19、容器安全：从基础到高级防护策略

容器安全：从基础到高级防护策略

容器安全基础认知

容器在现代应用部署中扮演着重要角色，它不仅是部署单元，更是安全单元。理解容器的本质，构建坚实的心智模型，对于保障容器部署安全至关重要。同时，了解不同的隔离选项也很关键，当常规容器无法满足工作负载之间的隔离需求时，就需要考虑其他方式。

容器之间以及与外部世界的通信机制也需要深入掌握。网络是一个广泛的话题，但核心要点是容器为安全提供了一个独立的单元。可以通过多种方式限制流量，确保只有预期的流量在容器之间以及容器与外部世界之间流动。

分层防御策略在面对安全漏洞时非常有效。即使攻击者利用了部署中的漏洞，还有其他防御层可以阻止他们进一步突破。防御层越多，攻击成功的可能性就越小。

常见的针对 Web 应用的攻击有很多，虽然有一些针对容器的预防措施，但 OWASP Top 10 列表并不能涵盖部署中所有可能的弱点。因此，有必要回顾容器特定的攻击向量列表，并评估部署中最脆弱的地方，加强相应的防御。

安全检查清单

在考虑如何确保容器部署安全时，有一些重要的项目至少需要思考：
1. 用户权限 ：是否以非 root 用户身份运行所有容器？默认情况下，容器以 root 用户运行，但这存在安全风险。
2. 特权标志与能力 ：是否使用 --privileged 标志运行容器？是否删除了每个镜像不需要的能力？
3. 只读容器 ：是否尽可能以只读方式运行容器？这样可以减少攻击面。
4. 敏感目录挂载