保护Kubernetes免受威胁：容器安全的有效实践

安全并非“放之四海而皆准”的解决方案，相反地，它更多的是一个范围，受其应用的特定上下文的影响。安全领域的专业人士很少宣称什么产品是完全安全的，但总有方法可以实现更强的安全性。在本文中，我们将介绍各种方法来支持容器的安全性。

理解和缓解容器安全威胁

为了保证容器化系统的安全，了解它们所面临的威胁至关重要。就像一个小缺口足以沉没一艘船一样，即便是一个微小的漏洞也可能导致大问题。

容器安全的核心原则

攻击者经常以容器为目标来劫持它们的计算能力——一个常见的例子是获得未经授权的加密货币挖掘的访问权。除此之外，受损的容器可能会暴露敏感数据，包括客户信息和工作负载详细信息。在更高级的攻击中，其目标甚至可能是逃离容器并渗透底层节点。如果攻击者获得成功，他们便可以在集群中横向移动，获得对关键资源（如用户代码、处理能力和跨其他节点的有价值数据）的持续访问能力。

一种特别危险的攻击方法是容器逃逸，在此场景中，攻击者利用了容器共享主机内核的事实。如果他们在受损容器中获得提升的权限，他们就可能会访问同一主机上其他容器中的数据或进程。此外，Kubernetes控制平面是一个主要目标。如果攻击者破坏了控制平面组件中的任何一个，他们就可以操纵整个环境，可能使其脱机或造成严重的中断。此外，如果etcd数据库遭到破坏，攻击者还可以更改或破坏集群，窃取秘密和凭据，或者收集足够的信息以在其他地方复制应用程序。

纵深防御

维护安全的容器环境需要一种分层策略，强调纵深防御原则。这种方法涉及在不同级别实现多个安全控制。通过部署重叠的安全措施，你可以创建这样一个系统：每个防御层都加强了其他层。这样一来，即使一项安全措施被破坏，其他措施也会继续保护环境。

了解攻击面

安全策略的一部分是理解和管理攻击面，它包含所有潜在的利用点，包括容器映像、运行时、编排工具、主机和网络接口。减少攻击面意味着简化系统，减少不必要的组件、服务和代码。通过限制正在运行的内容并实施严格的访问控制，可以减少漏洞存在或被利用的机会，使系统更安全，攻击者更难以渗透。

常见威胁和缓解策略

脆弱的容器映像

依赖具有安全漏洞的容器映像会带来重大风险，因为这些易受攻击的映像通常包含过时的软件或具有公开漏洞的组件。在这种情况下，漏洞本质上是代码中的一个缺陷，恶意行为者可以利用它来触发有害的结果。这方面的一个例子是OpenSSL库中臭名昭著的Heartbleed漏洞，它允许攻击者通过利用编码错误来访问敏感数据。当容器映像中存在此类缺陷时，它们就会为攻击者破坏系统创造机会，从而导致潜在的数据盗窃或服务中断。

保护容器映像的最佳实践包括以下几点：

• 为了有效地减少攻击面，首先使用最小的基础映像，其中只包含应用程序所需的基本组件。这种方法最大限度地减少了潜在的漏洞，并限制了攻击者可以利用的工具。
• 理解和管理容器映像层是至关重要的，因为每一层都可能引入漏洞。通过最小化层数并只包含必要的内容，可以减少潜在的攻击向量。使用多阶段构建来保持最终的映像精简，并定期检查和更新你的Dockerfiles以删除不必要的层。

• 重要的是要避免使用未经验证或过时的映像。来自公共存储库的未经验证的映像可能包含恶意软件、后门或其他恶意组件。过时的映像通常存在未修补的漏洞，攻击者可以利用这些漏洞作为突破口。为了缓解这些风险，请始终从受信任的存储库中获取映像，并定期将其更新为最新版本。

德迅蜂巢（容器安全）能够很好集成到云原生复杂多变的环境中，如PaaS云平台、OpenShift、Kubernetes、Jenkins、Harbor、JFrog等等。通过提供覆盖容器全生命周期的一站式容器安全解决方案，德迅蜂巢可实现容器安全预测、防御、检测和响应的安全闭环。核心架构理念在于：

