如图1所示，根据该实施例的应用场景100可以包括云原生环境信息处理场景。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是后端服务器，该服务器可以执行本公开实施例提供的云原生环境信息处理方法，响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；按照预设信息收集结构树对所述目标信息进行分类整理；以及基于图数据库对分类整理后的目标信息进行可视化处理，其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。

需要说明的是，本公开实施例所提供的云原生环境信息处理方法一般可以由服务器105执行。相应地，本公开实施例所提供的云原生环境信息处理装置一般可以设置于服务器105中。本公开实施例所提供的云原生环境信息处理方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的云原生环境信息处理装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

需要说明的是，本公开实施例确定的云原生环境信息处理方法和装置可用于互联网技术领域，也可用于金融技术领域，还可用于除金融领域之外的任意领域，本公开实施例确定的云原生环境信息处理方法和装置的应用领域不做限定。

以下将基于图1描述的应用场景，通过图2～图8对本公开实施例的云原生环境信息处理方法进行详细描述。

图2示意性示出了根据本公开一实施例提供的一种云原生环境信息处理方法的流程图。如图2所示，该实施例的云原生环境信息处理方法包括操作S210～操作S230，该方法可以由服务器或其他计算设备执行。

在操作S210，响应于云原生环境信息采集指令，根据预设采集方式获取目标信息。

根据本公开的实施例，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。

一个示例中，为了更加全面的获取云原生环境信息，本公开实施例通过以下三种方式进行采集，包括：通过远程交互收集信息，具体包括从云原生控制面服务收集信息，以及从容器化业务服务收集信息；容器内收集信息，包括容器内通过本地操作收集信息以及容器内通过网络交互收集信息；基于镜像收集信息主要方式有两种利用镜像和镜像仓库收集信息以及利用特俗镜像收集运行时环境信息。

在操作S220，按照预设信息收集结构树对所述目标信息进行分类整理。

一个示例中，在收集到云原生环境信息后，本公开实施例将信息与资产进行关联，从而将信息分类问题转化为资产分类问题。通过建立面向资产的信息收集结构树对操作S210采集的信息进行分类整理。

在操作S230，基于图数据库对分类整理后的目标信息进行可视化处理。

一个示例中，当收集到敏感信息后，整理和处理这些数据是至关重要的。云原生敏感信息，包括从云原生控制面服务、容器化业务服务、容器内操作、网络交互和基于镜像的信息收集，以及具体信息内容如集群拓扑、版本信息、节点信息、Pod信息、容器信息、关键文件和进程信息等，可以使用图数据库来建模和分析，具体过程可参见图6所示的操作S310～操作S350。

通过本公开的实施例提供的一种云原生环境信息处理方法，响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；按照预设信息收集结构树对所述目标信息进行分类整理；以及基于图数据库对分类整理后的目标信息进行可视化处理，其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。相较于相关技术，本公开实施例提供的能够实时、精准地收集云环境中的敏感信息，提供全面的信息覆盖，通过图数据库建模，可以在图形化界面中展示云原生环境的拓扑结构、节点之间的关联关系，有利于提高云原生环境安全性。

下面将结合图3介绍云原生环境信息的采集过程。

图3示意性示出了根据本公开另一实施例提供的根据预设采集方式获取目标信息的流程图。

如图3所示，操作S210包括操作S211～操作S214。

在操作S211，根据云原生控制面服务收集集群资源信息。

根据本公开的实施例，调用Kubernetes集群接口获取集群资源信息，所述集群资源信息包括版本信息、节点信息、Pod信息、集群日志信息和用户认证授权信息。

一个示例中，根据云原生控制面服务收集集群资源信息主要包括：集群状态和资源信息收集，例如，获取集群信息：

Bash

Copy code

kubectl cluster-info

列出所有节点：

bash

Copy code

kubectl get nodes

查看各节点资源使用情况(需要Metrics Server部署在集群中)：

bash

Copy code

kubectl top nodes

查看所有命名空间中的Pods状态：

bash

Copy code

kubectl get pods----all-namespaces

日志收集和分析：

使用kubectl查看Pod日志：

bash

Copy code

kubectl logs<pod-name>

Kubernetes提供了一个强大的API，允许用户以编程方式查询和操作Kubernetes集群中的资源。这些API覆盖了从基本的操作(如获取、创建、修改和删除资源)到高级功能(如监视状态变化、访问日志和执行远程命令)。以下是Kubernetes API的一些核心部分，可用于信息收集和资源管理：

