搜索

[27624] 2018-12-10_Docker容器时代安全实践

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2018-12-10_Docker容器时代安全实践 D o c k e r 容 器 时 代 安 全 实 践 原 创   互 联 网 安 全 团 队   O P P O 安 全 应 急 响 应 中 心   2 0 1 8 - 1 2 - 1 0 收 录 于 话 题   # 不 断 学 习   不 断 成 长   , 1 8 个 D o c k e r 容 器 容 器 安 全 安 全 实 践 实 践 随 着 容 器 时 代 D o c k e r 技 术 的 近 年 来 高 速 发 展 ，   G o o g l e 、 A m a z o n 等 各 大 公 司 接 连 发 布 基 于 容 器 D o c k e r 的 新 业 务 ， 云 计 算 进 入 D o c k e r 容 器 时 代 ， 那 么 D o c k e r 容 器 技 术 下 给 安 全 防 御 体 系 带 来 哪 些 挑 战 和 变 化 呢 ?     以 下 O P P O 互 联 网 安 全 团 队 基 于 D o c k e r 容 器 技 术 的 安 全 实 践 ， 希 望 同 大 家 一 起 探 讨 和 学 习 ，   一 共 分 为 4 个 部 分 ： （ （ 1 ） ） D o c k e r 自 身 自 身 安 全 问 题 安 全 问 题 （ （ 2 ） ） 给 安 全 防 御 体 系 带 来 的 挑 战 给 安 全 防 御 体 系 带 来 的 挑 战 （ （ 3 ） 安 全 防 御 体 系 的 应 对 ） 安 全 防 御 体 系 的 应 对 （ （ 4 ） ） D o c k e r 安 全 生 态 安 全 生 态 发 展 方 向 发 展 方 向 D o c k e r 容 器 自 身 安 全 问 题 容 器 自 身 安 全 问 题 d o c k e r   p u l l   r e g i s t r y . t e s t . c o m / s e c / x x x x : 1 . 0 . 0 R e g i s t r y :   注 册 服 务 器 ， 用 于 存 放 镜 像 仓 库 的 服 务 节 点   ； R e p o s i t o r y :   镜 像 仓 库 ， 用 于 存 放 一 系 列 镜 像 的 仓 库 ； I m a g e :   容 器 运 行 时 的 一 些 列 静 态 文 件 ， 包 括 镜 像 元 数 据 文 件 ， 镜 像 层 文 件 等 等 （ 镜 像 的 组 成 部 分 ） ； D o c k e r   d a e m o n :   d o c k e r 的 核 心 服 务 程 序 ， 后 台 运 行 ， 响 应 d o c k e r   c l i e n t   的 请 求 ； D o c k e r   c l i e n t :   用 来 d o c k e r   s e r v e r 发 起 请 求 控 制 整 个 d o c k e r 体 系 运 行 ， 包 括 镜 像 操 作 和 容 器 操 作 ； C o n t a i n e r :   镜 像 的 运 行 时 表 现 ， 容 器 和 镜 像 的 关 系 我 们 可 以 类 似 的 理 解 为 程 序 文 件 和 进 程 的 关 系 ；   1 n o . 1           D o c k e r 容 器 相 关 概 念 容 器 相 关 概 念 n o . 2         D a e m o n 安 全 问 题 安 全 问 题
运 行 一 个 容 器 的 核 心 是 D o c k e r   d a e m o n ，   D o c k e r 服 务 运 行 目 前 是 需 要 r o o t 权 限 来 运 行 的 ， 因 此 d o c k e r   d a e m o n   的 安 全 性 十 分 重 要 的 ， 我 们 也 需 要 投 入 非 常 大 的 精 力 来 保 证 d o c k e r   d a e m o n 的 安 全 性 。 D o c k e r 允 许 用 户 在 主 机 和 容 器 之 间 共 享 文 件 目 录 ， 同 时 不 需 要 限 制 容 器 的 访 问 权 限 ， 这 就 非 常 容 易 让 容 器 突 破 资 源 限 制 。 例 如 恶 意 用 户 将 主 机 的 根 目 录 映 射 到 容 器 的 / h o s t 目 录 中 ， 那 么 容 器 就 可 以 对 主 机 上 的 文 件 任 意 修 改 或 删 除 了 。 