34、采用 Docker 时的关键考量点

采用 Docker 时的关键考量点

1. 取证方面

取证与审计类似，但更具针对性。当安全事件发生时，各方都想了解具体情况。在过去的物理机和虚拟机环境中，有诸多保障措施辅助事后调查，比如操作系统上可能运行着各种代理和监控进程，也可在网络甚至硬件层面进行监听。

取证团队在安全事件后可能想得到解答的问题如下：
- 能否知晓谁运行了容器？
- 能否知晓谁构建了容器？
- 容器停止后，能否确定它做了什么？
- 容器停止后，能否推测它可能做了什么？

为确保系统活动信息在容器实例化过程中得以保留，可强制使用特定的日志记录解决方案。Sysdig 及其开源工具 Falco 是该领域一个有趣且有前景的产品。若你熟悉 tcpdump，会发现这个工具与之很相似，能让你查询正在执行的系统调用。例如规则：

container.id != host and proc.name = bash

当在容器中运行 bash shell 时，该规则就会匹配。

Sysdig 的商业版不仅能进行监控，还能依据追踪到的行为和定义的规则集采取相应行动。

2. 构建和分发镜像

构建镜像

构建镜像时，有几个方面值得考虑：
- 标准统一 ：尽管 Dockerfile 是标准方式，但也存在其他构建镜像的方法。为避免多种方式造成混淆或不兼容，有必要规定标准。同时，也可将战略配置管理工具与标准操作系统部署集成。不过，从实际经验来看，开发者更习惯使用 Dockerfile。学习更复杂的配置管理工具