搜索

[23987] 2015-06-14_Docker的安全基准

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2015-06-14_Docker的安全基准 D o c k e r 的 安 全 基 准 L i n u x 中 国   2 0 1 5 - 0 6 - 1 4 D o c k e r 公 司 与 C e n t e r   f o r   I n t e r n e t   S e c u r i t y   （ C I S ） 合 作 ， 制 作 了 一 份 基 准 文 档 [ p d f ] ， 包 含 很 多 针 对 部 署 D o c k e r 的 安 全 性 的 建 议 。 D i o g o   M ó n i c a 在 一 篇 博 客 “ 理 解 D o c k e r 的 安 全 性 和 最 佳 实 践 ” 中 公 布 了 该 基 准 ， 她 和 N a t h a n   M c C a u l e y 一 起 最 近 受 雇 来 领 导 D o c k e r 的 安 全 团 队 。 该 团 队 也 发 布 了 “ 容 器 安 全 性 入 门 ” [ p d f ] 白 皮 书 。 基 准 文 档 涵 盖 了 运 行 D o c k e r 的 宿 主 （ 系 统 ） 的 配 置 、 D o c k e r 本 身 的 配 置 ， 以 及 在 D o c k e r 管 理 下 运 行 的 容 器 的 配 置 。 该 基 准 针 对 D o c k e r 1 . 6 . 0 ， （ 这 是 ） 本 文 写 作 时 的 最 新 版 本 ， 并 且 基 于 （ 使 用 ） 红 帽 企 业 L i n u x （ R H E L ） 第 7 版 或 D e b i a n 第 8 版 作 为 宿 主 操 作 系 统 （ O S ） 。 基 准 的 附 录 中 有 包 含 每 项 建 议 的 检 查 清 单 。 建   议 分 为 两 个 级 别 ， 第 一 级 涉 及 的 措 施 “ 实 用 而 谨 慎 ， 提 供 明 确 的 安 全 方 面 的 好 处 ， 而 又 不 妨 碍 运 用 的 技 术 超 出 可 接 受 的 范 围 。 ” 第 二 级 的 建 议 更 加 具 有 侵 入 性 ， 被 描   述 为 “ 针 对 把 安 全 性 视 为 头 等 大 事 的 环 境 或 情 况 ， 作 为 深 入 全 面 的 防 御 措 施 ， 或 者 会 消 极 地 抑 制 技 术 的 运 用 或 性 能 。 ” 第 一 级 的 建 议 适 用 于 宿 主 操 作 系 统 和   D o c k e r ， 而 第 二 级 的 3 项 关 于 强 制 访 问 控 制 （ m a n d a t o r y   a c c e s s   c o n t r o l ， M A C ） 和 端 点 保 护 平 台 （ e n d p o i n t   p r o t e c t i o n   p l a t f o r m ， E P P ） 的 建 议 ， 只 适 用 于 D o c k e r 。 很 多 建 议 在 其 审 核 一 节 有 脚 本 片 段 ， 可 以 用 来 判 断 配 置 是 否   处 于 所 需 的 状 态 ， 这 表 明 ， 大 部 分 基 准 可 以 组 织 成 脚 本 ， 用 来 检 查 （ 及 重 新 配 置 ） 宿 主 是 否 符 合 基 准 。 补 救 措 施 在 适 当 的 情 况 下 也 用 脚 本 片 段 描 述 ， 但 是 这 些 脚 本 不 太 有 用 ， 因 为 在 大 多 数 情 况 下 ， 必 须 编 辑 启 动 配 置 。 鉴 于 所 有 主 要 的 L i n u x 发 行 版 本 现 在 都 切 换 到 s y s t e m d 作 为 其 默 认 的 启 动 系 统 ， C I S 可 能 会 选 择 显   示 与 此 相 应 的 配 置 步 骤 ， 但 这 也 有 可 能 会 造 成 许 多 仍 在 旧 发 行 版 本 上 运 行 D o c k e r 的 用 户 的 困 惑 。
尽 管 有 些 建 议 是 相 当 通 用 的 ， 比 如 “ 不 要 在 生   产 环 境 使 用 开 发 工 具 ” ， 大 多 数 建 议 还 是 很 具 体 和 可 操 作 的 ， 比 如 “ 不 要 使 用 a u f s ” 。 因 此 该 基 准 可 以 用 来 剖 析 某 一 D o c k e r 环 境 ， 决 定 可 以 采 取 以 提 高 其 安 全 性 的 实 际 步 骤 。 当 由 于 底 层 宿 主 操 作 系 统 的 不 同 而 存 在 多 种 选 择 时 ， 就 会 给 出 由 D o c k e r 核 心 团 队 和 其 他 人 撰 写 的 很 多 外 部 指 导 性 文 档 。 一 些 可 能 以 前 被 认 为 是 容 器 的 最 佳 实 践 ， 比 如 ， “ 一 个 容 器 只 包 含 一 个 进 程 ” ， 以 及 ， “ 不 要 在 容 器 内 运 行 S S H ” ， 在 基 准 中 作 为 安 全 性 的 建 议 。 把 这 认 为 是 安 全 性 的 问 题 ， 将 有 可 能 进 一 步 削 弱 把 容 器 作 为 小 型 虚 拟 机 的 使 用 模 式 。 基 准 中 有 一 些 特 别 之 处 希 望 能 在 将 来 的 版 本 中 解 决 。 其 中 之 一 是 在 D o c k e r 将 来 的 版 本 中 对 用 户 命 名 空 间 的 支 持 ， 表 明 这 有 可 能 出 现 在 1 . 6 版 本 中 （ 即 使 该 基 准 就 是 关 于 1 . 6 版 本 的 ） 。 这 也 许 说 明 用 户 命 名 空 间 的 整 合 的 确 要 比 预 想 的 更 成 问 题 。 基 准 还 建 议 使 用 n s e n t e r ， 尽 管 其 使 用 已 经 在 很 大 程 度 上 被 D o c k e r   1 . 3 引 入 的 ‘ e x e c ’ 命 令 所 取 代 。 伴   随 基 准 推 出 的 白 皮 书 表 明 ， D o c k e r 公 司 正 努 力 把 容 器 定 位 为 改 进 安 全 性 的 方 法 ， 但 就 象 任 何 新 技 术 一 样 ， 公 司 面 临 艰 难 的 时 刻 说 服 对 安 全 性 有 顾 虑 的 客 户 ， 在 生 产 环 境 运 行 是 安 全 的 。 C I S 基 准 的 发 布 为 那 些 想 在 生 产 环 境 运 行 D o c k e r 的 （ 用 户 ） 提 供 了 可 测 量 的 手 段 来 评 估 其 安 全 状 况 ， 这 很 可 能 有 助 于 缓 解 任 何 顾 虑 。 对 于 拥 抱 D o c k e r 来 打 包 应 用 程 序 、 加 速 持 续 交 付 管 道 、 以 及 促 进 微 服 务 架 构 的 开 发 者 ， 这 应 当 使 （ 部 署 ） 到 生 产 环 境 中 的 最 后 步 骤 在 一 定 程 度 上 更 加 容 易 。 来 源 ： h t t p : / / w w w . i n f o q . c o m / c n / n e w s / 2 0 1 5 / 0 6 / D o c k e r - S e c u r i t y - B e n c h m a r k 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理