普 通 用 户 利 用 d o c k e r 删 除 r o o t 权 限 的 文 件         D o c k e r   d a e m o n 对 外 提 供 服 务 是 采 用 A P I 的 方 式 ， 其 底 层 通 讯 机 制 是 T C P 和 u n i x   d o m a i n   s o c k e t 两 种 方 式 ， 如 果 D o c k e r   d a e m o n 在 对 外 暴 露 基 于 T C P 的 A P I 接 口 ， 那 在 这 一 层 通 讯 层 面 的 A P I 安 全 性 就 会 变 得 非 常 重 要 ， 因 为 一 旦 拿 下 了 D o c k e r   d a e m o n 的 A P I 接 口 ， 就 等 同 于 拿 下 了 整 个 主 机 的 所 有 D o c k e r 。 现 在 D o c k e r 的 集 群 管 理 都 是 采 用 T C P 方 式 和 d o c k e r   d a e m o n 进 行 通 讯 。   d o c k e r 集 群 管 理 配 置 原 型 在 D a e m o n 安 全 问 题 的 解 决 方 案 上 ， d o c k e r   d a e m o n 为 我 们 提 供 T L S 传 输 层 安 全 协 议 。 在 D o c k e r 中 可 以 设 置 - - t l s v e r i f y 来 进 行 安 全 传 输 校 验 ， 通 过 - - t l s c a c e r t （ 信 任 的 证 书 ） 、 - - t l s k e y （ 服 务 器 或 客 户 端 秘 钥 ） 、 - - t l s c e r t （ 证 书 位 置 ） 2 个 参 数 来 配 置 。 安 全 认 证 主 要 是 在 服 务 端 设 置 ， 客 户 端 可 以 对 服 务 端 进 行 验 证 。 D o c k e r 官 网 提 供 了 详 细 的 证 书 配 置 过 程 ， 有 兴 趣 的 读 者 可 以 参 考 官 网 d a e m o n   H T T P S 的 配 置 。 今 年 3 月 份 ， 有 人 做 了 一 个 测 试 ， 拉 取 了 D o c k e r   H u b 上 公 开 热 门 镜 像 中 的 前 十 页 镜 像 ， 对 其 使 用 C l a i r 进 行 了 C V E 扫 描 统 计 。 结 果 出 乎 预 料 。 在 一 百 多 个 镜 像 中 ， 没 有 漏 洞 的 只 占 到 2 4 % ， 包 含 高 危 漏 洞 的 占 到 6 7 % 。 很 多 我 们 经 常 使 用 的 镜 像 都 包 含 在 其 中 ， 如 ： H t t ， N g i n x ， M y S Q L 等 等 。             镜 像 安 全 占 比 n o . 2         D a e m o n 安 全 问 题 安 全 问 题 n o . 3           镜 像 安 全 问 题 镜 像 安 全 问 题
镜 像 安 全 问 题 的 来 源 分 两 种 ， 一 种 是 基 础 镜 像 的 安 全 问 题 ， 业 务 方 在 制 作 镜 像 的 时 所 采 用 的 基 础 镜 像 是 直 接 从 D o c k e r   H u b 或 其 他 公 共 仓 库 下 载 的 镜 像 ， 但 是 该 镜 像 含 有 W e b s h e l l 、 木 马 、 r o o t k i t 等 恶 意 文 件 ， 造 成 在 基 础 镜 像 层 就 出 现 安 全 问 题 ； 另 外 一 种 则 是 镜 像 仓 库 被 入 侵 而 导 致 业 务 镜 像 被 恶 意 修 改 又 或 者 是 镜 像 在 下 载 过 程 中 被 劫 持 而 拉 取 到 了 一 个 恶 意 镜 像 （ 含 有 恶 意 文 件 的 镜 像 ） 。 镜 像 安 全 方 面 ， 目 前 D o c k e r 提 供 了 r e g i s t r y 访 问 控 制 机 制 和 镜 像 完 整 性 校 验 机 制 来 在 校 验 确 认 镜 像 的 安 全 ， 但 是 这 依 然 是 不 够 的 ， 后 面 章 节 的 主 机 入 侵 检 测 在 D o c k e r 上 的 适 配 会 讲 解 镜 像 层 的 安 全 扫 描 。 容 器 在 运 行 时 也 会 产 生 安 全 问 题 ， 包 括 有 磁 盘 资 源 限 制 问 题 ， 容 器 逃 逸 问 题 ， 容 器 D o S 攻 击 与 流 量 限 制 问 题 等 等 。 