1.核心API组

Pods：管理集群中的Pods，可以用来获取Pod的状态、日志等信息。

http

Copy code

GET/api/v1/namespaces/{namespace}/pods

GET/api/v1/namespaces/{namespace}/pods/{name}/log

Nodes：获取集群中节点的信息，包括状态、配置和统计信息。

http

Copy code

GET/api/v1/nodes

Services：管理集群中的服务，可以查询服务的状态和配置。

http

Copy code

GET/api/v1/namespaces/{namespace}/services

Deployments：操作和获取部署的信息，用于管理应用的部署状态。

http

Copy code

GET/apis/apps/v1/namespaces/{namespace}/deployments

2.自定义资源定义(CRDs)

CustomResourceDefinitions：查询和管理集群中定义的自定义资源。

http

Copy code

GET/apis/apiextensions.k8s.io/v1/customresourcedefinitions

3.高级API组

Metrics API：获取关于Pods和Nodes的资源使用信息，如CPU和内存使用量。需要Metrics Server在集群中运行。

http

Copy code

GET/apis/metrics.k8s.io/v1betal/nodes

GET/apis/metrics.k8s.io/vlbetal/namespaces/{namespace}/pods

Events：获取集群中发生的事件，这对于监控和故障排查非常有用。

http

Copy code

GET/api/v1/namespaces/{namespace}/events

4.认证和授权

TokenReview、SubjectAccessReview、SelfSubjectAccessReview：用于认证和授权，检查用户或系统的权限。

http

Copy code

POST/apis/authentication.k8s.io/v1/tokenreviews

POST/apis/authorization.k8s.io/v1/subjectaccessreviews

在操作S212，根据容器化业务服务收集服务信息。

根据本公开的实施例，基于微服务治理特性和/或API治理特性收集云原生环境信息。

一个示例中，在许多业务迁移到云原生环境时，它们的架构和部署方式通常会经历变化，引入微服务治理(例如服务网格)和API治理(例如API网关)的特性。这些特性经常包含有价值的信息，能够提供关于承载业务的云原生环境的线索，因此也值得进行信息收集。例如，当确定与服务交互的HTTP返回头中出现以x-envoy-开头的项时，可以推断该服务可能处于由Istio/Envoy进行服务网格管理的云原生环境中。其中，x-envoy-peer-metadata-id可能包含了有关服务所在Pod、Pod的内部IP和Kubernetes命名空间等关键信息。例如，Istio、Envoy和Kong等云原生治理程序会为被其治理的业务服务添加一个或多个特征，这些特征有助于更好地了解业务服务之间的关联和连接。

在操作S213，收集容器内信息。

根据本公开的实施例，收集容器内信息包括：通过容器内本地操作指令收集容器信息；通过容器内网络交互收集容器信息。

一个示例中，许多容器化业务已经采用Rootless Container部署方式，使得业务进程以低权限用户(例如www-data)的身份运行。这种低权限也常是攻击者获取Webshell权限的途径之一。然而，作为CaaS用户，攻击者通常可以在容器内拥有root权限。容器内权限的大小对信息收集工作也产生影响。在容器内部可以获取到当前环境的大量信息，比如通过判断/.dockerenv文件是否存在来推测是否处于Docker创建的容器环境等。通过容器内本地操作可以收集容器名称、IP、当前UID，容器文件系统发行版本信息，容器安全机制配置信息等，还可以收集容器挂载信息，包括有哪些敏感的挂载卷，容器在宿主机上的绝对路径，容器对宿主机各命名空间的共享情况等等。

