容器安全定义

容器安全是指保护容器的完整性。这包括从其保管的应用到其所依赖的基础架构等全部内容。容器安全需要完整且持续。通常而言，企业拥有持续的容器安全涵盖两方面：

• 保护容器流水线和应用
• 保护容器部署环境和基础架构

如何将安全内置于容器流水线道？

按照这些步骤操作：

收集镜像

容器从一层层的文件创建而来。容器社区通常将这些文件称为"容器镜像"。对安全而言，基础镜像至关重要，因为它要用做创建衍生镜像的起点。容器安全从寻找基础镜像的可信来源开始。不过，即使是使用受信任的镜像，添加应用和更改配置也会带来新的变数。在引入外部内容以构建应用时，您需要预先考虑内容管理。

整合企业安全工具，遵循或增强现有的安全策略

容器广受欢迎，因为它能简化应用或服务，及其所有依赖项的构建、封装与推进，而且这种简化涵盖整个生命周期，并且跨越不同的环境和部署目标。然而，容器安全依然面临着一些挑战。静态安全策略和检查清单无法针对企业内的容器进行扩展。供应链需要更多的安全策略服务。团队需要权衡容器的网络与监管需求。构建与运行时工具和服务需要分离。

将安全性内置于容器流水线，可以为基础架构增添防护，从而保障容器的可靠性、可扩展性和信赖度。

那么在收集容器镜像时，需要思考：

1. 容器镜像是否有签名并且来源可信？
2. 容器的更新速度和频率如何？
3. 已知问题是否已确定？如何跟踪？

管理访问权限

获取了镜像后，下一步是管理团队使用的所有容器镜像的访问权限和升级。这意味着要保护好下载和构建的镜像。私有注册表可帮助利用基于角色的分配来控制访问权限，也有助于通过分配元数据到容器来管理内容。

元数据可以提供辨别和跟踪已知漏洞等所需的信息。私有注册表也提供相应的功能，为存储的容器镜像实现自动化和分配策略，同时最大限度减少可能为容器带来漏洞的人为错误。

那么在决定如何管理访问权限时，需要思考：

1. 可以利用哪些基于角色的访问控制来管理容器镜像？
2. 有没有可协助镜像整理的标记功能？能否对镜像进行标记，仅允许用于开发、测试或生产用途？
3. 注册表是否提供跟踪已知漏洞所需的可见元数据？
4. 能否利用注册表来分配和自动化策略（例如，查验签名和扫描代码等）？

整合安全测试和自动化部署

流水线的最后一步是部署。完成构建之后，需要按照行业标准进行管理。此处的诀窍是，了解如何通过自动化策略对构建进行安全问题标记，特别是在发现新的安全漏洞时。由于容器修补必定不如重新构建容器的解决方案，因此整合安全测试时应当要考虑能触发自动重新构建的策略。在这一步中，首先是运行能跟踪和标记问题的组件分析工具。其次是开发相应的工具来实现基于策略的自动化部署。

那么在整合安全测试和自动化部署时，需要思考：

• 如何避免修补运行中的容器，而使用触发器来通过自动化更新重新构建和替换容器？

如何保护容器基础架构？

另一层容器安全性是主机操作系统（OS）提供的隔离。您需要可以提供最大程度容器隔离的主机OS。这是保护容器部署环境的一个重要组成部分。利用容器运行时启用主机OS，最好是通过编排系统来管理。若要使容器平台具有弹性，可使用网络命名空间来隔绝应用和环境，并通过安全挂载来附加存储。API管理解决方案中应包含身份验证和授权、LDAP集成、端点访问控制和速率限制。

那么决定如何保护容器基础架构，需要思考：

1. 哪些容器需要相互访问？它们要如何发现彼此？
2. 如何控制对共享资源（如网络和存储）的访问和管理？
3. 如何管理主机更新？是否所有容器需要同时进行更新？
4. 如何监控容器的健康状况？
5. 如何自动扩展应用容量以满足需求？

为什么选择德迅蜂巢

德迅蜂巢原生安全平台由德迅云安全自主研发，能够很好集成到云原生复杂多变的环境中，如PaaS云平台、OpenShift、Kubernetes、Jenkins、Harbor、JFrog等等。通过提供覆盖容器全生命周期的一站式容器安全解决方案，德迅蜂巢可实现容器安全预测、防御、检测和响应的安全闭环。

资产清点

德迅蜂巢可以清晰地盘点工作负载本身的相关信息，此外，还能够实现不同工作负载之间的关系可视化，帮助运维和安全人员梳理业务及其复杂的关系，弥补安全与业务的鸿沟。

镜像扫描

德迅蜂巢的镜像检查能力已经覆盖到开发、测试等多个环节中，可快速发现镜像中存在的漏洞、病毒木马、Webshell等镜像风险。

微隔离

德迅蜂巢微隔离原生自适应容器多变的环境。通过对访问关系的梳理和学习，提供自适应、自迁移、自维护的网络隔离策略，帮助用户快速、安全地落地容器微隔离能力。

入侵检测

德迅蜂巢通过多锚点入侵监测分析，实时监测容器中的已知威胁、恶意⾏为、异常事件，监测到入侵事件后，对失陷容器快速安全响应，把损失降到最低。

合规基线

德迅蜂巢构建基于CIS Benchmark的最佳安全操作实践检查，帮助企业实施和完善容器合规规范，可实现一键自动化检测，并提供可视化基线检查结果和代码级修复建议。