D o c k e r 本 身 在 安 全 处 理 上 主 要 是 利 用 k e r n e l 的 n a m e s p a c e 进 行 资 源 隔 离 已 经 使 用 c g r o u p s 限 制 资 源 使 用 ， 因 此 其 安 全 性 处 理 主 要 是 依 赖 于 k e r n e l 的 安 全 处 理 能 力 ， 而 目 前 l i n u x   k e r n e l 在 n a m e s p a c e 和 c g r o u p s 层 面 所 能 做 到 的 依 然 是 很 有 限 ， 并 非 完 全 隔 离 ， 像 / p r o c ， / s y s ， S E L i n u x ， t i m e ， s y s l o g ， / d e v 等 未 隔 离 。 例 如 下 面 这 些 都 是 由 于 l i n u x   k e r n e l 的 隔 离 性 不 足 而 产 生 的 问 题 ， 而 利 用 这 些 问 题 点 在 容 器 内 部 非 常 容 易 造 成 安 全 性 问 题 。             1 .   在 D o c k e r 容 器 中 执 行 t o p 、 f r e e 等 命 令 ， 会 发 现 看 到 的 资 源 使 用 情 况 都 是 宿 主 机 的 资 源 情 况 ， 而 我 们 需 要 的 是 这 个 容 器 被 限 制 了 多 少 C P U ， 内 存 ， 当 前 容 器 内 的 进 程 使 用 了 多 少 资 源 等 ；         2 .   在 容 器 里 修 改 / e t c / s y s c t l . c o n f ， 会 收 到 提 示 ” s y s c t l :   e r r o r   s e t t i n g   k e y   ‘ n e t . i p v 4 … . ’ :   R e a d - o n l y   f i l e   s y s t e m ” ；             3 .   程 序 经 常 需 要 获 取 系 统 的 内 存 、 C P U 等 系 统 资 源 情 况 ， 但 运 行 在 容 器 里 面 ， 调 用 A P I 所 获 取 的 是 宿 主 机 的 资 源 情 况 ；             4 .   对 于 多 进 程 程 序 ， 一 般 都 可 以 将 w o r k e r 数 量 设 置 成 a u t o ， 自 适 应 系 统 C P U 核 数 ， 但 在 容 器 里 面 这 么 设 置 ， 取 到 的 C P U 核 数 是 不 正 确 的 ， 例 如 N g i n x ， 其 他 应 用 取 到 的 可 能 也 不 正 确 ， 需 要 进 行 测 试 ； 磁 盘 资 源 的 限 制 也 会 成 D o c k e r 的 一 个 很 大 的 安 全 性 问 题 ， 容 器 本 质 上 是 一 个 进 程 ， 通 过 镜 像 层 叠 的 方 式 来 构 建 容 器 的 文 件 系 统 。 当 需 要 改 写 文 件 时 ， 把 改 写 的 文 件 复 制 到 最 顶 层 的 读 写 层 ， 其 本 质 还 是 在 宿 主 机 文 件 系 统 的 某 一 个 目 录 下 存 储 这 些 信 息 。 所 有 容 器 的 r o o t f s 最 终 存 储 在 宿 主 机 上 ， 这 就 有 可 能 导 致 一 个 容 器 把 宿 主 机 上 的 磁 盘 容 量 消 耗 尽 。 运 行 时 安 全 问 题 的 处 理 ， 主 要 通 过 容 器 能 力 的 限 制 来 增 强 安 全 性 ， 包 括 削 减 能 力 ， 增 添 能 力 ， s e c c o m p ， S E L i n u x ， t r a f i c c o n t r o l l e r ， q u o t a 技 术 。 后 面 章 节 也 会 有 在 这 方 面 的 相 关 介 绍 。   主 机 上 的 所 有 容 器 共 享 内 核 大 名 鼎 鼎 的 容 器 编 排 工 具 k u b e r n e t e s 最 近 爆 出 来 一 个 严 重 的 用 户 提 权 漏 洞 ( C V E - 2 0 1 8 - 1 0 0 2 1 0 5 ) 。 该 漏 洞 可 以 从 K u b e r n e t e s   A P I 服 务 器 的 网 络 中 可 以 直 接 访 问 聚 合 A P I 服 务 器 ， 就 可 以 提 升 权 限 对 任 何 聚 合 A P I 服 务 器 端 点 进 行 A P I 调 用 ， 以 及 对 该 聚 合 A P I 服 务 器 执 行 任 何 A P I 请 求 （ 例 如 P o d 的 创 建 以 及 执 行 任 意 命 令 并 获 得 返 回 结 果 ） 。   