奇富科技 Nova 云盾平台
立即咨询
首页
负载级
隔离与处置
镜像
上线前卡点
东西向
服务间访问控制
多云
统一资产清单
⚠️行业痛点与挑战
🔍资产台账靠人填
集群每周新建命名空间，资产表还是上月导的，出了漏洞不知道哪些节点在用，只能全量扫一遍，扫完还要人工认领，认领不掉的挂在表里没人管。
⏱️镜像带漏洞上线
构建环节没人卡，镜像里带着旧版本依赖直接进生产，事后扫出来要整批回滚，业务方意见很大，下一版还是照旧，阻断线不定扫描就只是报表。
🧠容器里发生什么看不见
宿主机有防护，容器内的异常进程、反弹连接与提权动作没有视图，出事只能翻业务日志，日志还只有访问记录，取证时连进程树都拼不出来。
🔗东西向流量没人管
微服务之间默认全通，一台被打穿就能横向摸到数据库，安全组按网段开，改一次影响一片，没人敢动，东西向没有基线异常也看不出。
📉告警多到没人看
每天几千条告警，值班只盯高危那几条，剩下的堆在列表里，真出事时翻不出来，复盘只能看有没有人点过，告警质量没人评估。
🚧多云策略各写一套
公有云与自建集群各用一套规则，同一个基线在两边判定不同，审计时要人工对齐，对完还是两套，策略改动要改两处漏一处就出洞。
🎯产品定位与核心价值
定位在云上工作负载这一层：先清点跑着什么、开了哪些口，再管镜像能不能上线、运行中行为是否越界，处置落到单个负载而不是整台宿主机。
💡权限可分级
容器安全系统能力按角色与组织层级授权，镜像漏洞与运行时异常处置工具的协作范围可控。
🔁集成有规范
对接容器安全系统能力的接口遵循统一规范，镜像漏洞与运行时异常处置工具的扩展不破坏既有链路。
🧷能力成体系
容器安全系统与镜像漏洞扫描工具并非孤立功能，镜像漏洞与运行时异常处置工具所需的能力被成体系地提供。
⚙️核心能力详解
🧮负载资产清点
按集群、命名空间与负载列出镜像、端口、挂载与运行身份，新负载上线自动入册，无人认领的单独标出并推给平台负责人。
🧱镜像扫描与准入
构建完成即扫系统包与应用依赖，按严重级别设卡点，未达标的镜像推不进生产仓库，附修复建议与受影响的基础镜像。
⚡运行时行为检测
跟踪容器内进程启动、文件写入与外联，对提权、挖矿与异常外联按行为链告警，可只隔离单个负载并保留现场。
📊服务间访问控制
按服务身份下发允许清单，默认拒绝未声明的东西向访问，策略随负载标签走，扩缩容后自动继承，不必逐台配安全组。
🌐基线核查
对主机与容器按同一套基线检查账号、权限、日志与内核参数，偏差项给出整改命令与复检入口，复检不通过继续挂账。
🔧漏洞与暴露面视图
把镜像漏洞、运行时告警与对外端口叠在同一张资产表上，按负载看风险，不必在几个界面之间跳着核对。
📐技术规格
| 产品名称 | Nova云盾平台 |
| 所属厂商 | 奇富科技 |
| 产品分类 | 云安全·容器安全系统 |
| 核心能力 | 负载资产清点、镜像扫描与准入、运行时行为检测 |
| 应用场景 | 上线前镜像卡点、生产集群夜间告警、多云资产盘点 |
| 服务支持 | 实施、培训与持续运维的专业服务支撑 |
| 选型建议 | 以镜像漏洞与运行时异常处置工具典型场景试点验证价值 |
| 产品定位 | 云安全领域的专业产品 |
| 能力边界 | 负载资产清点、镜像扫描与准入、运行时行为检测等核心能力覆盖容器安全系统主要需求 |
🏭典型应用场景
✈️上线前镜像卡点
研发在流水线里提交构建，平台扫完给出漏洞清单与基线偏差，达到阻断线就退回，未达阻断线的记录放行，运维在发布单上看到结论。按阻断次数与修复回推时长衡量。
🚗生产集群夜间告警
值班安全员收到容器外联异常告警，先在拓扑里看这个负载的上下游，确认误报就加白并写原因，确认异常就隔离负载并保留现场。按告警确认时长与误报占比衡量。
