Docker 和 Kubernetes 等容器技術是現代 DevOps 流程的基礎。容器安全涉及保護容器、它們運行的??基礎設施以及在構建、部署和運行時期間在其中運行的應用程序。另一個方面是在集群和編排器級別保護容器。
容器安全是一個挑戰，因為傳統的安全工具通常與容器化環境不兼容。此外，隨著DevSecOps的出現，組織開始意識到將容器安全集成到整個開發生命周期中的重要性。企業容器安全必須包括專用的容器安全工具，并與組織現有的安全策略和流程保持一致。
為什么容器安全很重要？
隨著世界各地的組織向容器化基礎設施過渡，越來越多的關鍵工作負載在容器中運行，使它們成為攻擊者的主要目標。受損的容器可能會威脅到業務連續性、客戶數據丟失或被盜的風險，并可能使公司面臨合規風險。
容器安全的一個基本問題是容器所基于的圖像。每個容器都是從鏡像創建的，鏡像中的任何文件或軟件組件都由從它創建的所有容器繼承。如果圖像包含軟件漏洞或惡意文件，攻擊者將能夠破壞生成的容器。這使得使用來自可信來源的經過審查的圖像變得至關重要，并在開發生命周期的所有階段掃描圖像以確保它們安全且未被篡改。
另一個關鍵問題是強化容器化環境。組織必須制定流程以確保環境的每個元素都具有安全、強化的配置。這包括：
- 容器鏡像
- 容器運行時（如 Docker）
- 容器編排器（如 Kubernetes）
- 基礎架構組件，例如云虛擬機 (VM)
- 網絡和安全組
即使這個復雜鏈中的一個元素不安全——例如，如果容器鏡像以 root 身份運行，或者 Kubernetes 集群沒有正確實施RBAC授權——攻擊者可以而且將會發現弱點，冒著破壞性破壞的風險。
8 大容器安全挑戰
以下是主要的容器安全挑戰：
- 容器特權——容器應該以非特權模式運行，不能訪問其隔離環境之外的資源。然而，實際上，容器可以使用比所需更多的權限進行部署，從而使整個環境面臨安全風險。
- 不安全的鏡像——容器鏡像是構建容器的基礎。圖像使您能夠重用圖像組件，而不是不斷地從頭開始構建新的容器。但是，鏡像及其依賴項可能存在漏洞，當您使用不安全的鏡像構建容器時，會給環境帶來安全風險。
- 無限通信——容器必須進行通信才能實現其目標。您可以通過允許容器僅與最少數量的容器通信來最小化攻擊面。但是，生產環境包含許多微服務和臨時容器，因此很難實施遵守最小權限原則的網絡或防火墻規則。
- 運行流氓或惡意進程的容器——容器在龐大環境中的平均壽命可能為數小時或數分鐘，因此難以有效監控環境。容器的快速流失使得幾乎不可能手動監控在任何給定時間運行的容器進程。它不提供識別惡意或不必要進程所需的可見性。
- 開源代碼——開源代碼會給環境帶來安全威脅。例如，開源組件可能包含具有已知漏洞的依賴項，從而使組織面臨威脅。
- 合規性——開發環境非常快速且不斷發展。因此，實施合規性檢查變得困難。因此，您無法準確評估合規狀態并確保您遵守所有相關要求。
- 缺乏標準化——遺留安全標準包括組織難以將其應用于容器的過時方法。因此，許多人使用多種安全標準和越來越多的工具。然而，這些標準和工具增加了復雜性而不是提供安全覆蓋。
- 缺乏專業知識——缺乏熟練的專家和容器工具的陡峭學習曲線可能導致容器環境配置不當。
容器安全工具和解決方案的類型
集裝箱監控
容器監控解決方案有助于跟蹤容器性能、收集事件數據并衡量容器共享資源的影響。您可以設置多種類型的監控實踐，包括：
- 主動監控——涉及實施協議以幫助防止容器故障。
- 反應性監控——當容器無法提醒用戶時，這些進程會引發事件。
- 自適應監控——這種類型持續評估容器的性能和新組件的影響。
這些工具可幫助組織防止大規模故障并確定個別事件的原因。容器監控工具還可以幫助優化資源分配和軟件定義網絡。
容器掃描工具
容器鏡像掃描，或容器掃描，工具掃描容器及其組件以發現安全威脅。容器掃描工具逐層分析容器鏡像以識別潛在的安全問題。它是 DevOps 團隊常用來保護容器化工作流程的核心容器安全實踐的核心容器安全實踐。