在 默 认 配 置 中 ， 允 许 所 有 用 户 （ 经 过 身 份 验 证 和 未 经 身 份 验 证 的 用 户 ） 执 行 允 许 此 权 限 提 升 的 A P I 调 用 。 该 漏 洞 目 前 官 方 推 荐 的 嘴 角 修 复 方 案 是 及 时 升 级 到 k u b e r n e t e s   v 1 . 1 0 . 1 1 , k u b e r n e t e s   v 1 . 1 1 . 5 ， k u b e r n e t e s   v 1 . 1 2 . 3 ， k u b e r n e t e s v 1 . 1 3 . 0 - r c . 1 。 今 年 7 月 份 爆 出 了 基 于 D o c k e r 版 本 的 A p a c h e   O p e n W h i s k 中 发 现 了 一 个 严 重 漏 洞 ( C V E - 2 0 1 8 - 1 1 7 5 7 )   可 导 致 恶 意 人 员 覆 写 并 执 行 任 意 代 码 ,   这 些 漏 洞 本 可 允 许 攻 击 者 在 某 些 情 况 下 覆 写 在 容 器 中 执 行 的 某 个 函 数 的 源 代 码 并 影 响 同 样 容 器 中 的 后 续 执 行 ， 即 使 是 由 不 同 用 户 执 行 的 也 不 例 外 。 漏 洞 如 遭 利 用 ， 可 导 致 敏 感 数 据 遭 泄 露 或 导 致 合 法 动 作 的 原 始 逻 辑 遭 恶 意 执 行 。 研 究 人 员 指 出 ， “ 另 外 ， 攻 击 者 可 能 发 动 类 似 攻 击 ， 从 而 影 响 其 它 容 器 ， 导 致 攻 击 变 成 更 具 持 续 性 或 传 播 广 泛 的 威 胁 ” 。 具 体 而 言 ， 攻 击 者 可 利 用 这 些 缺 陷 获 取 敏 感 的 用 户 数 据 如 密 码 、 修 改 或 删 除 信 息 、 挖 掘 密 币 或 发 动 分 布 式   D D o S   攻 击 。 具 体 修 复 方 案 需 要 更 新 到 最 新 的 版 本 。 2 0 1 6 年 5 月 爆 出 来 的 d o c k e r   s w a r m 集 群 管 理 配 置 问 题 ， 就 是 将 d o c k e r   d a e m o n 暴 露 在 公 网 上 ， 导 致 任 何 人 都 可 以 使 用 d o c k e r   a p i   来 操 纵 容 器 。 D o c k e r   d a e m o n 必 须 要 绝 对 禁 止 能 从 公 网 直 接 访 问 ， 可 以 使 用 D o c k e r 安 全 代 理 的 方 式 通 过 认 证 进 行 访 问 。 n o . 4             运 行 时 安 全 问 题 运 行 时 安 全 问 题 n o . 5           生 态 安 全 问 题 生 态 安 全 问 题
给 安 全 防 御 体 系 带 来 的 挑 战 给 安 全 防 御 体 系 带 来 的 挑 战 非 容 器 时 代 下 安 全 防 御 体 系 的 落 地 方 式 主 要 通 过 以 主 机 、 用 户 为 边 界 进 行 安 全 策 略 控 制 和 落 地 ， 甚 至 很 多 企 业 由 于 业 务 发 展 迅 猛 ， 安 全 相 对 滞 后 ， 连 这 一 层 的 安 全 措 施 都 是 做 的 并 不 是 那 么 精 细 。 但 是 随 着 我 们 对 D o c k e r 的 深 入 了 解 ， 会 发 现 很 多 基 于 主 机 层 或 用 户 层 的 很 多 安 全 策 略 已 然 无 法 满 足 D o c k e r 容 器 层 的 安 全 要 求 。 因 为 容 器 本 身 是 一 个 L i n u x 进 程 ， 业 务 进 程 则 是 由 d o c k e r   d a e m o n 启 动 的 一 些 列 子 进 程 ， 因 此 安 全 策 略 需 要 在 进 程 级 做 能 力 限 制 。 下 面 我 们 分 几 个 小 节 来 进 行 深 入 的 分 析 。 目 前 D o c k e r 本 身 并 没 有 提 供 进 程 级 的 能 力 限 制 与 管 理 ， 而 默 认 只 是 利 用 内 核 的 C a p a b i l i t y 机 制 做 了 部 分 能 力 限 制 。 