不管咱们是否知情，信任现已有恰当数量的软件（或许虚拟）容器运转在您的企业傍边，甚至开端在出产环境中发挥作用。惋惜的是，大都安全团队仍不了解容器技能的安全意义，甚至不清楚自家环境中是否存在容器要素。
全体来讲，Docker与CoreOS Rkt等容器技能可以对运用进行虚拟化——而非完好服务器。容器具有超卓的轻量化优势，且无需仿制访客操作体系。其灵敏、可扩展且易于运用，一起可以在单一物理根底设施内归入更多运用。因为运用同享式操作体系而非单一体系，因而容器往往可以在瞬间完结引导（虚拟机则遍及需求数秒甚至数分钟）。
考虑到开发者与DevOps团队现已广泛接收容器技能，咱们有必要直面由此带来的负面影响——即容器带来了新式安全应战。
1． 引进存在缝隙的源代码： 因为容器技能多为开源项目，因而开发者创立的镜像需求常常更新，以备必要时运用。这意味着或许带来代码受控性单薄、存在缝隙或许引发意外情况等问题。
2． 增大进犯面：在指定环境中，容器的数量往往要多于运用、虚拟机、数据库甚至其它需求维护的目标。容器的数量越多，对其进行追寻就越是困难，而检测反常情况天然也更难以实现。
3． 缺少可调查性： 容器由容器引擎担任运转，例如Docker或Rkt，一起与Linux内核相对接。由此带来的全新笼统层将导致咱们很难发现特定容器中的活动或许特定用户在其间履行的操作。
4． Devops速度： 容器的生命周期均匀只恰当于虚拟机的四分之一。容器可以当即履行，运转几分钟，然后被中止并删去。这意味着歹意人士可以借此发起闪电冲击，然后立刻消失无踪。
5． 容器间搅扰： 容器可互相协作以用于树立DoS进犯。例如，重复敞开嵌套会快速导致全体主机设备堕入卡顿并终究宕机。
6． 容器打破主机： 容器可作为root用户运转，这使其可以运用高权限以打破“围堵”及拜访主机操作体系。
7． 横向网络进犯： 单一容器的损坏或许导致其地点全体网络遭受侵略，特别是在对外网络连接且原始嵌套运转未作恰当约束的情况下。
考虑到以上几点，我收拾出了这份最佳实践列表，希望可以为咱们的容器安全保证作业带来启示。
1． 选用综合性缝隙办理计划。安全缝隙办理作业绝不仅限于扫描镜像，还需求贯穿整个容器开发周期进行拜访操控并合作其它战略，不然很或许导致运用溃散或许运转时侵略。严厉的缝隙办理计划应该运用自动性多项查看完结“从摇篮到坟墓”的全面监控，一起运用自动触发机制操控开发、测验、分段与出产环境。
2． 保证仅在环境中运转获准镜像。在开发环境中操控所引进之容器镜像可以有用缩小进犯面并防备开发者形成丧命安全过错。这意味着仅运用获准注册镜像及对应版别。举例来说，咱们可以将单一Linux发行版指定为根底镜像，并借此最大程度操控潜在进犯面。
3． 施行贯穿整个生命周期的自动完好性查看。作为容器生命周期安全办理中的重要组成部分，咱们需求保证注册表中的容器镜像具有抱负的完好性，一起在镜像进行改变或许凙时履行进一步操控。镜像签名或指纹可供给一套保管链，协助咱们轻松验证容器完好性。
4． 在运转时强制履行最低权限准则。作为一项根底性安全最佳实践，其相同适用于容器技能。在进犯者运用缝隙时，其一般可以获取已侵略运用或进程的拜访及其它操作权限。保证容器一直仅具有最低权限可以明显下降侵略后引发的露出危险。
5． 为容器答应拜访或运转的文件及可履行文件设置白名单。白名单可以协助咱们操控并办理文件与可履行文件，一起保证其仅在需求特定功用时得以运用。如此一来，咱们的环境将愈加安稳牢靠。树立预核准或许白名单机制可以明显缩小进犯面，一起作为基准参阅避免容器搅扰及容器侵略等问题。
6． 在运转中的容器上进行网络阻隔。 保持网络阻隔性以依照运用或许作业负载进行容器集群或许容器区区分。这一行动除了归于高效最佳实践外，还归于受PCI DSS办理的必备容器运用准则，一起亦可防备横向进犯活动。
7． 自动监控容器活动及用户拜访。 与其它IT环境相同，咱们相同需求对容器生态体系进行活动与用户拜访监控，然后快速发现反常或许歹意活动。
8． 记载悉数办理用户拜访活动以进行审计。尽管强壮的用户拜访操控机制可以约束大大都人－容器交互操作，但办理员无疑不在受控规模之内。因而，咱们有必要设置日志办理以记载各类办理性操作，然后在必要时供给取证信息以及清晰的审计头绪。
尽管相较于其它前期解决计划，容器技能的安全性水平天然更高。但是因为其诞生时刻还不长且现已得到广泛遍及，因而咱们有必要将自动检测与呼应计划归入办理体系以保证容器安全。别的，尽管容器安全相关常识现已得到高度重视，但很多容器特定缝隙现已开端呈现，且这种晦气趋势在未来还将继续继续下去。
好消息是，容器技能在开展之初就可以将强壮的安全自动化操控能力结合至容器环境内。但坏消息是，安全团队需求针对这一新式技能做好预备，一起加强学习以及早意识到潜在的安全改善空间。不过发现问题正是解决问题的必要条件，因而意识到其重要性的朋友们现已在保证容器安全方面迈出了重要一步。