容器化應用程序包括許多組件，例如開源依賴項、自定義代碼、圖像和 Dockerfile。掃描所有組件中的漏洞至關重要。大多數解決方案使用已知漏洞數據庫來確保組織能夠及時了解威脅形勢的發展保持最新狀態。
容器運行時安全
容器運行時安全性是指用于保護容器在投入生產后免受威脅和漏洞侵害的工具和流程。容器運行時安全策略通常會引入一個強大的自動化組件，由開發人員和安全團隊處理容器配置和實時環境掃描以查找漏洞和配置漂移。
Kubernetes 安全
Kubernetes 是一個容器編排平臺，可以通過最大限度地減少人為錯誤和以編程方式擴展安全配置來幫助減少容器安全問題。然而，眾所周知，Kubernetes 非常復雜，可能會暴露于各種安全問題，從而形成一個高價值的攻擊面，攻擊者試圖妥協。
在生產中使用 Kubernetes 的組織必須實施 Kubernetes安全措施。Kubernetes 安全性包括旨在保護 Kubernetes 平臺及其編排的容器的各種技術、技術和策略。它有助于確保容器工作負載的安全。
容器安全的最佳實踐
保護您的圖像
鏡像安全是容器安全的一個重要方面。容器是根據圖像創建的，這些圖像要么來自公共容器注冊表，要么由組織內部開發。在任何一種情況下，這些圖像都可能包含漏洞。掃描所有圖像（無論其來源如何）并避免使用具有安全漏洞的圖像至關重要。
掃描所有包裹
團隊通常認為他們只需要掃描操作系統包。這是一種常見的誤解，可能會使您的環境面臨安全風險。您需要掃描容器中運行的所有內容，包括非操作系統包。
掃描是至關重要的，因為任何包都可能包含一個漏洞，可能允許威脅參與者破壞系統。您必須掃描所有包，包括開源、商業、非操作系統和操作系統包。
不要以 root 身份運行圖像
將圖像配置為使用“root”用戶運行對開發人員來說很方便，但也會帶來嚴重的安全風險。如果圖像以 root 身份運行，則它們執行的任何代碼也將在 root 用戶下運行。這意味著攻擊者者將擁有 root 訪問權限，并可以在容器內運行惡意進程。原則上，內核隔離將阻止攻擊者訪問主機操作系統或環境的其他部分。但是，攻擊者將能夠通過本地網絡利用容器可用的任何服務。
此外，具有 root 訪問權限的攻擊者可以嘗試容器突破攻擊，這可能是由多個 Linux 內核漏洞造成的。容器默認以 root 身份運行，因此確保所有開發過程以不使用 root 訪問權限的方式配置圖像至關重要。應該在運行時檢測到有風險的配置，并且不應將使用 root 訪問權限的流氓鏡像部署到生產環境中。
使用薄的、短命的容器
容器被設計為短期的，應該只運行其工作負載所需的基本組件。這意味著容器可以比傳統服務器更安全：運行時間短意味著容器更頻繁地更新，更少的組件意味著攻擊面有限。
然而，實際上，許多開發人員將容器視為服務器，一次運行它們數周，并添加文件和組件，直到容器鏡像變得臃腫。另一種反模式是將一個容器用于多個工作負載。這種使用少量臃腫容器的趨勢不利于安全性。為確保容器安全，將容器中的文件數量減少到絕對最小值，確保每個容器運行一個小的、特定的工作負載，并定期拆除容器以更新它們。
控制容器網絡訪問
控制容器發送的出口網絡流量是一項關鍵的安全措施。您可以使用跟蹤容器之間傳輸的流量的監控工具來實現它。這些工具會自動確定正確的容器網絡表面，包括進程和端口之間的綁定。
監控工具可以幫助您以多種方式控制容器網絡訪問。它可以檢測容器與網絡上各種實體之間流動的數據流量。此外，這些工具可以檢測異常以識別異常網絡活動，如端口掃描或異常流量。
配置失敗重啟策略
重新啟動標志使您能夠定義希望每個容器如何在退出時重新啟動或不重新啟動。此過程需要正確配置，因為不斷退出然后嘗試重新啟動的容器可能會導致主機上出現拒絕服務(DoS)。
如果忽略容器的退出狀態并讓它不斷嘗試重新啟動，則無法確定退出的根本原因。您必須調查容器在退出時重新啟動的嘗試，但您不一定需要手動執行此操作。您可以配置 on-failure 容器重啟策略來限制允許的重啟嘗試次數。
