容器共享宿主内核，隔离依赖命名空间、控制组和安全模块等机制。这意味着一旦容器获得了过大的内核接口访问能力，或者内核本身存在漏洞，隔离就可能被突破并影响宿主及其他容器。理解这一点是做好容器安全的前提：容器的安全强度取决于配置，而不是默认状态。
第一，特权容器。以特权模式运行的容器拥有接近宿主的能力，可以直接访问设备、挂载文件系统，是风险最高的一种配置。
第二，危险的挂载。把宿主根目录、容器运行时通信接口或内核相关目录挂载进容器，会直接给攻击者提供操作宿主的手段。
第三，能力过剩。即使不是特权模式，授予了较多内核能力的容器同样可以被用于逃逸，例如修改网络配置、加载内核模块等能力。
第四，内核漏洞利用。宿主内核未及时修补时，容器内的攻击者可以通过漏洞实现权限提升并逃逸。
第五，编排平台配置缺陷。例如允许任意用户创建具有高权限的工作负载，或者接口暴露且认证薄弱，攻击者可以直接创建特权容器。
第一，禁用特权模式，通过准入控制阻止特权工作负载进入集群，并对例外情况做审批与记录。
第二，收敛挂载与能力。只挂载必要的卷，默认丢弃全部内核能力，再按需添加，同时启用只读根文件系统。
第三，限制网络与用户。禁止容器以宿主网络与宿主用户命名空间运行，减少攻击面。
第四，镜像可信。只运行来自可信仓库且经过扫描与签名的镜像，并在准入环节校验。
第五，行为检测。在运行时监测容器内启动异常进程、写入敏感路径、尝试连接运行时接口等行为，及时告警。
第六，宿主加固。把宿主内核和容器运行时纳入补丁管理，保持版本受支持。
容器安全的重点不在于单点产品，而在于把安全配置固化为准入规则。让不安全的工作负载根本创建不出来，比事后检测有效得多。
售后客服
企业微信
