4个让Docker和Kubernetes更安全的容器安全工具

原文：4 extra-strength container security tools for Docker and
Kubernetes
作者：Serdar Yegulalp
译者：roy

译者注：本文介绍一些第三方产品，为基于容器的应用提供了企业级监控、基于策略的控制、容器内的审核, 以及强化的Linux内核。以下为译文：

Docker式容器不仅仅是一种更快且更灵活地软件部署方式。它们也可以使软件更安全。比如自动分析进入容器的软件组件，定制跨容器集群和多个应用程序版本的行为策略，以及跟踪和管理漏洞数据，这些都是可以在整个应用程序生命周期中增强容器安全性的方法。

不过如何实现却是另外一回事。容器产品仅提供基本功能，很少有额外的功能，完全指望着容器管理员来实现更高级的监控或管理。以下是四款产品和服务，它们在云端或在客户自己的数据中心里为容器带来了更多的安全保障。

Twistlock 容器安全平台

Twistlock 容器安全平台功能

Twistlock的主要功能是在Docker Enterprise等“核心”容器产品不涵盖的场景中增加了对容器的安全控制。例如，Twistlock 2.0添加了对容器执行HIPAA和PCI规则的合规控制，Twistlock 2.1则包括Jenkins等构建工具的合规警报。

在版本2.2中，Twistlock增加了对Kubernetes CIS基准测试的支持，从而可以根据一组通用标准来检查Kubernetes管理的部署以保护Kubernetes。 Twistlock现在运行在Swarm管理的集群以及Kubernetes上，当然CIS检查仅适用于Kubernetes。

Twistlock 2.2包括一个“原生云应用防火墙”，它通过指向编排过的应用程序来保护容器应用。防火墙分析容器之间的网络通信，并根据容器行为自动设置规则，这样管理员就不必手动生成规则。

Twistlock 2.2还通过构建关于合法和非法系统行为的知识库来保护运行时的主机和容器。 “事件浏览器”工具允许管理员在一个报告中查看在安全事件期间系统中发生的所有更改。

在哪里购买Twistlock 容器安全平台

Twistlock仅提供付费企业版, 但用户可以试用30天而无需付费。

Sysdig Secure

Sysdig Secure 功能

Sysdig Secure 提供了一组监视容器运行环境安全的工具, 并从中获取证据。它旨在与 Sysdig 的其他工具 (如 Sysdig Monitor) 一起使用。

可以根据每个应用程序、每个容器、每个主机或每个网络活动来设置和实施安全环境策略。Sysdig Secure跟踪的任何事件都可以通过主机/容器或通过编排 (通常是 Kubernetes) 来查看。
每个容器的命令历史都可以被记录和检查，并且可以用类似于Twistlock的“事件浏览器”功能的方式记录和回放整个集群的常规取证。

在哪里购买Sysdig Secure

Sysdig Secure仅作为Sysdig的付费产品提供，可提供云服务版本和本地部署版本。

Atomicorp Secure Docker 内核

Atomicorp Secure Docker 内核的功能

Atomicorp’s Secure Docker 内核是一个可替换的 Linux 内核, 用于 Ubuntu 和 CentOS, 它利用一些强化策略来消除潜在的攻击。许多保护措施, 如对用户内存的强化权限, 都是从Atomicorp的通用安全内核产品系列派生出来的。其他的，如容器入侵保护，主要用于保护Docker内核。