如何做好容器安全？

wen 网络安全 2026-07-21 2

本文目录导读：

如何做好容器安全？

做好容器安全需要从构建、部署、运行三个环节全面覆盖，形成一个持续的安全闭环，以下是一套系统化的最佳实践指南：

镜像安全：从源头治理

这是最关键的一环,因为不安全的基础镜像会传导到所有容器。

选择可信的基础镜像
- 优先使用官方镜像（如 nginx:alpine、python:3.11-slim）或经过安全审核的内部镜像。
- 避免使用 latest 标签，明确指定版本号（如 python:3.11.4-slim），确保可复现性和可控性。
最小化镜像体积
- 使用 Alpine 或 Distroless 等精简版基础镜像，减少攻击面。
- 遵循“一个容器一个进程”原则，避免在镜像中安装不必要的工具（如 vim、curl、bash）。
镜像扫描
- 集成到CI/CD流水线：在构建后、推送前自动扫描镜像（工具：Trivy、Clair、Anchore、Snyk）。
- ：系统包漏洞（如 CVE）、第三方库依赖（如 npm、pip、Maven）以及密钥或硬编码密码。
使用多阶段构建
- 将“构建环境”和“运行环境”分离，用 Go 编译器构建二进制文件，然后将二进制文件复制到一个空白的 scratch 镜像中，彻底消除编译器、测试工具等不必要的组件。

容器虽然隔离,但默认共享宿主机的内核，必须对容器的能力（Capabilities）和资源进行严格限制。

以非 root 用户运行
- 禁止容器以 root 用户启动，在 Dockerfile 中创建专用用户（如 USER appuser）。
- 使用 --user 参数或在 Kubernetes 的 securityContext 中设置 runAsNonRoot: true。
最小权限原则
- 删除不必要的 Linux Capabilities（如 NET_RAW、SYS_ADMIN）。docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE。
- 禁止特权模式（--privileged），几乎永远不需要。
- 将容器根文件系统设置为只读（readOnlyRootFilesystem: true），仅将需要写入的目录挂载为临时卷（emptyDir）或持久卷。
资源限制
- 设置 CPU 和内存限制（--memory, --cpus）以防止 DoS 攻击或资源耗尽导致的服务中断。
安全上下文与Seccomp/AppArmor
- Seccomp：限制容器可以执行的系统调用（Syscall），默认的 Docker seccomp 配置文件会阻止 300+ 个危险系统调用，高级场景可自定义策略。
- AppArmor/SELinux：为容器应用强制访问控制策略，进一步限制文件访问和进程行为。

在 K8s 中，安全控制点从单机扩展到整个集群。

强制实施 Pod 安全标准（PSS）
- 在命名空间级别设置策略：Privileged（宽松）、Baseline（基准） 或 Restricted（严格），建议至少采用 Baseline 策略。
使用网络策略
- 默认允许所有流量是不安全的,定义精细化的网络策略（NetworkPolicy）来隔离微服务：
- “零信任”原则：只允许特定 Pod 的特定端口访问其他 Pod 或外部服务，只允许 Frontend 访问 Backend 的 8080 端口。
RBAC 与 Service Account 管理
- 最小化 Service Account（服务账户）的权限，不要使用默认的 default 账户。
- 为每个应用创建独立的 Service Account，并绑定仅包含所需操作（如 get, list, watch pods）的 Role 或 ClusterRole。
- 禁用自动挂载 Service Account Token（automountServiceAccountToken: false），除非应用需要访问 K8s API。
密钥管理
- 永远不要将密码、API 密钥直接写入 Dockerfile 或配置文件。
- 使用 K8s Secrets（建议加密存储）、或外部密钥管理服务（如 HashiCorp Vault、AWS Secrets Manager），通过 Sidecar 方式注入。

安全不是一次性的,而是持续的过程。

运行时威胁检测
- 部署运行时安全工具（如 Falco、Sysdig Secure、Aqua Security），监控系统调用、进程活动、网络连接和文件完整性。
- 规则示例：检测到容器内启动 Shell（bash）或安装了新的包，即触发告警。
镜像与集群的持续扫描
- 不仅仅在构建时扫描,也要定期扫描仓库中的已有镜像（因为会不断发现新的 CVE）。
- 定期扫描 K8s 集群的配置（使用 kube-bench、kube-hunter）检查是否符合 CIS 基准。
日志与审计
- 配置集中式日志收集（如 EFK/ELK、Loki），记录容器启动、重启、异常退出、权限提升等事件。
- 启用 Kubernetes 审计日志（Audit Log）并归档分析。

现代攻击常发生在软件供应链上。

镜像签名与验证
- 使用工具（如 Cosign、Notary）对镜像进行数字签名，在部署前验证签名，确保镜像未被篡改。
- 在 CI 中集成镜像签名步骤。
依赖项管理
- 定期更新基础镜像和依赖库版本,修复已知漏洞。
- 维护一份 SBOM（软件物料清单），了解每个容器内部包含的所有组件及其版本。

环节	自检问题	推荐工具/配置
镜像	是不是基础镜像最小且安全？有没有扫描漏洞？	Trivy, Dockerfile linter (Hadolint), 多阶段构建
部署	是不是以非 root 用户运行？有没有限制 Capability？	Docker `--user`, K8s `securityContext`, `--cap-drop=ALL`
编排	有没有网络策略隔离？RBAC 权限最小化了吗？	K8s NetworkPolicy, K8s RBAC, Pod Security Admission
运行时	有没有监控异常行为？有没有限制资源使用？	Falco, Sysdig, Resource Quota (CPU/Memory)
供应链	镜像有没有被签名？依赖项有没有更新？	Cosign, SBOM 生成 (Syft), 漏洞扫描工具

最终建议：容器安全的核心在于“纵深防御”，不要依赖单一环节，从镜像构建开始，到运行时监控结束，形成一个自动化的、持续迭代的安全治理体系。