14、容器安全与网络：潜在风险与防护策略

容器安全与网络：潜在风险与防护策略

1. 容器权限与能力管理

1.1 --privileged 标志的风险

使用 --privileged 标志运行容器会带来安全风险，即使有合理的使用理由，也建议进行控制或审计，确保只有真正需要的容器被授予该标志。可以考虑指定单个能力来替代使用该标志。

1.2 追踪容器能力请求

可以使用 Tracee 工具来追踪 cap_capable 事件，显示容器向内核请求的能力。以下是一个示例：

# 终端 1
$ docker run -it --rm nginx

# 终端 2
root@vagrant$ ./tracee.py -c -e cap_capable
TIME(s)  UTS_NAME      UID  EVENT         COMM    PID   PPID   RET  ARGS
125.000  c8520fe719e5  0    cap_capable   nginx   6     1      0    CAP_SETGID
125.000  c8520fe719e5  0    cap_capable   nginx   6     1      0    CAP_SETGID
125.000  c8520fe719e5  0    cap_capable   nginx   6     1      0    CAP_SETUID
124.964  c8520fe719e5  0    cap_capable   ngi