🔋多云资产盘点
云平台团队每季度把公有云、私有云与自建集群的负载并到一张表，对没有归属项目的负载逐个认领，无人认领的进下线流程。按无主负载数量与认领完成率衡量。
🌊重保前暴露面收敛
护网前安全岗按对外端口与高危漏洞筛出重点负载，先关非必要映射端口，再修可利用漏洞，最后核对基线。按对外开放端口数与高危漏洞清理进度衡量，改完再扫一次。
🏗️流水线安全门
研发团队把镜像扫描与配置检查挂进流水线，作为发布的前置条件，失败信息回到代码评审里，由提交人自己改，安全岗只看例外。按流水线拦截次数与平均修复时长衡量。
🚢应急隔离
发现某负载被植入挖矿进程，值班人先断其外联再隔离，保留镜像与内存快照，之后按同一镜像排查其他集群。按处置时长与同源镜像清理数衡量，隔离后要有复检记录。
🏆典型应用案例
📦
先卡镜像再谈运行时
把扫描挂到构建出口，阻断线只设在高危可利用项，先让团队习惯看结论；一上线就全量阻断会让业务绕过流水线，绕过一次就再也管不住。按阻断量与绕过次数核对，阻断线按镜像分级设置。
🛫
按服务建允许清单
从现网流量里跑两周观察模式，生成服务间访问基线，再切成拒绝模式，未声明的调用进工单审批。按策略命中次数与业务中断次数核对，中断要能一键退回观察模式，例外要写到期时间。
🏭
告警按负载归并
同一负载的同类告警合并成一条，附首次与最近时间，值班只看负载维度，原始告警留在下钻里。按每日告警条数与确认覆盖率核对，条数下降不能靠关规则，下钻保留原始记录。
📦
基线分软硬两档
主机基线按等保要求设硬性项，容器基线按业务容忍度设建议项，硬性项不达标阻断上线，建议项进月度整改。按硬性项达标率与整改完成数核对，复检不过继续挂账，整改要有复检记录。
🔌接入方式
🖥️构建流水线
在构建后、推送前插入扫描任务，返回码决定是否放行；流水线要拿镜像摘要而不是标签，标签会被覆盖导致结论错配，构建缓存也要定期清，流水线账号单独申请。
☁️编排平台与镜像仓库
通过集群接口读工作负载与命名空间，从仓库拉取镜像清单；权限给只读，写操作只保留隔离与策略下发两类，账号按集群分开，采集账号不共用，仓库清单按日增量拉。
🤝态势平台与工单
告警按统一字段推给态势平台或工单系统，带回处置状态；双向同步要做幂等，否则同一告警会重复开工单，值班还得手工合并，告警合并要记合并条数。
🧩生态协同与能力底座
🧩云平台与托管服务商
公有云、私有云与托管集群的接口差异大，纳管能力要跟着版本走；混合云客户通常要求一套界面看全部资产，做不到就要接受两套台账。
🔗镜像仓库与制品库
扫描要接仓库的制品事件，仓库侧的保留策略会影响历史镜像能否复查；制品签名与扫描结论宜绑在一起，否则修没修过说不清，签名与结论对不上要拦。
🌱安全服务与应急响应
发现入侵后的取证与清除多由服务商承接，平台提供负载级证据；双方要约定证据导出格式与保管责任，避免现场取完证就格式化，导出清单双方签字。
🚀产品差异化特点
🌟处置落到单个负载
多数主机防护只能停进程或断网卡，这套按工作负载隔离，同一宿主机上的其他业务不受影响，处置可以只针对一个容器，其他业务不受牵连。
🆚资产与风险同一张表
漏洞、基线、运行时告警都挂在负载上，按负载看风险排序；分几个产品各看一面的方案，值班要来回切界面，切一次漏一次，看板要能按负载排序。
🧬策略跟着标签走
服务间访问按负载标签下发，扩缩容后自动继承；按地址段配的策略在弹性环境下很快失效，改一次要重扫全量地址，地址段变更不必重配。
✅最佳实践
📝
先定资产归属
没有责任项目的负载没人修漏洞，纳管前先把项目与负责人补齐，否则扫描结果只能看不能推，报告发出去也没人接，认领清单每月更新，责任人变更要同步。
🔄
观察模式跑够时间
