背景信息
隨著云原生的發(fā)展，容器使用場景越來越廣泛，越來越多的企業(yè)選擇容器來部署自己的應(yīng)用。而針對容器的攻擊事件頻發(fā)，造成的破壞也日益嚴(yán)重。容器被入侵時(shí)，正常情況下黑客只能破壞容器自身，對其它容器和整個業(yè)務(wù)系統(tǒng)不容易造成整體的破壞。但是由于容器底層使用了共享操作系統(tǒng)內(nèi)核、共享存儲等技術(shù)方案，黑客有可能利用漏洞實(shí)現(xiàn)容器逃逸，進(jìn)一步攻擊主機(jī)操作系統(tǒng)，竊取數(shù)據(jù)、服務(wù)器受控等。因此，一旦確認(rèn)容器被黑客成功入侵，需要立即處理，避免資產(chǎn)遭受重大損失。
容器入侵應(yīng)急響應(yīng)
1、登錄管理控制臺。在頁面上方選擇“區(qū)域”后，單擊
，選擇“安全與合規(guī) > 容器安全服務(wù)”，進(jìn)入“防護(hù)列表”界面。
2、在左側(cè)導(dǎo)航樹中，選擇“運(yùn)行時(shí)安全”，進(jìn)入“運(yùn)行時(shí)安全”界面。
3、獲取入侵程序的容器實(shí)例名稱和節(jié)點(diǎn)名稱。
根據(jù)告警通知信息，選擇不同頁簽（“逃逸檢測”、“高危系統(tǒng)調(diào)用”、“異常程序檢測”、“文件異常檢測”、“容器環(huán)境檢測”），在異常事件列表中，獲取入侵程序的容器實(shí)例名稱和節(jié)點(diǎn)名稱。
4、斷開容器外網(wǎng)鏈接。
以彈性負(fù)載均衡（ELB）為例，配置訪問控制策略，允許特定IP訪問，使其它IP不允許訪問容器。
a.在頁面的左側(cè)導(dǎo)航樹中，單擊
，選擇“網(wǎng)絡(luò) > 彈性負(fù)載均衡”，進(jìn)入“負(fù)載均衡器”界面。
b.找到容器使用的ELB實(shí)例。
c.單擊實(shí)例名稱，進(jìn)入詳情頁面，選擇“監(jiān)聽器”頁簽。
d.在監(jiān)聽器基本信息頁面，單擊“設(shè)置訪問控制”。
e.在彈出的“設(shè)置訪問控制”彈框中，配置白名單IP地址。
● 訪問策略：白名單。
● IP地址組：允許特定IP訪問的IP地址組。
● 訪問控制開關(guān)：開啟。
f.單擊“確定”。
5、中斷目標(biāo)容器運(yùn)行。
以彈性云服務(wù)器控制臺遠(yuǎn)程登錄入侵節(jié)點(diǎn)為例，中斷目標(biāo)容器運(yùn)行。
a.在左側(cè)導(dǎo)航樹中，選擇“彈性云服務(wù)器”，進(jìn)入“彈性云服務(wù)器”界面。
b.在需要遠(yuǎn)程登錄入侵節(jié)點(diǎn)的操作列，單擊“遠(yuǎn)程登錄”，登錄節(jié)點(diǎn)。
若無法登錄到服務(wù)器，請參見無法登錄到Linux云服務(wù)器怎么辦進(jìn)行排查。
c.執(zhí)行以下命令，獲取目標(biāo)容器ID號。
docker ps|grep 容器實(shí)例名稱
d.執(zhí)行以下命令，暫停掛起目標(biāo)容器。
docker pause 容器ID號
6、保留入侵痕跡。
a.執(zhí)行以下命令，導(dǎo)出鏡像。
docker save ID號 -o 鏡像文件名.tar
b.（可選）執(zhí)行以下命令，導(dǎo)出配置。
docker inspect ID號 > 配置文件名.json
7、溯源分析。
a.在其他節(jié)點(diǎn)上導(dǎo)入7.a導(dǎo)出的鏡像，并執(zhí)行以下命令。
docker load - 鏡像文件名.tar
b.使用導(dǎo)入的鏡像啟動新容器。
啟動執(zhí)行命令：
docker run -d -it --name 容器名稱 鏡像ID /bin/bash
c.聯(lián)系技術(shù)支持，進(jìn)入容器查詢系統(tǒng)日志、搜索惡意文件等定位入侵原因和制定應(yīng)急決策。