有容云-容器安全,六招解决


引言 : 容器是把双刃剑,一方面,它可以标准化应用的运行环境,实现DevOps,应用版本快速迭代,随需弹性伸缩。另一方面,它是一种全新的技术,对云计算生态从计算、存储、网络都产生了新的技术变革,如仅只是将容器作为工具替代应用打包或运行的方式,将会对系统造成较大的风险。

【深圳站|3天烧脑式Kubernetes训练营】培训内容包括:Kubernetes概述、架构、日志和监控,部署、自动驾驶、服务发现、网络方案等核心机制分析,进阶篇——Kubernetes调度工作原理、资源管理及源码分析等。

容器技术近几年的热度不言而喻,2016年是Docker的生产年,有很多公司将容器和容器平台从研发环境也搬上了生产环境。无论的开发还是运维人员都非常认可容器技术。

同时,容器也是把双刃剑,一方面,它可以标准化应用的运行环境,实现DevOps,应用版本快速迭代,随需弹性伸缩。另一方面,它是一种全新的技术,对云计算生态从计算、存储、网络都产生了新的技术变革,如仅只是将容器作为工具替代应用打包或运行的方式,将会对系统造成较大的风险。

那么如何保证在生产环境中安全的使用容器,且能更大程度发挥容器快速分发、弹性伸缩、灵活部署等特性呢? 本文将分享一些docker的安全实战经验和使用建议。

在有容云的丰富客户实践中,遇到过各种安全问题,列出主要问题如下:

容器引擎运行造成宿主机系统崩溃
镜像存在漏洞风险,容器规模越大,对生产环境产生影响越大
容器root权限运行,无法进行同主机下多容器隔离
容器中挂载宿主机目录,对主机目录的更改导致宿主机崩溃或异常

如果您也遇到以上问题,建议仔细阅读本文。

从容器云平台的搭建框架和使用来看,大致分为三个步骤,如下图所示:
1、容器云平台的搭建。包括管理结点、主机结点的角色配置,镜像仓库的搭建与配置等。
2、管理员通过页面访问,对环境进行配置和部署。
3、运维或应用部署人员将应用运行在容器云平台之上。

1.jpg


基于此步骤的描述,我们再来审视下这个过程中可能会出现的安全隐患:

1、镜像仓库的安全问题
2、镜像传输的安全隐患
3、主机环境的配置
4、管理结点和主机结点的传输
5、管理界面的访问和配置
6、应用之间的隔离

2.jpg


第一招

镜像仓库的安全

应用运行依赖的镜像都从镜像仓库中获取,故需保证镜像仓库的安全。可能出现的隐患包括:

隐患:
1、镜像仓库链接被钓鱼,百度搜索引发的各种钓鱼故事大家已经熟知,这里不再详述,一旦被链接到恶意网站,下载伪装的镜像,对应用的风险也是不用多说的。
2、镜像仓库中镜像随意下载和流传。
3、或将镜像tag标识为重要版本,将其上传到镜像中覆盖已有版本。

有容云解决方案:
1、镜像仓库配置CA证书,提供HTTPS访问。
2、对用于生产环境中的镜像不用latest版本。
3、对镜像仓库进行合理规划,进行项目划分,对用户进行明确的权限控制。
4、及时清理不用的镜像。

第二招

镜像制作和传输

隐患:
1、对基于公网基础镜像生成的镜像,利用公网镜像的漏洞进行攻击。
2、对某些公开的镜像、Dockerfile或启动命令,获取其公司内部数据,如数据库链接、用户名和密码。
3、镜像pull传输过程中篡改镜像内容。

有容云解决方案:
1、按照文章《Docker运维之最佳实践-上篇》中建议的进行镜像的制作。
2、切勿为了方便,将重要访问数据,如数据库链接、访问密钥等打包进镜像中。
3、镜像pull和push过程都进行镜像签名,保证镜像完整性。
4、镜像上传时,和定期对镜像仓库中的镜像进行漏洞扫描。

第三招

主机环境的配置

隐患:
1、通过容器对宿主机上的系统文件或关键数据进行修改或删除,导致主机系统崩溃。
2、通过容器获取主机的root权限,或主机上其他应用权限,从而操控主机。

有容云解决方案:
1、容器平台设置用户权限,不允许root操作。
2、对容器映射主机的目录做限制。

第四招

管理结点和主机结点的传输

隐患:
1、截获管理结点和主机结点访问的API接口,直接操作主机结点。
2、直接调用主机结点上的daemon标准接口,进行容器和镜像的删除和配置操作。

有容云解决方案:
1、管理结点和主机结点之间通过HTTPS和token进行访问。
2、主机结点上限制远程访问。

第五招

管理界面/API的访问

隐患:
通过浏览器token截获访问API接口,对平台进行恶意操作。

有容云解决方案:
1、对访问token设置时限。
2、对不同的用户或场景生成不同的key进行API访问。
3、管理的web服务器端配置CA证书,通过HTTPS访问。

第六招

应用之间的隔离

隐患:
1、通过在平台上创建新的容器,在容器中操作其他容器提供的API接口。
2、恶意攻击容器,通过不断占用容器资源(CPU/内存/磁盘/网络/会话等)来导致主机上其他容器无法正常使用。

有容云解决方案:
1、通过制定相关策略限制容器之间的互访。
2、容器运行时配置相应配额上限,避免无限使用主机资源。

本文来源:http://www.youruncloud.com/blog/126.html

0 个评论

要回复文章请先登录注册