容器安全-镜像漏洞扫描

镜像作为容器技术的最基本的概念,我们如何从其入手保护容器的安全。镜像和虚拟机的扫描和控制又有所大不同。虚拟机我们常用静态扫描,但是安全人员常常跟在开发人员后面要求其修复生产漏洞,但是who care呢,最后安全敌不过业务,地位也非常弱势。在纳入容器技术后,安全人员有能力通过docker.sock收集所有容器的基线镜像,通过基线镜像便能想制作一个golden VM一样定制一个个golden image.

1. 漏洞管理

背景:即使在Docker Hub下载的官方镜像中也常常包含了大量的漏洞,而开发人员在使用大量开源框架时更会加剧镜像漏洞的问题。大部分在docker hub上的镜像,即使是官方的也具有大量的漏洞。而现有的安全人员对于devops流程中的镜像完全丧失管理能力,并且也无法像传统的虚拟机扫描去对生产的容器作一定的安全评估。

解决方案:Aqua Security可以扫描镜像仓库内的镜像,发现相关镜像的威胁漏洞、安装的Package、敏感信息、Malware等,帮助用户得到一个安全纯净的镜像文件。

2. 阻断高危镜像运行

Aqua可以根据扫描结果的威胁级别、分数、威胁黑名单等自动禁用镜像

3. 禁止以root用户运行

背景:以root权限运行的容器存在着打破容器沙盒,提权获得Docker主机root权限的风险。而Docker在不指定运行用户的情况下默认是使用root运行容器的,这就加大了容器的安全风险,而这一点也非常容易被利用。例如黑客只需运行rootplease容器即可获得主机root权限。

解决方案:Aqua可以禁止以root权限运行容器

4. Package控制

背景:出于合规性和监控等要求,企业对IT环境会有如下需求:

不允许运行某些高风险的程序和Package

有些Package的低版本中存在严重的漏洞。如需使用,必须高于某个版本

必须运行规定的安全和监控程序

解决方案:Aqua可以扫描得到镜像中的Package名单和版本,如果镜像中包含黑名单Package,或者某些Package小于规定的版本,或者镜像中缺少某些必要的Package则禁止其运行

5. 禁止未扫描的镜像

Aqua可以阻断未扫描的镜像运行,企业也可以通过镜像前缀或label标签设置白名单

6. 基准镜像

背景:生产环境中,企业会根据自身合规和监控等需求定制一套基准镜像。企业会要求所有生产系统都是基于基准镜像搭建部署的,但由于容器的封闭性导致该要求难以实现

解决方案:Aqua可以获取镜像的底层layer,阻断没有基于基准镜像搭建的镜像运行

7. 安全内容自动化协议(SCAP)与自定义检查

背景:企业对运行的环境存在如下自定义检查的需求:

安全性检查,如suid权限、worldwritable file等

合规性报告检查,如PCI-DSS等

敏感信息检查,如秘钥、用户信息等

然而由于容器环境的封闭性,企业难以对容器进行这些检查

解决方案:Aqua可以通过OpenVulnerability and Assessment Language(OVAL)、自定义脚本(Unix Shell,PowerShell)对镜像进行检查,全面发现镜像中的安全问题,并阻断检查未通过的镜像运行

8. CI/CD

背景:大部分使用容器技术的公司已采用DevOps敏捷开发模式,这就要求容器的安全合规检查也能够集成到CI/CD流程中,进行自动化的安全检查,确保不会对DevOps造成阻碍,最终形成DevSecOps

解决方案:Aqua的镜像安全扫描和控制可以和CI/CD工具集成,包括如Jenkins,Microsoft VSTS, GoCD, GitLab, JIRA, Jfrog Xray, Bamboo等主流工具,使得开发人员在开发阶段就可以获知镜像是否符合企业安全标准,大大缩短了安全扫描和控制流程的周期

9. 开源协议检查

背景:开发人员往往会错误地使用不符合开源协议规范的开源软件

解决方案:Aqua可以扫描开源组件的开源协议,确保企业使用符合规范的开源软件

问题:Aqua和Clair有什么差别呢?

Clair开源产品(https://github.com/coreos/clair)可以对镜像实现扫描,但是并不能阻断黑客或者管理人员通过docker load方式手动加载镜像。小编曾经看到过把容器当虚拟机来用的客户。形形色色的镜像里面充斥着安装了SSH,netcat,这些都是在容器平台中应尽量减少使用软件包。有些容器公司常常用clair作基础,通过一些扫描,包装成为所谓的容器安全产品。但是其控制基本通过编排工具来实现,并不能从根本上保证镜像相关的安全。

Aqua却不同,在扫描镜像的同时,会记录这些镜像的特征码,并严格禁止“非授权”,“高危”、“有毒”的镜像加载到K8S中,即使是K8S管理员的手工加载也会被阻断。只有真正实现了docker.sock的拦截才能做到镜像的安全。否则都只是耍耍流氓而已啦。

更多安全请参考:https://www.aquasec.com/wiki/display/containers/Container+Vulnerabilities+and+Threats

关注AquaSec的各位“小水滴”们,如有希望了解的技术范畴,尽情私信我们。我们将提供容器世界的安全准则和最佳实践。

  • 发表于:
  • 原文链接:https://kuaibao.qq.com/s/20180719G145IP00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。

扫码关注云+社区

领取腾讯云代金券