微隔离直接上拒绝模式会打断业务，建议先跑两周观察，把访问基线跑出来再切，切换顺序按服务依赖从边缘往核心，切换前先做依赖梳理，观察期的流量要覆盖高峰。
🎯
镜像标签会骗人
同一标签可能指向不同摘要，扫描与发布都要用摘要对齐，否则修了漏洞发上去还是旧镜像，回滚时也分不清版本，发布单上写清摘要，摘要写进发布单。
📈
别把告警数当考核
按告警条数考核会逼团队关规则，建议按确认覆盖率与平均处置时长考核，口径写进服务协议，别用告警量当成绩，按季度复核考核口径，考核结果与规则调整挂钩。
🗺️企业落地路径
1️⃣
资产纳管与归属补齐
接入集群与仓库，清点工作负载并补齐项目归属，产出一份带责任人的资产清单，无主负载单列待认领，无主负载每周清理一次。
2️⃣
镜像扫描进流水线
把扫描挂到构建出口并设阻断线，先覆盖核心业务镜像，产出扫描覆盖率与修复清单，修复按镜像摘要跟踪，修复进度按周报。
3️⃣
运行时与微隔离
开观察模式收集行为与流量基线，再逐步切拒绝模式，产出策略集与例外清单，例外要写到期时间，例外清单每季复核，例外按服务登记。
4️⃣
多云统一与日常运营
把其他云与自建集群并入，建立周度告警复盘与月度基线整改，产出运营报表与整改台账，两个云的口径先统一再并表，整改完成要有复检。
💬常见问题 FAQ
采集端占多少资源？
主机侧采集通常按 CPU 与内存的小比例限额运行，容器侧多用只读挂载与内核事件；具体占用要在目标机型实测，不能照搬厂商标称值，高负载节点要单独观察。
支持哪些容器运行时？
主流容器运行时与编排平台一般都能接，边缘或自研调度器要单独适配；版本跨度大的集群建议先在一套上验证再铺开，避免采集端把节点拖住。
能不能自动阻断？
可以按策略阻断，但建议先跑观察模式再开阻断；阻断对象要限定到单个负载与外联方向，直接停宿主机代价太大，恢复也慢，阻断动作要留操作人。
误杀之后怎么回滚？
隔离动作要能一键解除且不销毁负载；策略变更保留版本与操作人，误判后按版本回退并补白名单，样本要回灌规则，避免下次再判错，阻断记录要能回放。
和云厂商安全中心什么关系？
云厂商能力偏向本云的主机与网络，跨云与容器内行为往往覆盖不到；两者可以并存，把云厂商告警汇进来一起看，避免两套值班各说各话，回滚要留时间点。
和态势感知平台怎么接？
按告警与资产两类数据推送，字段对齐资产编号与负载标识；不推原始日志，避免带宽与存储被占满，推送失败要能补发，字段变更要提前通知，告警要统一分诊。
私有化部署要什么条件？
管理面一套，采集端按节点装；需要能访问集群接口与镜像仓库，隔离网络要开单向通道，仓库凭据用只读账号，凭据轮换不要影响采集，接口要做重试。
验收看哪些口径？
建议看资产纳管覆盖率、镜像扫描覆盖率、告警确认时长与误报占比；覆盖率的分子分母要事先定义，否则各家算出来差很多，验收前先对齐口径，网络通道要提前开通。
📄信息来源与免责声明
本页面内容由云巴巴整理，产品信息参考奇富科技官方公开资料，包括Nova云盾平台的官方文档与公开介绍页面。
页面中涉及的容器安全系统等功能描述基于官方公开信息整理，如有更新请以奇富科技官方最新发布为依据。
云巴巴作为企业级软件与 AI 产品选型与服务平台，可协助企业进行Nova云盾平台及同类产品的选型咨询与接入支持。
产品推荐
奇妙问离线数字人大屏一体机，含 75 寸大屏一体机、55 寸小问移动数字人一体机等型号。作为出门问问离线大屏设备，支持数字人 AI 智能交互与对话，采用本地部署模式，无需云端渲染及相关费用，适配多场景智能交互需求。
科亿科技AI视觉缺件检测相较于传统的视觉检测，融合了基于深度学习的AI算法，涵盖光、机、电、算、软全技术链。依托于中国科学技术大学模式识别重点实验室，研究开发出了AI视觉缺陷检测设备。
数字化社区
视频
文章
