Palo Alto結合容器與無伺服器防護，跨入雲端原生安全應用

去年5月底，以次世代防火牆產品著稱的Palo Alto Networks，公告他們想要買下無伺服器安全（serverless security）廠商PureSec，以及容器安全（container security）廠商Twistlock，以便延伸Prisma雲端安全產品線，隨即於兩個月內，迅速完成這兩家資安公司的合併。

到了11月，關於Twistlock的部份，Palo Alto推出併購之後的第一次重大更新，當中整合了Prisma Cloud，提供新的SaaS部署選項，關於PureSec的功能，這套產品也整合無伺服器的Defender元件，並且正式改名為Prisma Cloud Compute Edition，融入Prisma Cloud這個雲端原生安全平臺。

從Prisma Cloud的管理主控臺儀表板上，我們都可以在左側主選單的Comupte功能分頁，找到Twistlock提供的全部功能。未來，Palo Alto也將深度整合更多原生的資產資料，統一系統警示與風險分析，並且能夠橫越運算層與服務層的應用。

在2020年推出的第一次更新版本，Prisma Cloud Compute Edition預計將針對核心功能，增加許多功能與強化機制，涵蓋的應用領域包括：軟體開發流程的持續整合／持續提供（CI/CD）的政策、可信的容器系統映像、開放政策代理程式（Open Policy Agent，OPA），以及雲端原生網路防火牆。

PureSec部分的整合上，經過該公司團隊和Twistlock團隊幾個月的努力，已經把他們先前所設計的功能，整合到Defender元件，可針對無伺服器環境的系統運作架構，提供強大的安全功能。

就系統架構而言，Prisma Cloud Compute Edition可分為兩大部分，管理主控臺（Console）與Defender元件，前者可讓用戶定義政策與監控整個運算環境（伺服器／虛擬機器、容器、無伺服器服務），後者負責施行用戶在管理主控臺設定的政策，可區分成4種：Host Defender、Container Defender、Serverless Defender、RASP Defender，能保護不同的雲端原生運算資源、提供最佳化部署，以及完整支援自動化工作流程。

Defender元件的部分，顯然是整體防護能否奏效的關鍵。Prisma Cloud在這裡運用了Docker提供的功能，允許系統使用進階的核心機制，讓Defender能夠保護整個技術堆疊，同時，這些元件也經過完整的容器化處理，並運用最小權限（least privilege）的安全設計概念。由於採用這樣的部署形式，Defender得以建置在單機電腦／伺服器、Docker container、Kubernetes叢集、容器即服務（CaaS）、Pivotal Application Service的平臺即服務應用程式、無伺服器應用程式。

對於無伺服器的應用而言，Palo Alto在目前推出的Prisma Cloud Compute Edition當中，提供了單一平臺與代理程式，保護用戶的無伺服器型態功能，像是無伺服器專用的雲端原生應用程式防火牆、檔案系統執行階段防禦機制、執行階段可延伸支援Java和.NET等程式語言，而對於具有高風險性質的功能角色，這套產品也強化了掃描與偵測機制。

若用戶使用的是雲端業者的無伺服器服務／功能即服務（FaaS），像是AWS Lambda、Azure Funtions、Google Cloud Functions，Prisma Cloud Compute Edition目前提供弱點管理與政策遵循功能。

在解決方案的形式上，Prisma Cloud目前區分為兩種型態，上述的Prisma Cloud運算版正是其中一種，用戶可自行下載、部署與維運這套軟體，相關資料都在用戶的掌握之下，而它能夠保護任何雲端環境當中的伺服器、容器、無伺服器應用，包含企業內部，甚至是完全處於實體隔離狀態的環境。

而就功能搭配的方式而言，Prisma Cloud運算版提供的是雲端工作負載保護平臺（Cloud Workload Protection Platform，CWPP），是源於Twistlock和PureSec這兩家廠商的技術，能夠因應工作負載保護與弱點管理的需求，可用於用戶自行管理伺服器的資料中心，或在雲端當中租用的容器、虛擬機器、主機。

用戶的另一種選擇，是以軟體即服務（SaaS）型態提供的解決方案，稱為Prisma Cloud Enterprise Edition，它是功能更為廣泛的平臺，不只保護伺服器、容器、無伺服器應用，還能夠同時保護應用系統架構的運算層（compute plane），以及服務層（service plane）。

相較於運算版，Prisma Cloud企業版同樣具備雲端工作負載保護平臺，還額外提供了雲端安全態勢管理（Cloud Security Posture Management，CSPM），而後者源於Palo Alto在2018年併購的雲端服務基礎架構保護公司Evident，以及雲端威脅防禦公司RedLock，而能夠讓用戶掌握雲端基礎架構與服務的活動，以及管理安全態勢。

產品資訊

Prisma Cloud Compute Edition
●原廠：Palo Alto
●建議售價：廠商未提供
●部署型態：裸機、虛擬機器、雲端服務
●裸機設備：Console、Defender
●支援虛擬化平臺：Microsoft Hyper-V、VirtualBox、VMware
●支援公有雲服務：AWS、GCP、IBM Cloud、Microsoft Azure、Oracle Cloud
●支援作業系統：Amazon Linux v1/v2、CentOS 7、CoreOS、Debian 8/9、EulerOS V2.0SP3、GCOOS、RHEL 7/8、Ubuntu Server 18.04 LTS/6.04 LTS、Windows Server 2016/2019
●支援調度指揮系統：DC/OS 1.13、Docker Swarm(CE 19.03/18.06、EE 19.03 & 18.03)、Kubernetes 1.14 /1.15、OpenShift 4.1/3.11、Pivotal Cloud Foundry -PCF PAS v2.7
●支援容器執行階段：Docker、cri-containerd containerd 1.2.8、CRI-O 1.13

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】