在开发阶段（Dev），遵循“安全左移”原则，做到上线即安全
在运行阶段（Ops），遵循“持续监控&响应”原则，做到完全自适应

德迅蜂巢主要从安全左移和运行时安全两个阶段，在云原生的全生命周期过程中，提供原生的、融合的安全能力。

主要功能点分为：

一、资产清点

可以清晰地盘点工作负载本身的相关信息，此外，还能够实现不同工作负载之间的关系可视化，帮助运维和安全人员梳理业务及其复杂的关系，弥补安全与业务的鸿沟。

1.容器资产种类全面盘点：支持容器、镜像、Registry、主机、POD等容器资产快速清点，为用户提供容器内资产的分类视图，实现容器资产的全面可视化。

2.容器资产内容深度识别：对每类资产进行深入分析，获取资产相关的高价值安全数据，帮助用户从安全角度细粒度观察资产运行状况。

3.自动化、持续性容器资产清点：系统资产数据持续更新，每日及时地、自动化上报资产数据。基于历史清点的数据，每次只清点新启动的进程信息，极大降低对服务器性能的耗损。

二、镜像扫描

镜像检查能力已经覆盖到开发、测试等多个环节中，可快速发现镜像中存在的漏洞、病毒木马、Webshell等镜像风险。

1.持续的镜像补丁检测能力：持续更新漏洞数据库，并与集群中的容器镜像进行匹配。一旦发现任何新镜像补丁信息，用户将收到通知，而不必定期重新扫描。

2.全面的补丁数据呈现：深入检测运行环境和远程镜像仓库中容器镜像的重要更新补丁，综合考虑系统的业务影响、资产及补丁的重要程度、修复影响情况，智能提供最贴合业务的补丁修复建议。

3.灵活快速的检索方式：客户可根据需求灵活显示列表数据，定义表格显示。系统提供基于安全场景的筛选方式，如支持按 CVE 编号进行检索等，帮助用户迅速定位镜像和其安全补丁信息。

三、微隔离

原生自适应容器多变的环境。通过对访问关系的梳理和学习，提供自适应、自迁移、自维护的网络隔离策略，帮助用户快速、安全地落地容器微隔离能力。

1.提供业务视角的网络拓扑关系：基于实际业务的?作负载可视化展示容器间的访问?为，清晰展示网络拓扑关系，方便运维和安全人员理解。

2.提供“告警”模式，让用户放心设置策略：针对工作负载提供“仅告警”业务模式，不下发实际的隔离策略，而是模拟下发的情况，当发现偏离策略的行为则进行告警提示。通过此种模式，可避免因隔离错误而对业务造成影响。

3.全面适配云原生的网络环境：适配Underlay、Overlay、Vxlan、Macvlan、Ovs等诸多网络架构。

四、入侵检测

通过多锚点入侵监测分析，实时监测容器中的已知威胁、恶意?为、异常事件，监测到入侵事件后，对失陷容器快速安全响应，把损失降到最低。

1.基于已知威胁进行检测：德迅蜂巢通过监控容器内的进程创建、文件变化等行为，获取行为特征，将这些特征经过德迅五大检测引擎的检测，以发现容器中的病毒、挖矿、Webshell等攻击行为。

2.基于恶意行为进行检测：以ATT&CK框架中定义的入侵模型为参考，结合对于运行时基础事件监控来建立IOC模型进行分析，能有效发现初始入侵时的远程漏洞利用、无文件攻击行为、远程控制的反弹Shell、端口扫描、横向移动、K8S的异常调用等行为。

3.基于异常行为进行检测：通过容器进程行为、文件行为、网络行为的监控/学习，建立容器行为模型，分析异常偏离行为， 发现未知入侵威胁。

五、合规基线

构建基于CIS Benchmark的最佳安全操作实践检查，帮助企业实施和完善容器合规规范，可实现一键自动化检测，并提供可视化基线检查结果和代码级修复建议。

1.一键任务化检测，基线检查结果可视化呈现：用户可快捷创建基线扫描任务，根据检测需要，自行选择需要扫描的容器和基线，基线检查结果可视化呈现。

2.基于Docker基线多维检查：根据CIS Benchmark最佳实践方案，从运行时容器、镜像、主机三个维度，对各类容器配置问题进行检查

3.基于Kubernetes基线多节点检查：根据CIS Benchmark的规范，定时对k8s的master节点、worker节点进行基线检查。扫描完成后，即可查看每个扫描详情以及扫描结果