一个示例中，容器内的网络交互具有独特的优势，通过访问内部网络确定云原生集群的内部IP，通常默认配置下还会拥有CAP_NET_RAW权限。可以利用这些权限进行网络扫描等操作，探测集群内部网络拓扑，发现有价值的服务。在某些情况下，甚至可以访问到节点主机的元数据服务。在云原生集群中，容器内可能存有某种形式的访问凭证，比如Pod携带的ServiceAccount token等。利用这些token，可以向Kubernetes API Server发起请求。虽然权限可能有限，但至少不再是“匿名访问”，可以访问/version端点获取版本信息。这种权限的获得具有一定的价值性。

在操作S214，基于镜像信息收集数据。

根据本公开的实施例，收集镜像和镜像仓库中组合映像命令的编排文本；收集镜像运行时的环境信息。

一个示例中，容器从镜像创建，类似于进程从程序创建一样。攻击者能够依托于镜像收集到许多有价值的信息，主要有两种方式：1、利用镜像和镜像仓库进行信息收集：获取到目标环境使用的镜像以及公开的镜像仓库，通过组合映像命令的编排文本能够分析镜像组件的脆弱性，找到可能的入口点。2、利用特殊镜像收集运行时环境信息。由于容器运行时(例如runC)的设计问题，可以通过在目标环境部署特殊镜像，获取环境中的容器运行时二进制程序文件，从而获得版本信息并发现潜在的漏洞。

图4示意性示出了根据本公开又一实施例提供的按照预设信息收集结构树对所述目标信息进行分类整理方法的流程图。图5a示意性示出了根据本公开又一实施例提供的信息收集结构树示意图。图5b示意性示出了根据本公开又一实施例提供的信息收集矩阵示意图。

如图4所示，操作S220包括操作S221和操作S222。

在操作S221，将所述目标信息按照软件栈层次进行分类整理。

在操作S222，生成集群-节点-Pod-容器的信息结构树。

一个示例中，将收集到的云原生敏感环境信息按照按照软件栈层次进行分类整理，生成集群-节点-Pod-容器的信息结构树，如图5a所示，将该信息结构树展开即可获取如图5b所示的信息收集矩阵。可以看出，云原生敏感环境信息具体内容如集群拓扑、版本信息、节点信息、Pod信息、容器信息、关键文件和进程信息等。

图6示意性示出了根据本公开又一实施例提供的基于图数据库对分类整理后的目标信息进行可视化处理方法的流程图。

如图6所示，操作S230包括操作S310～操作S350。

在操作S310，对云原生控制面服务收集的集群资源信息进行建模。

根据本公开的实施例，将控制面服务作为第一节点导入图数据库，记录所述第一节点的属性信息；建立第一节点之间的第一关联边，所述第一关联边用于表征服务之间的依赖关系或交互关系。

一个示例中，可以使用图数据库对收集到的云原生环境信息进行建模分析，具体的，将控制面服务(如Kubernetes API服务器、调度器等)作为节点导入图数据库，记录其属性信息和版本等。建立服务之间的关联边，表示它们的依赖关系或交互关系。

在操作S320，对集群拓扑信息进行建模。

根据本公开的实施例，对集群拓扑信息进行建模包括：将宿主机和节点作为第二节点导入图数据库，记录所述第二节点的属性信息；建立第二节点之间的第二关联边，所述第二关联边用于表征节点之间的连接关系，所述连接关系包括网络连接和容器与节点的关联关系。

一个示例中，对于集群拓扑信息，建立节点表示不同的集群节点(包括宿主机、节点等)以及与之相关的属性信息(如网络、CPU、内核版本等)。建立边表示节点之间的连接关系，包括网络连接、容器与节点的关联等。

在操作S330，对容器化业务服务和Pod信息进行建模。

根据本公开的实施例，对容器化业务服务和Pod信息进行建模包括：将业务服务作为第三节点导入图数据库，并记录所述第三节点相关的属性信息；将Pod和容器作为第四节点导入图数据库，记录所述第四节点相关的属性信息；建立所述第四节点之间的边关系，所述边关系用于表征Pod与宿主机的关联以及容器与Pod的关系。

