如何做好容器安全？

本文目录导读：

1. 镜像安全：从源头治理
2. 容器运行时安全：限制能力与权限
3. 容器编排（Kubernetes）安全
4. 持续监控与漏洞管理
5. 供应链安全
6. 一个快速的自检清单

做好容器安全需要从构建、部署、运行三个环节全面覆盖，形成一个持续的安全闭环，以下是一套系统化的最佳实践指南：

镜像安全：从源头治理

这是最关键的一环,因为不安全的基础镜像会传导到所有容器。

1. 选择可信的基础镜像

   • 优先使用官方镜像（如 nginx:alpine、python:3.11-slim）或经过安全审核的内部镜像。
   • 避免使用 latest 标签，明确指定版本号（如 python:3.11.4-slim），确保可复现性和可控性。

2. 最小化镜像体积

   • 使用 Alpine 或 Distroless 等精简版基础镜像，减少攻击面。
   • 遵循“一个容器一个进程”原则，避免在镜像中安装不必要的工具（如 vim、curl、bash）。

3. 镜像扫描

   • 集成到CI/CD流水线：在构建后、推送前自动扫描镜像（工具：Trivy、Clair、Anchore、Snyk）。
   • ：系统包漏洞（如 CVE）、第三方库依赖（如 npm、pip、Maven）以及密钥或硬编码密码。

4. 使用多阶段构建

   • 将“构建环境”和“运行环境”分离，用 Go 编译器构建二进制文件，然后将二进制文件复制到一个空白的 scratch 镜像中，彻底消除编译器、测试工具等不必要的组件。

容器运行时安全：限制能力与权限

容器虽然隔离,但默认共享宿主机的内核，必须对容器的能力（Capabilities）和资源进行严格限制。

1. 以非 root 用户运行

   • 禁止容器以 root 用户启动，在 Dockerfile 中创建专用用户（如 USER appuser）。
   • 使用 --user 参数或在 Kubernetes 的 securityContext 中设置 runAsNonRoot: true。

2. 最小权限原则

   • 删除不必要的 Linux Capabilities（如 NET_RAW、SYS_ADMIN）。docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE。
   • 禁止特权模式（--privileged），几乎永远不需要。
   • 将容器根文件系统设置为只读（readOnlyRootFilesystem: true），仅将需要写入的目录挂载为临时卷（emptyDir）或持久卷。

3. 资源限制

   • 设置 CPU 和内存限制（--memory, --cpus）以防止 DoS 攻击或资源耗尽导致的服务中断。

4. 安全上下文与Seccomp/AppArmor

   • Seccomp：限制容器可以执行的系统调用（Syscall），默认的 Docker seccomp 配置文件会阻止 300+ 个危险系统调用，高级场景可自定义策略。
   • AppArmor/SELinux：为容器应用强制访问控制策略，进一步限制文件访问和进程行为。

容器编排（Kubernetes）安全

在 K8s 中，安全控制点从单机扩展到整个集群。

1. 强制实施 Pod 安全标准（PSS）

   • 在命名空间级别设置策略：Privileged（宽松）、Baseline（基准） 或 Restricted（严格），建议至少采用 Baseline 策略。

2. 使用网络策略

   • 默认允许所有流量是不安全的,定义精细化的网络策略（NetworkPolicy）来隔离微服务：
   • “零信任”原则：只允许特定 Pod 的特定端口访问其他 Pod 或外部服务，只允许 Frontend 访问 Backend 的 8080 端口。

3. RBAC 与 Service Account 管理

   • 最小化 Service Account（服务账户）的权限，不要使用默认的 default 账户。
   • 为每个应用创建独立的 Service Account，并绑定仅包含所需操作（如 get, list, watch pods）的 Role 或 ClusterRole。
   • 禁用自动挂载 Service Account Token（automountServiceAccountToken: false），除非应用需要访问 K8s API。

4. 密钥管理

   • 永远不要将密码、API 密钥直接写入 Dockerfile 或配置文件。
   • 使用 K8s Secrets（建议加密存储）、或外部密钥管理服务（如 HashiCorp Vault、AWS Secrets Manager），通过 Sidecar 方式注入。

持续监控与漏洞管理

安全不是一次性的,而是持续的过程。

1. 运行时威胁检测

   • 部署运行时安全工具（如 Falco、Sysdig Secure、Aqua Security），监控系统调用、进程活动、网络连接和文件完整性。
   • 规则示例：检测到容器内启动 Shell（bash）或安装了新的包，即触发告警。

2. 镜像与集群的持续扫描

   • 不仅仅在构建时扫描,也要定期扫描仓库中的已有镜像（因为会不断发现新的 CVE）。
   • 定期扫描 K8s 集群的配置（使用 kube-bench、kube-hunter）检查是否符合 CIS 基准。

3. 日志与审计

   • 配置集中式日志收集（如 EFK/ELK、Loki），记录容器启动、重启、异常退出、权限提升等事件。
   • 启用 Kubernetes 审计日志（Audit Log）并归档分析。

供应链安全

现代攻击常发生在软件供应链上。

1. 镜像签名与验证

   • 使用工具（如 Cosign、Notary）对镜像进行数字签名，在部署前验证签名，确保镜像未被篡改。
   • 在 CI 中集成镜像签名步骤。

2. 依赖项管理

   • 定期更新基础镜像和依赖库版本,修复已知漏洞。
   • 维护一份 SBOM（软件物料清单），了解每个容器内部包含的所有组件及其版本。

一个快速的自检清单

最终建议：容器安全的核心在于“纵深防御”，不要依赖单一环节，从镜像构建开始，到运行时监控结束，形成一个自动化的、持续迭代的安全治理体系。