现 在 业 界 的 通 用 方 案 是 通 过 S E L i n u x 、 A p p A r m o r 、 s e c c o m p 、 c a p a b i l i t y 、 T O M O Y O 、 G R S E C 等 做 能 力 限 制 和 进 程 级 精 细 化 安 全 策 略 管 理 。             1 .   S E L i n u x 的 配 置 相 对 比 较 复 杂 ， 要 求 配 置 者 对 l i n u x   k e r n e l 的 相 关 安 全 机 制 非 常 熟 悉 ， 同 时 需 要 对 业 务 的 关 联 访 问 细 节 有 非 常 清 晰 的 了 解 ， 否 则 非 常 容 易 造 成 业 务 访 问 故 障 。 即 使 配 置 者 掌 握 了 相 关 知 识 ， 单 元 由 于 业 务 发 展 和 迭 代 的 速 度 非 常 快 ， 配 置 变 更 将 变 得 非 常 频 繁 ， 这 更 加 加 剧 了 依 靠 人 工 进 行 S E L i n u x 的 配 置 的 复 杂 度 。 虽 然 A p p A r m o r 对 S E L i n u x 的 配 置 复 杂 度 有 所 改 善 ， 但 与 S E L i n u x 的 基 于 角 色 的 M A C ( M a n d a t o r y   A c c e s s   C o n t r o l ) 不 同 ， A p p A r m o r 是 与 程 序 绑 定 的 基 于 路 径 的 M A C ， 然 而 在 这 种 机 制 下 ， 一 旦 程 序 路 径 发 生 改 变 则 策 略 失 效 了 。             2 .   S e c c o m p ， S e c u r e   c o m p u t i n g   m o d e 的 缩 写 ， 它 是 l i n u x 内 核 层 提 供 的 一 个 操 作 ， 用 于 限 制 一 个 进 程 可 以 执 行 的 系 统 调 用 。 我 们 需 要 一 个 配 置 文 件 来 指 明 进 程 到 底 可 以 执 行 哪 些 系 统 调 用 ， 不 可 以 执 行 哪 些 调 用 。 很 显 然 ， 这 需 要 我 们 能 够 非 常 清 晰 的 了 解 d o c k e r 内 核 里 面 有 哪 些 系 统 调 用 ， 业 务 层 需 要 哪 些 系 统 调 用 ， 否 则 就 误 伤 了 d o c k e r 进 程 本 身 的 运 行 或 者 业 务 进 程 的 运 行 ， 到 底 如 何 配 置 s e c c o m p 的 系 统 调 用 的 安 全 策 略 有 很 大 的 执 行 难 度 。             3 .   C a p a b i l i t y ， d o c k e r 默 认 对 启 用 了 C a p a b i l i t y ， 关 闭 了 d o c k e r 对 一 部 分 内 核 能 力 的 操 控 ， 这 使 得 d o c k e r 在 安 全 能 力 上 提 升 了 一 个 台 阶 。 然 后 很 多 能 力 还 是 默 认 开 放 的 ， 如 果 我 们 去 调 整 ， 则 同 样 会 遇 到 前 面 策 略 遇 到 的 问 题 ， 需 要 对 我 们 有 很 精 细 的 安 全 策 略 管 理 。 因 此 ， 在 业 务 高 速 发 展 的 同 时 ， 对 我 们 安 全 策 略 的 精 细 化 管 理 上 提 出 了 更 高 的 要 求 。 D o c k e r 的 安 全 机 制 受 限 于 外 部 的 安 全 保 障 ， 主 要 是 L i n u x   k e r n e l 层 提 供 的 安 全 机 制 。 这 需 要 我 们 对 l i n u x   k e r n e l 的 安 全 机 制 有 充 分 的 理 解 ， 包 括 S E L i n u x 的 原 理 ， 配 置 方 案 等 ， 内 核 能 力 管 理 ， 系 统 调 用 管 理 ， 在 内 核 中 启 用 G R S E C 和 P A X ， 通 过 地 址 随 机 化 机 制 避 免 恶 意 探 测 等 。 D o c k e r 是 通 过 k e r n e l 的 n a m e s p a c e   和 c g r o u p s 来 隔 离 和 限 制 资 源 的 使 用 。 因 此 对 L i n u x 的 命 名 空 间 机 制 需 要 有 非 常 深 入 的 了 解 ， 才 能 准 确 的 判 断 出 d o c k e r 可 能 的 潜 在 的 安 全 风 险 。 是 否 会 通 过 k e r n e l 层 的 安 全 威 胁 穿 透 逃 逸 到 宿 主 机 上 ， 从 而 影 响 其 他 业 务 d o c k e r 或 者 泄 露 主 机 的 相 关 敏 感 信 息 。 