一个示例中，将业务服务作为节点导入图数据库，并记录其相关属性信息、版本等。表示Pod和容器作为节点，包括相关的IP地址、发行版本、挂载信息等属性。建立节点之间的边关系，表示Pod与宿主机的关联、容器与Pod的关系等。

在操作S340，对容器内信息和关键文件进行建模。

根据本公开的实施例，所述对容器内信息和关键文件进行建模包括：将容器关键进程和关键文件作为第五节点导入图数据库，记录关键文件的存储路径和关键进程的存在情况；以及通过边关系表征关键文件与容器以及关键进程与容器的关联关系。

一个示例中，对于容器内部的信息，包括高价值文件和进程等，建立节点表示文件、进程，并记录其重要属性信息。通过边关系表示文件与容器、进程与容器的关联，描述高价值文件的存在位置、进程的存在情况等。

在操作S350，对容器间的网络交互进行建模。

根据本公开的实施例，所述对容器间的网络交互进行建模包括：将网络节点、端口和协议作为第六节点导入图数据库，记录所述第六节点相关属性信息；以及建立容器与网络节点之间的边关系，所述边关系用于表征容器与网络设备的连接和交互关系。

一个示例中，将网络节点、端口、协议等作为节点导入图数据库，记录其相关属性信息。建立容器与网络节点之间的边关系，表示容器与网络设备的连接和交互关系。

通过这样的图数据库建模，可以在图形化界面中展示云原生环境的拓扑结构、节点之间的关联关系、漏洞路径等信息。通过查询和分析功能，可以更有效地理解和发现潜在的安全风险，指导渗透测试和安全改进工作。

基于上述云原生环境信息处理方法，本公开还提供了一种云原生环境信息处理装置。以下将结合图7对该装置进行详细描述。

图7示意性示出了根据本公开实施例的一种云原生环境信息处理装置的结构框图。如图7所示，该实施例的云原生环境信息处理装置700包括云原生环境信息采集模块710、分类整理模块720和图数据库建模分析模块730。

云原生环境信息采集模块710用于响应于云原生环境信息采集指令，根据预设采集方式获取目标信息。在一实施例中，云原生环境信息采集模块710可以用于执行前文描述的操作S210，在此不再赘述。

分类整理模块720用于按照预设信息收集结构树对所述目标信息进行分类整理。在一实施例中，分类整理模块720可以用于执行前文描述的操作S220，在此不再赘述。

图数据库建模分析模块730用于基于图数据库对分类整理后的目标信息进行可视化处理。在一实施例中，图数据库建模分析模块730可以用于执行前文描述的操作S230，在此不再赘述。

根据本公开的实施例，所述云原生环境信息采集模块包括：第一采集子模块、第二采集子模块、第三采集子模块和第四采集子模块。

第一采集子模块，用于根据云原生控制面服务收集集群资源信息；

第二采集子模块，用于根据容器化业务服务收集服务信息；

第三采集子模块，用于收集容器内信息；以及

第四采集子模块，用于基于镜像信息收集数据。

根据本公开的实施例，所述第一采集子模块具体用于调用Kubernetes集群接口获取集群资源信息，所述集群资源信息包括版本信息、节点信息、Pod信息、集群日志信息和用户认证授权信息。

根据本公开的实施例，第二采集子模块具体用于基于微服务治理特性和/或API治理特性收集云原生环境信息。

根据本公开的实施例，第三采集子模块具体用于通过容器内本地操作指令收集容器信息；以及通过容器内网络交互收集容器信息。

根据本公开的实施例，第四采集模块具体用于收集镜像和镜像仓库中组合映像命令的编排文本；收集镜像运行时的环境信息。

根据本公开的实施例，所述分类整理模块包括分类整理子模块和生成子模块。

分类整理子模块，用于将所述目标信息按照软件栈层次进行分类整理；以及

生成子模块，用于生成集群-节点-Pod-容器的信息结构树。

根据本公开的实施例，所述图数据库建模分析模块包括第一建模子模块、第二建模子模块、第三建模子模块、第四建模子模块和第五建模子模块。

根据本公开的实施例，第一建模子模块具体用于将控制面服务作为第一节点导入图数据库，记录所述第一节点的属性信息；建立第一节点之间的第一关联边，所述第一关联边用于表征服务之间的依赖关系或交互关系。

