101文档：容器安全的关键指标 Document 101：The key Indicators of Container Security 101文档：容器安全的关键指标 容器的爆发性增长是技术发展的必然结果。开发人员需要的是简单打包、快速部署、不断减 少环境依赖性、支持微服务、通用管理和横向可扩展性，容器恰好能够满足这些要求。 但是，容器完全“打包”服务，透明度极低，这对安全人员而言是一个噩梦。为了更快地运 行更多代码，只能降低对容器内可视化的要求。 这不禁让人思考 ，我们怎样才能在充分利用 容器优势的前提下引入安全？ 确保容器安全的责任落在了开发运维（ DevOps）和安全团队的身上。但安全人员通常不了 解开发人员使用的工具和技术， 开发人员也不了解如何处理安全风险问题。 容器的安全问题 已经超越了容器本身，延伸到了构建、部署和运行时环境，需要更多人参与进来。 通过针对安全从业人员、开发人员和 IT运营人员开展研究，本文涵盖容器和容器编排工具 的一些安全问题，以及如何在整个云原生系统中建立安全机制，包括操作系统层面、容器、 编排工具、镜像仓库等等。本文详细介绍了构建、容器管理、部署、平台和运行时的安全问 题。 101文档：容器安全的关键指标 Document 101：The key Indicators of Container Security 目 录 第1章：常见容器安全威胁 ................................ ................................ ................................ .......... 3 1.1 构建环境安全 ................................ ................................ ................................ ................... 3 1.2 运行时安全 ................................ ................................ ................................ ....................... 3 1.3 操作系统安全 ................................ ................................ ................................ ................... 3 1.4 编排管理安全 ................................ ................................ ................................ ................... 4 第2章：确保构建环节安全 ................................ ................................ ................................ .......... 4 2.1 构建安全 ................................ ................................ ................................ ........................... 4 2.2 容器验证 和安全测试 ................................ ................................ ................................ ....... 5 第3章：确保运行时安全 ................................ ................................ ................................ .............. 6 3.1 运行时安全 ................................ ................................ ................................ ....................... 6 3.2 平台安全 ................................ ................................ ................................ ........................... 8 3.3 编排工具安全 ................................ ................................ ................................ ................... 9 3.4 Secrets 安全 ................................ ................................ ................................ ................... 10 第4章：容器监控和审计 ................................ ................................ ................................ ............ 10 4.1 监控 ................................ ................................ ................................ ................................ . 11 4.2 审计和合规 ................................ ................................ ................................ ..................... 12 101文档：容器安全的关键指标 Document 101：The key Indicators of Container Security 第1章：常见容器安全威胁 容器安全威胁非常多，有一些威胁和问题是众所周知的。容器环境下的主要威胁体现在四个 方面： 1.1 构建环境安全 容器安全第一个需要保护的就是构建环境的安全。 大多数人并不认为构建环境安全是优先级 最高的，但它通常是最不安全的，也是最容易被植入恶意代码的环节。开发人员往往不注重 开发中的安全检查和控制，因为这会减慢开发的速度，所以开发人员往往会绕过安全检查。 构建环境安全包括恶意或低级错误的源代码更改、对自动构建控制器的恶意或错误代码更 改、有错误或公开凭据的配置脚本检查、添加不安全的库或不安全版本的 现有代码检查，以 及对运行时代码进行漏洞扫描等。 1.2 运行时安全 容器里到底有什么？容器有什么作用？这是容器的最新版本吗？这是运营人员常见的问题。 运维人员不知道开发人员是否在容器中使用了诸如 SSH之类的工具，安全人员也很难知道 容器是否已经执行加固策略，比如打补丁、验证、加固等。如果容器存在开放的端口，也可 能会遭受威胁，并可能被用来攻击容器引擎、主机操作系统和其他容器。 图1：运行时容器威胁 1.3 操作系统安全 用户经常会担心攻击者会通过容器攻击底层主机操作系统或容器引擎， 担心容器引擎可能无 法完全屏蔽 底层操作系统。一旦对主机攻击成功，那么整个容器集群就会受到严重威胁，并 可能会让攻击者有足够的访问权限来转移到其他系统。 底层操作系统的安全性一直是一个重 要问题，比如，是否进行了正确的配置，来限制每个容器对其所需资源的访问。 101文档：容器安全的关键指标 Document 101：The key Indicators of Container Security 1.4 编排管理安全 随着容器成为应用程序交付的标准工具，各个组织开始将注意力转移到容器管理上，例如 Kubernetes 就是典型代表。但是大多数工具都非常复杂，编排工具的重点在于支持可扩展 性和易于管理，但不能确保安全性。编排工具带来了一系列全新的安全问题，包括不安全的 默认配置、权限升级、代码注入漏洞等。此外，大多数组织在启动容器时会通过编排管理工 具颁发证书、身份令牌和密钥。 第2章：确保构建环节安全 越来越多的基础设施被定义为代码，传统意义上的构建环境安全由开发人员负责，但他们不 会与安全团队分享过多细节。通过 CI/CD，可以将代码批量投入生产环境。攻击者入侵应用 程序最简单的方法是进入其开发或构建环境（通常远不如生产环境安全） ，更改代码或向容 器添加新代码。 Dev