云原生安全与容器安全入门讲解

20XX/XX/XX云原生安全与容器安全入门讲解汇报人:XXXCONTENTS目录01

云原生与容器核心概念02

容器与云原生风险场景03

云原生与容器防护方案04

云原生容器安全行业实践云原生与容器核心概念01云原生的定义与特征云原生的官方定义

CNCF将云原生定义为利用云环境构建、部署和运行应用的技术体系，旨在提升应用敏捷性。云原生的弹性伸缩特征

该特征可根据业务流量自动调整资源，如阿里云ECS实例能按需扩容缩容，保障服务稳定。云原生的持续交付特征

通过DevOps工具链实现代码快速迭代，像字节跳动借助该模式日均完成数千次应用部署。容器的定义与核心特性容器是轻量级、可移植的软件打包单元，具备隔离性与资源复用性，Docker是行业典型代表。容器镜像的本质与作用容器镜像是只读的软件模板，包含运行所需依赖，可快速生成容器实例，如Nginx官方镜像。容器运行时的核心功能容器运行时负责容器的创建、启动与管理，runc、containerd是主流的容器运行时工具。容器技术的基本概念容器与云原生的关系容器是云原生的核心载体云原生架构依托容器实现应用打包部署，比如Docker容器支撑了Kubernetes集群的微服务落地。云原生赋予容器规模化价值云原生技术体系拓展了容器能力，像Istio服务网格让容器集群的流量管控更高效智能。容器安全是云原生安全的基础防线云原生安全的底层依托容器安全加固，例如通过容器镜像扫描技术规避集群的基础风险。容器安全的核心目标

保障容器镜像安全通过镜像扫描工具如Trivy，排查镜像中的漏洞与恶意代码，杜绝不安全镜像进入部署环节。

守护容器运行时安全借助Sysdig等工具监控容器运行状态，阻止未授权进程启动与资源越权访问行为。

维护容器网络安全利用Calico网络策略隔离容器间通信，防止恶意容器通过网络渗透至其他业务容器。容器与云原生风险场景02镜像包含恶意代码黑客会将挖矿病毒、勒索软件植入镜像，比如曾爆发的Kubernetes镜像投毒事件，引发大规模主机沦陷。镜像存在未修复漏洞许多开源镜像带有未修补的CVE漏洞，如Ubuntu旧版本镜像的sudo权限提升漏洞，易被攻击者利用。镜像配置过度授权部分镜像默认赋予容器管理员权限，攻击者获取容器控制权后，可直接突破容器边界访问宿主机。常见容器镜像风险容器运行时安全风险

容器镜像恶意代码植入风险黑客会在镜像中植入挖矿木马，如曾爆发的Kubernetes挖矿病毒，入侵后消耗集群算力窃取资源。黑客常将恶意代码隐藏在开源镜像中，比如某知名镜像仓库中发现的携带勒索程序的镜像，入侵后加密数据索要赎金。

容器逃逸攻击风险攻击者可通过利用内核漏洞实现容器逃逸，如CVE-2022-0811漏洞，成功逃逸后获取宿主机控制权。恶意容器可通过挂载宿主机敏感目录，如/etc目录，读取系统配置信息进而发起进一步攻击。云原生与容器防护方案03镜像安全防护方案

镜像漏洞扫描与修复借助奇安信镜像安全平台，扫描镜像中的CVE漏洞，及时修复高危漏洞，避免恶意利用。

镜像签名与验证采用DockerContentTrust机制对镜像签名，部署前验证签名，防止篡改的恶意镜像流入系统。

镜像仓库访问管控通过Harbor仓库的RBAC权限控制，限制镜像上传下载权限，避免未授权操作带来的风险。容器运行时防护方案

实时威胁检测拦截通过Sysdig等工具监控容器系统调用，实时识别挖矿木马、恶意进程并自动拦截。

容器镜像合规校验采用Harbor镜像仓库的漏洞扫描功能，阻止含高危漏洞的镜像在运行时启动。

runtime权限最小化管控限制容器进程权限，如禁止root用户运行，像Kubernetes的SecurityContext可实现此配置。RBAC角色权限精细化配置基于Kubernetes的RBAC机制，为不同岗位配置专属权限，如开发仅能访问测试集群资源。准入控制策略动态拦截借助OPA等工具设置准入规则，拦截未授权镜像部署，比如禁止无签名镜像进入生产集群。集群节点访问白名单管控仅允许企业内部指定IP段访问集群节点，例如限制运维部门办公IP才能登录节点后台。集群环境访问控制方案容器供应链防护方案

镜像安全扫描采用Clair、Trivy等工具对容器镜像进行漏洞扫描，剔除含高危漏洞的镜像，从源头降低风险。

供应链环节身份认证在镜像构建、分发等环节启用数字签名验证，如DockerContentTrust，防止恶意镜像混入。

供应链审计追踪通过CNAB等规范记录镜像全流程操作日志，实现从构建到部署的可追溯审计。云原生容器安全行业实践04金融行业容器安全实践容器镜像全生命周期管控以某国有银行为例，搭建镜像扫描平台，从构建到部署全流程拦截含漏洞的镜像，规避风险。多租户隔离权限精细化配置招商银行采用namespace结合RBAC权限模型，为不同业务租户划分独立容器资源池，防止越权访问。容器运行时实时威胁监测平安银行部署容器安全监测系统，实时识别挖矿、端口扫描等异常行为，秒级响应处置风险。互联网企业容器安全实践

镜像安全合规管控字节跳动通过镜像签名、漏洞扫描机制，阻断带风险镜像上线，筑牢容器部署第一道防线