容器安全功能特性
容器安全服務(wù)主要包含容器鏡像安全、容器安全策略和容器運(yùn)行時(shí)安全功能。
容器鏡像安全
容器安全掃描鏡像倉庫的容器鏡像，發(fā)現(xiàn)鏡像中的漏洞、惡意文件、不安全配置等并給出修復(fù)建議，幫助用戶得到一個(gè)安全的鏡像。
須知：CGS支持對(duì)基于Linux操作系統(tǒng)制作的容器鏡像進(jìn)行檢測(cè)。
|
功能項(xiàng)
|
功能描述
|
|---|---|
容器鏡像漏洞 |
通過與漏洞庫進(jìn)行比對(duì)，檢測(cè)并管理私有鏡像倉庫存在的漏洞，對(duì)當(dāng)前鏡像中存在的緊急漏洞進(jìn)行提醒。 |
鏡像惡意文件 |
檢測(cè)鏡像是否攜帶惡意文件（Trojan、Worm、Virus病毒和Adware垃圾軟件等），幫助用戶識(shí)別出存在的風(fēng)險(xiǎn)。 |
Web-CMS漏洞 |
通過對(duì)Web目錄和文件進(jìn)行檢測(cè)，識(shí)別出Web-CMS漏洞，將存在風(fēng)險(xiǎn)的結(jié)果上報(bào)至管理控制臺(tái)，并為您提供漏洞告警。 |
容器安全策略
通過配置安全策略，幫助企業(yè)制定容器進(jìn)程白名單和文件保護(hù)列表，從而提高系統(tǒng)和應(yīng)用的安全性。
|
功能項(xiàng)
|
功能描述
|
|---|---|
進(jìn)程白名單 |
將容器運(yùn)行的進(jìn)程設(shè)置為白名單，非白名單的進(jìn)程啟動(dòng)將告警，有效阻止異常進(jìn)程、提權(quán)攻擊、違規(guī)操作等安全風(fēng)險(xiǎn)事件的發(fā)生。 |
文件保護(hù) |
容器中關(guān)鍵的應(yīng)用目錄（例如bin，lib，usr等系統(tǒng)目錄）應(yīng)該設(shè)置文件保護(hù)以防止黑客進(jìn)行篡改和攻擊。容器安全服務(wù)提供的文件保護(hù)功能，可以將這些目錄設(shè)置為監(jiān)控目錄，有效預(yù)防文件篡改等安全風(fēng)險(xiǎn)事件的發(fā)生。 |
容器運(yùn)行時(shí)安全
實(shí)時(shí)監(jiān)控容器節(jié)點(diǎn)運(yùn)行狀態(tài)，發(fā)現(xiàn)挖礦、勒索等惡意程序，發(fā)現(xiàn)違反容器安全策略的進(jìn)程運(yùn)行和文件修改，以及容器逃逸等行為并給出解決方案。
|
功能項(xiàng)
|
功能描述
|
|---|---|
漏洞逃逸攻擊 |
監(jiān)控到容器內(nèi)進(jìn)程行為符合已知漏洞的行為特征時(shí)，觸發(fā)逃逸漏洞攻擊告警。 |
文件逃逸攻擊 |
監(jiān)控發(fā)現(xiàn)容器進(jìn)程訪問了宿主機(jī)系統(tǒng)的關(guān)鍵文件目錄（例如：“/etc/shadow”、“/etc/crontab”），則認(rèn)為容器內(nèi)發(fā)生了逃逸文件訪問，觸發(fā)告警。即使該目錄符合容器配置的目錄映射規(guī)則，仍然會(huì)觸發(fā)告警。 |
容器進(jìn)程異常 |
● 容器惡意程序 監(jiān)控容器內(nèi)啟動(dòng)的容器進(jìn)程的行為特征和進(jìn)程文件指紋，如果特征與已定義的惡意程序吻合則觸發(fā)容器惡意程序告警。 ● 容器異常進(jìn)程 對(duì)于已關(guān)聯(lián)的容器鏡像啟動(dòng)的容器，只允許白名單進(jìn)程啟動(dòng)，如果容器內(nèi)存在非白名單進(jìn)程，觸發(fā)容器異常程序告警。 |
容器異常啟動(dòng) |
監(jiān)控新啟動(dòng)的容器，對(duì)容器啟動(dòng)配置選項(xiàng)進(jìn)行檢測(cè)，當(dāng)發(fā)現(xiàn)容器權(quán)限過高存在風(fēng)險(xiǎn)時(shí)觸發(fā)告警。 支持以下容器環(huán)境檢測(cè)： ● 禁止啟動(dòng)特權(quán)容器(privileged:true) ● 需要限制容器能力集（capabilities:[xxx]） ● 建議啟用seccomp（seccomp=unconfined） ● 限制容器獲取新的權(quán)限(no-new-privileges:false) ● 危險(xiǎn)目錄映射(mounts:[...]) |
高危系統(tǒng)調(diào)用 |
Linux系統(tǒng)調(diào)用是用戶進(jìn)程進(jìn)入內(nèi)核執(zhí)行任務(wù)的請(qǐng)求通道。容器安全監(jiān)控容器進(jìn)程，如果發(fā)現(xiàn)進(jìn)程使用了危險(xiǎn)系統(tǒng)調(diào)用，觸發(fā)高危系統(tǒng)調(diào)用告警。 |
敏感文件訪問 |
監(jiān)控容器內(nèi)已配置文件保護(hù)策略的容器鏡像文件狀態(tài)。如果發(fā)生文件修改事件則觸發(fā)文件異常告警。 |