根据本公开的实施例，第二建模子模块具体用于所述对集群拓扑信息进行建模包括：

将宿主机和节点作为第二节点导入图数据库，记录所述第二节点的属性信息；建立第二节点之间的第二关联边，所述第二关联边用于表征节点之间的连接关系，所述连接关系包括网络连接和容器与节点的关联关系。

根据本公开的实施例，第三建模子模块具体用于将业务服务作为第三节点导入图数据库，并记录所述第三节点相关的属性信息；将Pod和容器作为第四节点导入图数据库，记录所述第四节点相关的属性信息；以及建立所述第四节点之间的边关系，所述边关系用于表征Pod与宿主机的关联以及容器与Pod的关系。

根据本公开的实施例，第四建模子模块具体用于将容器关键进程和关键文件作为第五节点导入图数据库，记录关键文件的存储路径和关键进程的存在情况；以及通过边关系表征关键文件与容器以及关键进程与容器的关联关系。

根据本公开的实施例，第五建模子模块具体用于将网络节点、端口和协议作为第六节点导入图数据库，记录所述第六节点相关属性信息；以及建立容器与网络节点之间的边关系，所述边关系用于表征容器与网络设备的连接和交互关系。

根据本公开的实施例，云原生环境信息采集模块710、分类整理模块720和图数据库建模分析模块730中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，云原生环境信息采集模块710、分类整理模块720和图数据库建模分析模块730中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，云原生环境信息采集模块710、分类整理模块720和图数据库建模分析模块730中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图8示意性示出了根据本公开实施例的适于实现云原生环境信息处理方法的电子设备的方框图。

如图8所示，根据本公开实施例的电子设备900包括处理器901，其可以根据存储在只读存储器(ROM)902中的程序或者从存储部分908加载到随机访问存储器(RAM)903中的程序而执行各种适当的动作和处理。处理器901例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))等等。处理器901还可以包括用于缓存用途的板载存储器。处理器901可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 903中，存储有电子设备900操作所需的各种程序和数据。处理器901、ROM902以及RAM 903通过总线904彼此相连。处理器901通过执行ROM 902和/或RAM 903中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 902和RAM 903以外的一个或多个存储器中。处理器901也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，电子设备900还可以包括输入/输出(I/O)接口905，输入/输出(I/O)接口905也连接至总线904。电子设备900还可以包括连接至I/O接口905的以下部件中的一项或多项：包括键盘、鼠标等的输入部分906；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分907；包括硬盘等的存储部分908；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分909。通信部分909经由诸如因特网的网络执行通信处理。驱动器909也根据需要连接至I/O接口905。可拆卸介质911，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器909上，以便于从其上读出的计算机程序根据需要被安装入存储部分908。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的云原生环境信息处理方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 902和/或RAM 903和/或ROM 902和RAM 903以外的一个或多个存储器。

本公开的实施例还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。当计算机程序产品在计算机系统中运行时，该程序代码用于使计算机系统实现本公开实施例所提供的云原生环境信息处理方法。

在该计算机程序被处理器901执行时执行本公开实施例的系统/装置中限定的上述功能。根据本公开的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分909被下载和安装，和/或从可拆卸介质911被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

在这样的实施例中，该计算机程序可以通过通信部分909从网络上被下载和安装，和/或从可拆卸介质911被安装。在该计算机程序被处理器901执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

根据本公开的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (17)

