针对当前在容器使用中的安全痛点，青藤发布了《云原生环境下，如何打造一站式容器安全解决方案》，详细讲解了在云原生快速发展的当下，企业该如何深入了解容器面临的威胁，该如何打造一站式容器安全。

容器安全面临挑战

与传统应用程序相比，容器体系结构改变了关键的安全问题和要求。虚拟机只有一个主机OS、一个客户OS和一个客户应用程序环境需要保护，因此安全情况更简单。

容器化环境具有更多的抽象层，需要专门的工具来监控和保护这些新应用程序。在容器环境中，需要保护许多不同的层。除了主机操作系统和容器运行时以外，应用程序中还包含一个编排器、一个容器仓库、镜像以及几种不同的微服务。最后，容器化的应用程序重新定义了“边界”概念，需要使用新方法来保护网络层。

①镜像漏洞和合规性问题：漏洞可以像其它任何传统代码框架一样影响容器镜像。这就是为什么需要镜像扫描，构建资产清单，识别任何嵌入式恶意软件以及将风险与单个镜像层相关联起来。此外，还需要注意，当下通过漏洞扫描和合规要求的镜像将来可能会不安全。

②保护镜像仓库的安全：容器镜像仓库为存储和分发应用程序镜像提供了方便、集中的资源。当今的组织机构可以轻松地在其镜像仓库中存储成千上万张镜像。由于镜像仓库对于容器化环境的运行方式至关重要，因此对其进行保护非常重要。攻击者一旦完成镜像仓库的入侵，就可以轻易破坏正在运行的应用程序。除了锁定托管镜像仓库的服务器并使用安全访问策略之外，还需要持续监控镜像仓库是否存在漏洞状态。

③容器运行时保护：容器运行时是容器堆栈中最难保护的部分之一，因为传统的安全工具都不能正常监控正在运行的容器。它们无法查看容器内部情况，也无法为安全的容器环境建立良好的基准。运行时安全性要求安全团队专注于保护应用程序，而不是仅依靠网络级安全工具来确保其安全。

④编排问题：安全和基础架构团队需要制定适当的访问控制措施，以防止特权帐户过多、网络攻击和不必要的横向移动带来的风险。使用最少特权访问模型，确保用户只能根据适当的角色执行命令。此外，组织机构还需要保护Pod到Pod的通信，防止攻击者在环境中横向移动攻击，并保护所有前端服务免受OWASP Top 10之类的攻击。

⑤保护主机操作系统：承载容器环境的操作系统是堆栈中最重要的层。一旦攻破主机环境可能使入侵者可以访问堆栈中的所有其他内容，这就是为什么需要对主机进行漏洞扫描，基于CIS基线进行加固。

一站式容器安全解决方案

青藤蜂巢，在对容器安全进行深入研究之后，正式提出容器安全“五个保护”：

●保护容器主机的安全

●保护容器网络流量安全

●保护容器中应用的安全

●保护容器管理技术堆栈

●保护构建管道的完整性

图1：一站式容器安全解决方案

蜂巢提供覆盖容器全生命周期的一站式容器安全解决方案，实现了容器安全预测、防御、检测和响应的安全闭环。

图2：蜂巢容器安全平台

典型客户案例

1、某物流公司

信息安全专家任祖森(曾担任起亚、吉利等知名汽车主机厂信息安全负责人)指出，在选择容器安全产品时，要从容器安全的全生命周期防护和持续的监控与分析功能考虑，并形成闭环。

在持续的监控与分析方面，要持续性监测容器的安全状况，可视化展现企业的风险场景。为安全决策者动态展示企业容器环境安全指标变化、安全走势分析，使容器安全清晰可衡量。

为此，公司使用了青藤蜂巢·容器安全平台。该平台专注于容器安全领域，能提供强大的实时监控和响应能力，帮助企业发现和解决风险，保障企业的容器环境安全。

据任祖森介绍，使用青藤蜂巢·容器安全平台后，在以下方面得到了加强：

首先是资产清点：在发生安全事件时，能全面及时的进行资产数据支持，大大缩短了排查问题的时间周期，减少了企业损失。此外，资产信息与补丁、入侵功能协同联动，能帮助用户快速定位问题容器，并及时查看到容器内的进程、应用详情信息。

其次是安全补丁：解决了Docker 补丁管理难的问题：通过建立一个智能应用补丁扫描工具，可以为安全运维人员提供补丁管理、补丁检测以及自动化补丁修复建议。

第三实现入侵检测：视角从了解黑客的攻击方式，转化成对内在指标的持续监控和分析，无论多么高级的黑客，其攻击行为都会触发内部指标的异常变化，从而被迅速发现并处理。

第四达到了合规基线：紧跟监管政策，不断更新等级保护、CIS 标准对应的基线。可以一键进行自动化检测，提供可视化基线检查结果和代码级的修复建议。

"青藤蜂巢·容器安全产品提供了精准、高效、可扩展的主机安全产品和专业服务;以服务器安全为核心，构建了基于业务端的安全联动平台，为企业提供了稳固、持续性的安全防护，保障了容器对业务的快速响应。"客户如是说道。

2、某汽车集团

在容器化过程中，客户在容器安全这块也遇到了一些挑战，主要包括以下四点：

①不安全的镜像。因为版本的问题，因为镜像的原文件问题，会导致一些安全的漏洞，以及可能存在一些恶意的脚本和代码。

②容器自身带来安全问题，包括容器自身集群安全问题，开发引入的漏洞，宿主机的安全漏洞，这些都是在容器平台上新引入的安全问题。

③第三是在容器配置不当导致的安全问题，例如容器自身的配置不当会导致一些问题。

④第四是docker架构本来存在问题，资源和内核的竞争，容器越权逃逸的问题。

“以镜像安全为例，需要针对镜像仓库里面的镜像进行扫描，例如通过青藤蜂巢容器安全平台对仓库里面的镜像进行定期的扫描。此外，还通过青藤蜂巢平台运行防护手段来确保容器运行过程中的安全，目前运行效果非常好。”客户如是说道。

3、某保险公司

“为了建立容器的全生命周期安全，我们将会把安全组件引入到平台中进行安全扫描，我们采购了系统扫描工具。我们在构建容器之后，就会采用青藤蜂巢产品，进行安全防护，包括镜像扫描，分层扫描，对我们都非常有价值。” 客户如是说道。

最后

对于容器安全而言，从来都没有一个解决方案可以作为万能良药。尽管容器本身很简单，但容器底层的基础架构会越来越复杂。这就需要像关键资产一样，了解、监控和保护基础架构。毫无疑问，各大企业可以从容器技术中受益，但与任何新技术一样，必须制定强有力的“由外而内”安全计划，自动化实现容器以及容器构建管道的安全。(一鸣)

关键词： 青藤云