例 如 著 名 的 s h o c k e r . c 程 序 就 是 通 过 o p e n _ b y _ h a n d l e _ a t 调 用 来 暴 力 扫 描 宿 主 机 文 件 系 统 获 取 宿 主 机 敏 感 文 件 （ 需 要 通 过 k e r n e l 的 c a p a b i l i t y 机 制 来 限 制 相 关 的 系 统 调 用 能 力 ） 。 安 全 防 御 体 系 应 该 如 何 应 对 安 全 防 御 体 系 应 该 如 何 应 对 D o c k e r 时 代 时 代 之 前 的 安 全 防 御 体 系 以 数 据 、 服 务 器 和 网 络 为 中 心 的 防 御 体 系 将 要 随 之 变 化 ， 包 括 主 机 入 侵 检 测 系 统 从 主 机 上 实 时 检 测 主 机 的 安 全 健 康 情 况 ； 传 统 D D o S 防 御 系 统 在 接 入 层 对 网 络 数 据 流 量 进 行 分 析 和 清 洗 ； 安 全 态 势 感 知 会 从 “ 外 部 “ 的 视 角 审 视 系 统 内 主 机 或 业 务 的 漏 洞 情 况 和 整 体 的 安 全 概 况 等 等 。 然 而 ， D o c k e r 作 为 一 个 新 的 技 术 体 系 而 引 入 到 业 务 、 运 维 当 中 ， 那 么 传 统 的 安 全 防 御 体 系 ， 防 御 工 具 等 是 否 需 要 做 调 整 ， 以 及 如 何 调 整 。 下 面 会 从 主 机 入 侵 检 测 系 统 ， 安 全 态 势 感 知 系 统 （ 安 全 扫 描 ） ， D D o S 防 御 ， 防 火 墙 管 理 等 几 个 方 面 做 一 些 分 析 。 主 机 入 侵 检 测 系 统 通 常 情 况 下 是 按 在 主 机 上 的 a g e n t 对 主 机 上 的 文 件 （ 包 括 可 执 行 文 件 ， 配 置 文 件 ， 脚 本 文 件 等 ） ， 进 程 ， 网 络 情 况 ， 日 志 审 计 情 况 等 进 行 扫 描 和 恶 意 识 别 ， 并 且 及 时 预 警 主 机 的 安 全 状 况 。 而 D o c k e r 的 产 生 ， 这 些 都 发 生 了 一 些 微 妙 的 变 化 ， 例 如 入 侵 检 测 的 a g e n t 是 安 装 在 主 机 上 还 是 打 包 到 D o c k e r 镜 像 里 面 和 容 器 一 起 运 行 呢 ？ 如 果 是 在 D o c k e r 容 器 里 面 运 行 ， 是 否 会 出 现 问 题 呢 ？ 就 目 前 业 内 方 案 ， 两 种 做 法 都 有 ， 有 可 以 和 镜 像 打 包 到 一 起 的 a g e n t 也 有 独 立 驻 守 与 主 机 的 a g e n t ， 并 且 后 者 居 多 。 一 般 而 言 ， 入 侵 检 测 系 统 都 会 利 用 的 k e r n e l 层 的 部 分 特 性 ， 例 如 a u d i t 等 。 如 果 是 在 D o c k e r 容 器 里 面 运 行 ， 而 D o c k e r 容 器 又 是 共 享 内 核 的 ， 所 以 在 同 一 台 主 机 上 可 能 会 有 很 多 a g e n t 在 运 行 ， 但 是 他 们 的 区 别 仅 仅 是 运 行 在 各 自 的 k e r n e l   n a m e s p a c e 里 面 （ D o c k e r 会 创 建 不 同 的 n a m e s p a c e ） ， 而 做 的 很 多 事 情 确 是 一 样 的 。 这 样 不 但 无 故 增 加 主 机 的 资 源 消 耗 ， 并 且 也 有 可 能 会 因 为 内 核 共 享 的 原 因 导 致 a g e n t 的 运 行 不 正 确 、 可 能 会 出 现 不 可 预 知 的 情 况 。 其 实 主 机 上 单 独 安 装 a g e n t 是 可 以 完 成 胜 任 d o c k e r 的 扫 描 和 审 计 的 。 D o c k e r 的 可 读 写 层 文 件 系 统 实 际 上 是 会 挂 载 主 机 上 的 文 件 系 统 ， 可 以 2 n o . 1           安 全 策 略 的 精 细 化 管 理 安 全 策 略 的 精 细 化 管 理 n o . 2         内 核 安 全 机 制 的 深 入 理 解 内 核 安 全 机 制 的 深 入 理 解 3 n o . 1           主 机 入 侵 检 测 系 统 主 机 入 侵 检 测 系 统  
