10、容器安全与软件漏洞管理

容器安全与软件漏洞管理

1. 容器构建机安全

容器构建机存在安全风险，主要有两个原因：
- 若攻击者攻破构建机并运行代码，是否能触及系统其他部分。为降低风险，可探索使用无需特权守护进程的构建工具。
- 攻击者能否影响构建结果，使最终构建并运行恶意镜像。任何干扰 Dockerfile 指令或触发意外构建的未授权访问都可能导致灾难性后果，例如攻击者可在构建代码中插入后门。

为加强构建机安全，可采取以下措施：
- 减少攻击面，移除构建机上不必要的工具。
- 限制用户对构建机的直接访问。
- 使用 VPC 和防火墙保护构建机，防止未授权网络访问。
- 在与生产环境分离的机器或集群上运行构建，限制构建内主机攻击的可能影响。
- 限制构建机对网络和云服务的访问，防止攻击者访问部署的其他元素。

2. 镜像存储安全

镜像构建完成后需存储在镜像仓库中，若攻击者能替换或修改镜像，会导致运行其选择的代码。

2.1 运行自己的镜像仓库

许多组织维护自己的镜像仓库或使用云提供商的托管镜像仓库，并要求仅使用来自这些许可仓库的镜像。运行自己的镜像仓库可增强对镜像推送和拉取的控制与可见性，还能降低 DNS 攻击风险。若镜像仓库位于 VPC 内，攻击者进行 DNS 攻击的可能性极低。同时，应限制对镜像仓库存储介质的直接访问，例如在 AWS 中运行的镜像仓库使用 S3 存储镜像时，S3 存储桶应设置严格权限。

2.2 镜像签名

镜像签名将身份与镜像关联，类似于证书签名。镜像签名较为复杂，不建议自行构建。许多镜像仓库基于 TUF 规范的