企业级容器安全最佳实践

由于容器虚拟化技术可以充分利用硬件资源,对于开发团队就像梦想照进了现实。尽管容器化没有推翻虚拟机在企业应用开发和部署上的地位,但是Docker等工具在实现开发、测试和部署大规模现代软件的速度和敏捷性方面大展身手。Docker容器具有诸多优点:无需复杂的hypervisor、可移植性、资源隔离性、轻量级、开放标准、完美适应微服务架构。众多的应用通过容器隔离起来,相互独立地运行在同一台宿主机上,哪家公司不喜欢呢?

容器的速度和易用性带来了无限的可能,开发团队很容易被吸引。迄今为止,Docker容器的下载量已经超过4个亿。但是,对于容器化的担忧真真切切地存在。如果你被一时的热情冲昏了头脑,反而会适得其反,无法利用容器的潜力,阻碍开发的快速迭代和创新。如果你的公司决定要安全地拥抱docker,你需要谨慎地处理安全问题并避免牛仔编程文化。

需要澄清的是,Docker声称自己是安全的,但关键在于你必须负责任地使用。当你开始使用Docker,你会在镜像仓库(repos)发现有很多可下载的模板(“images”),它提供了一条编写微服务应用的捷径,从而大大加快开发速度。问题是你如何判断哪些images是安全的,是否包含漏洞。个人开发者可能不太关心Image的漏洞,但是对于企业,安全和数据审查是至关重要的,必须有人维护。那么问题就来了:如何将企业的安全策略应用于Docker呢?

Docker最佳实践

非营利组织网络安全中心(CIS)针对docker的安全配置发布了一个详尽的、超过100页的基准测试结果,有一些特定的点需要关注一下。

1. 关注你使用的镜像(images)

所有容器都来源于镜像,比较典型的是操作系统及其附属项(shell, default users, libraries, 依赖包)。正如Docker安全的一个页面上所描述:Docker容器运行的一个主要风险是:默认设置提供的隔离可能是不完善的,一方面是因为配置参数时只能考虑单个因素,另一方面镜像可能包含操作系统漏洞。因此,这需要使用者去修改容器配置和验证镜像——这条规则适用于每一个容器。

2. 实现自动化部署的代理(agent)

Agent可以协助你设置容器的安全参数,因为它能够自动获取镜像(image)的信息并将其展现给你。虽然Docker Hub上的镜像在不断检查、共享和更新,你不能依赖邮件列表和问题报告来发现和管理漏洞。单个容器的安全仍然需要用户自己去负责,所以你需要自己去检查依赖。你的镜像仓库里有哪些镜像,镜像是如何运作的,你都应该理解,并且拥有自己的扫描和检查机制。Agent很适合做这项工作,因为不管是运行在宿主机上,还是容器中,Agent的系统开销都很小。

3. 以什么方式运行容器

运行容器最安全的方式之一是是在只读模式下运行,容器不能被修改,而对于其他人访问的权限都没有。如果你在只读模式下运行,就不需要给每个容器配置一个agent了,也可以重用你验证过的镜像。如果容器以读/写模式运行,最好的做法是在每个容器一个代理。同时设定一些规则,不允许从公有仓库下载镜像,也不允许root下运行容器。

4. 管理容器与外部的交互

一个运行的容器可以暴露端口到宿主机的任何一个网卡(network interface)——这是极其危险的。一个解决办法是只暴露宿主机的一个网卡到外网,任何外部来的请求,比如入侵检测,入侵预防、防火墙、负载均衡等均通过这个网卡处理。容器端口也应该绑定到宿主机上一个授权的可信端口。

5. 需要熟练的Linux管理技巧

Docker支持很多安全增强选项,但默认情况下是没有设置的。因此,你需要一个Linux专家来管理基础设施,以保证Docker容器正常运作,并防止宿主机被误配置。

总的来说,企业使用Docker的最佳策略是结合CIS基准安全测试与企业现有的安全策略,为企业内的Docker容器建立一套安全配置“姿势”,并给开发团队创造一个安全的实验环境。

 

本文由时速云工程师赵帅龙编译,转载请注明出自时速云。原文链接:https://dzone.com/articles/docker-and-enterprise-security-establishing-best-p

暂无评论

发表评论