通 过 从 主 机 上 来 的 相 关 文 件 目 录 扫 描 来 识 别 W e b s h e l l ， 恶 意 二 进 制 文 件 等 。 对 于 业 务 进 程 而 已 ， D o c k e r 上 的 进 程 其 实 对 于 主 机 上 是 可 见 的 ， 因 为 d o c k e r 的 n a m e s p a c e 一 般 都 是 继 承 自 主 机 的 r o o t   n a m e s p a c e 。 可 以 通 过 直 接 扫 描 主 机 上 的 进 程 行 为 来 识 别 当 前 d o c k e r 中 运 行 的 进 程 是 否 有 问 题 。 下 面 简 单 分 析 一 下 D o c k e r 的 启 动 一 个 反 弹 s h e l l ， 我 们 可 以 在 主 机 上 使 用 常 规 的 手 段 对 这 个 反 弹 s h e l l 进 行 分 析 识 别 。 D o c k e r 进 程 关 系 树   主 机 上 识 别 到 的 恶 意 进 程 上 面 两 个 图 中 ， 其 实 是 在 d o c k e r 中 启 动 了 一 个 反 弹 s h e l l ， 主 机 上 可 以 直 接 观 察 到 这 个 进 程 ， 并 且 可 以 分 析 这 个 进 程 的 s o 等 相 关 信 息 的 加 载 情 况 。 通 过 上 述 分 析 ， 以 及 根 据 d o c k e r 的 镜 像 和 容 器 运 行 规 范 ， 主 机 入 侵 检 测 系 统 可 以 支 持 以 下 这 些 方 面 来 覆 盖 到 D o c k e r 容 器 。           1 . 传 统 的 主 机 入 侵 检 测 能 力 依 然 保 持 ；           2 . 对 容 器 挂 载 的 目 录 可 以 重 点 扫 描 和 监 控 ；         3 . 针 对 d o c k e r 的 配 置 进 行 专 门 的 审 计 ， 包 括 d a e m o n 的 配 置 ， 证 书 的 检 测 ， d o c k e r 运 行 目 录 的 扫 描 等 等 ；         4 . 针 对 d o c k e r 的 本 地 镜 像 库 进 行 镜 像 扫 描 ， 其 镜 像 文 件 的 扫 描 其 实 主 机 上 其 他 普 通 可 执 行 文 件 的 扫 描 是 一 样 的 ， 所 谓 镜 像 其 实 就 是 按 层 把 二 进 制 文 件 通 过 一 个 配 置 文 件 组 织 起 来 ；         5 . 针 对 d o c k e r 的 子 进 程 进 行 特 定 扫 描 ， 但 是 其 关 联 的 可 执 行 文 件 需 要 到 相 对 应 的 镜 像 中 去 查 找 ； 安 全 态 势 感 知 是 从 “ 外 部 ” 视 角 去 对 系 统 进 行 扫 描 探 测 ， 发 现 系 统 存 在 的 安 全 缺 陷 ， 从 而 提 供 给 使 用 方 对 业 务 系 统 的 安 全 预 警 和 安 全 事 件 跟 踪 。 安 全 态 势 感 知 的 主 要 工 作 是 ：             1 .   对 主 机 上 开 放 的 端 口 进 行 扫 描 和 服 务 识 别 ；             2 .   对 识 别 到 的 应 用 组 件 进 行 漏 洞 探 测 ；             3 .   对 W e b 应 用 进 行 链 接 抽 取 和 w e b 漏 洞 探 测 扫 描 ；             4 .   任 务 ， 漏 洞 进 行 管 理 和 告 警 ； D o c k e r 技 术 的 引 入 对 扫 描 本 身 影 响 不 大 ， 依 然 可 以 使 用 原 来 的 方 式 探 测 扫 描 ， 但 是 在 业 务 、 服 务 端 口 上 d o c k e r 的 变 化 会 很 快 ， 而 且 非 常 频 繁 ， 这 会 导 致 端 口 、 服 务 的 跟 踪 管 理 变 得 很 复 杂 ， 例 如 当 前 扫 描 到 的 服 务 很 有 可 能 一 会 儿 之 后 就 不 在 这 台 机 器 ， 迁 移 到 其 他 机 器 上 了 ， 诸 如 此 类 。 因 此 ， 态 势 感 知 的 扫 描 识 别 和 漏 洞 追 踪 管 理 需 要 结 合 具 体 的 d o c k e r 编 排 系 统 进 行 适 配 。 使 用 D o c k e r 后 ， 主 机 上 的 业 务 将 会 出 现 大 规 模 的 混 布 ， 业 务 和 服 务 器 之 间 的 关 系 不 再 是 以 前 的 一 对 多 的 模 式 ， 而 是 变 成 成 多 对 多 的 模 式 。 在 这 种 模 式 下 服 务 的 访 问 关 系 变 的 更 加 复 杂 ， 数 据 访 问 除 了 跨 主 机 之 间 的 访 问 还 有 主 机 内 通 过 网 桥 方 式 访 问 ， 所 以 传 统 D D o S 防 御 （ 从 n o . 2         安 全 态 势 感 知 安 全 态 势 感 知 n o . 3           D D o S 防 御 系 统 防 御 系 统