1.一种云原生环境信息处理方法，其特征在于，所述方法包括：

响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；

按照预设信息收集结构树对所述目标信息进行分类整理；以及

基于图数据库对分类整理后的目标信息进行可视化处理，

其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。

2.根据权利要求1所述的方法，其特征在于，所述根据预设采集方式获取目标信息包括；

根据云原生控制面服务收集集群资源信息；

根据容器化业务服务收集服务信息；

收集容器内信息；以及

基于镜像信息收集数据。

3.根据权利要求2所述的方法，其特征在于，所述根据云原生控制面服务收集集群资源信息包括：

调用Kubernetes集群接口获取集群资源信息，所述集群资源信息包括版本信息、节点信息、Pod信息、集群日志信息和用户认证授权信息。

4.根据权利要求2所述的方法，其特征在于，所述根据容器化业务服务收集服务信息包括：

基于微服务治理特性和/或API治理特性收集云原生环境信息。

5.根据权利要求2所述的方法，其特征在于，所述收集容器内信息包括：

通过容器内本地操作指令收集容器信息；以及

通过容器内网络交互收集容器信息。

6.根据权利要求2所述的方法，其特征在于，所述基于镜像信息收集数据包括：

收集镜像和镜像仓库中组合映像命令的编排文本；以及

收集镜像运行时的环境信息。

7.根据权利要求1所述的方法，其特征在于，所述按照预设信息收集结构树对所述目标信息进行分类整理包括：

将所述目标信息按照软件栈层次进行分类整理；以及

生成集群-节点-Pod-容器的信息结构树。

8.根据权利要求1所述的方法，其特征在于，所述基于图数据库对分类整理后的目标信息进行可视化处理包括：

对云原生控制面服务收集的集群资源信息进行建模；

对集群拓扑信息进行建模；

对容器化业务服务和Pod信息进行建模；

对容器内信息和关键文件进行建模；以及

对容器间的网络交互进行建模。

9.根据权利要求8所述的方法，其特征在于，所述对云原生控制面服务收集的集群资源信息进行建模包括：

将控制面服务作为第一节点导入图数据库，记录所述第一节点的属性信息；以及

建立第一节点之间的第一关联边，所述第一关联边用于表征服务之间的依赖关系或交互关系。

10.根据权利要求8所述的方法，其特征在于，所述对集群拓扑信息进行建模包括：

将宿主机和节点作为第二节点导入图数据库，记录所述第二节点的属性信息；以及

建立第二节点之间的第二关联边，所述第二关联边用于表征节点之间的连接关系，所述连接关系包括网络连接和容器与节点的关联关系。

11.根据权利要求8所述的方法，其特征在于，对容器化业务服务和Pod信息进行建模包括：

将业务服务作为第三节点导入图数据库，并记录所述第三节点相关的属性信息；

将Pod和容器作为第四节点导入图数据库，记录所述第四节点相关的属性信息；以及

建立所述第四节点之间的边关系，所述边关系用于表征Pod与宿主机的关联以及容器与Pod的关系。

12.根据权利要求8所述的方法，其特征在于，所述对容器内信息和关键文件进行建模包括：

将容器关键进程和关键文件作为第五节点导入图数据库，记录关键文件的存储路径和关键进程的存在情况；以及

通过边关系表征关键文件与容器以及关键进程与容器的关联关系。

13.根据权利要求8所述的方法，其特征在于，所述对容器间的网络交互进行建模包括：

将网络节点、端口和协议作为第六节点导入图数据库，记录所述第六节点相关属性信息；以及

建立容器与网络节点之间的边关系，所述边关系用于表征容器与网络设备的连接和交互关系。

14.一种云原生环境信息处理装置，其特征在于，所述装置包括：

云原生环境信息采集模块，用于响应于云原生环境信息采集指令，根据预设采集方式获取目标信息；

分类整理模块，用于按照预设信息收集结构树对所述目标信息进行分类整理；以及

图数据库建模分析模块，用于基于图数据库对分类整理后的目标信息进行可视化处理，

其中，所述预设采集方式包括基于云原生控制面服务收集数据、基于容器化业务服务收集数据、基于容器收集数据和基于镜像信息收集数据中的至少一种或多种。

15.一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个计算机程序，

其特征在于，所述一个或多个处理器执行所述一个或多个计算机程序以实现根据权利要求1～13中任一项所述方法的步骤。

16.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现根据权利要求1～13中任一项所述方法的步骤。

17.一种计算机程序产品，包括计算机程序，其特征在于，所述计算机程序被处理器执行时实现根据权利要求1～13中任一项所述方法的步骤。