34、采用 Docker 时的考量要点与相关生态分析

采用 Docker 时的考量要点与相关生态分析

1. 取证相关

取证与审计类似，但更具针对性。当安全事件发生时，各方都想了解具体情况。在过去的物理机和虚拟机环境中，有很多保障措施辅助事件后的调查，比如操作系统上可能运行着各种代理和监控进程，也可以在网络甚至硬件层面进行监听。

取证团队在安全事件后可能想解答的问题包括：
- 能否确定是谁运行了容器？
- 能否确定是谁构建了容器？
- 能否确定容器运行结束后做了什么？
- 能否推断容器运行结束后可能做了什么？

为确保系统活动信息在容器实例化过程中得以保留，可能需要强制使用特定的日志记录解决方案。Sysdig 及其开源的 Falco 工具是这一领域有趣且有前景的产品。如果你熟悉 tcpdump，这个工具看起来很相似，允许你查询正在运行的系统调用。例如规则：

container.id != host and proc.name = bash

当在容器中运行 bash shell 时，该规则会匹配。Sysdig 的商业产品不仅限于监控，还允许你根据跟踪的行为和定义的规则集采取行动。

2. 构建和分发镜像

2.1 构建镜像

在构建镜像时，有几个方面需要考虑：
- 标准制定 ：虽然 Dockerfile 是标准方法，但也存在其他构建镜像的方式。为避免混淆或兼容性问题，可能需要强制规定一种标准。同时，可能需要将战略配置管理工具与标准操作系统部署集成。实际经验表明，Dockerfile 方法深受开发者喜爱，让开发者为了符合公