交 换 机 进 行 流 量 分 析 ） 方 式 的 效 果 会 大 打 折 扣 。 D D o S 的 防 御 方 式 除 了 在 入 口 层 做 防 御 之 外 还 需 要 保 证 在 主 机 内 的 流 量 是 可 以 受 到 控 制 的 ， 必 须 要 在 主 机 的 网 卡 层 面 做 到 流 量 的 检 测 和 清 洗 ， 同 时 也 包 括 限 流 。 例 如 ， 如 果 在 一 台 主 机 上 同 时 部 署 了 M y S Q L ， M e m c a c h e d ， 如 果 有 入 侵 者 利 用 M e m c a c h e d 做 放 大 攻 击 ， M e m c a c h e d 的 流 量 将 会 影 响 M y S Q L 的 使 用 。 因 此 在 主 机 层 不 但 要 做 入 向 流 量 的 限 制 、 检 测 和 清 洗 ， 同 时 我 们 还 需 要 兼 顾 出 向 的 流 量 的 使 用 情 况 。   D D o S 防 御 的 适 应 默 认 情 况 ， D o c k e r 和 外 界 通 讯 都 是 通 过 i p t a b l e s 来 做 N A T 的 ， 当 D o c k e r 的 实 例 数 量 很 大 时 ， i p t a b l e s 的 规 则 会 变 的 很 混 乱 ， 并 且 没 有 办 法 统 一 管 理 ， 这 对 防 火 墙 管 理 将 是 灾 难 性 的 ， 性 能 也 无 法 得 到 保 障 。 而 且 业 务 访 问 管 理 也 是 非 常 复 杂 ， 因 此 S D N 的 方 案 的 优 势 就 显 现 出 来 了 。 结 合 D o c k e r 在 网 络 架 构 中 的 插 件 模 型 ， 可 以 很 好 的 根 据 用 户 的 自 定 义 扩 展 网 络 模 型 。 我 们 也 正 在 考 虑 和 探 索 在 应 用 层 使 用 D P D K 构 建 一 套 完 整 的 网 络 安 全 转 发 层 用 于 支 持 D o c k e r 的 跨 主 机 通 讯 。 在 这 套 体 系 中 ， 可 以 支 持 到 正 常 业 务 通 讯 能 力 ， 安 全 防 御 能 力 ， 防 火 墙 管 理 能 力 ， 以 及 兼 顾 到 S D N 方 案 ， 同 时 还 可 以 提 升 整 体 的 通 讯 性 能 。 D o c k e r 生 态 未 来 的 安 全 方 向 生 态 未 来 的 安 全 方 向 D o c k e r   和 容 器 技 术 的 发 展 可 谓 是 日 新 月 异 ， 对 传 统 的 安 全 方 案 带 来 很 多 挑 战 。 当 下 的 安 全 方 案 也 都 是 处 于 萌 芽 状 态 ， 基 本 都 是 靠 外 部 辅 助 工 具 （ 方 案 ） 做 为 安 全 手 段 ， 而 d o c k e r 本 身 对 安 全 的 支 持 会 比 较 薄 弱 ， 这 种 做 法 只 能 暂 时 把 一 些 安 全 漏 洞 从 外 部 补 上 ， 而 无 法 从 根 本 上 解 决 。 后 续 D o c k e r 安 全 可 以 从 下 面 几 块 内 容 开 展 ：             1 .   沿 着 D o c k e r 本 身 ， 在 D o c k e r 内 部 提 供 原 生 态 的 安 全 机 制 ， 让 D o c k e r 发 展 和 成 长 都 是 直 接 在 自 身 的 安 全 体 系 下 成 长 ；             2 .   对 于 相 关 生 态 圈 内 （ 例 如 k u b e r n e t e s ） ， 直 接 集 成 安 全 方 案 ；             3 .   在 D o c k e r 的 l i b n e t w o r k 层 定 制 安 全 专 用 的 安 全 通 信 机 制 。 n o . 4             防 火 墙 管 理 防 火 墙 管 理 4
 
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理