赞
踩
隔离与共享
性能与损耗
Docker 本身的架构与机制就可能产生问题,例如这样一种攻击场景,黑客已经控制了宿主机上的一些容器,或者获得了通过在公有云上建立容器的方式,然后对宿主机或其他容器发起攻击。
①容器之间的局域网攻击
主机上的容器之间可以构成局域网,因此针对局域网的 ARP 欺骗、嗅探、广播风暴等攻击方式便可以用上。所以,在一个主机上部署多个容器需要合理的配置网络,设置 iptable 规则;
②DDoS 攻击耗尽资源
Cgroups 安全机制就是要防止此类攻击的,不要为单一的容器分配过多的资源即可避免此类问题;
③有漏洞的系统调用
Docker与虚拟机的一个重要的区别就是Docker与宿主机共用一个操作系统内核。一旦宿主内核存在可以越权或者提权漏洞,尽管Docker使用普通用户执行,在容器被入侵时,攻击者还可以利用内核漏洞跳到宿主机做更多的事情。
④共享root用户权限
如果以 root 用户权限运行容器,容器内的 root 用户也就拥有了宿主机的root权限。
(1)及时更新内核。
(2)User NameSpace(容器内的 root 权限在容器之外处于非高权限状态)。
(3)Cgroups(对资源的配额和度量)。
(4)SELiux/AppArmor/GRSEC(控制文件访问权限)。
(5)Capability(权限划分)。
(6)Seccomp(限定系统调用)。
(7)禁止将容器的命名空间与宿主机进程命名空间共享。
(1)为容器创建独立分区。
(2)仅运行必要的服务。
(3)禁止将宿主机上敏感目录映射到容器。
(4)对 Docker 守护进程、相关文件和目录进行审计。
(5)设置适当的默认文件描述符数。
(文件描述符:内核(kernel)利用文件描述符(file descriptor)来访问文件。文件描述符是非负整数。
打开现存文件或新建文件时,内核会返回一个文件描述符。读写文件也需要使用文件描述符来指定待读写的文件)
(6)用户权限为 root 的 Docker 相关文件的访问权限应该为 644 或者更低权限。
(7)周期性检查每个主机的容器清单,并清理不必要的容器。
(1)通过 iptables 设定规则实现禁止或允许容器之间网络流量。
(2)允许 Docker 修改 iptables。
(3)禁止将 Docker 绑定到其他 IP/Port 或者 Unix Socket。
(4)禁止在容器上映射特权端口。
(5)容器上只开放所需要的端口。
(6)禁止在容器上使用主机网络模式。
(7)若宿主机有多个网卡,将容器进入流量绑定到特定的主机网卡上。
(1)创建本地镜像仓库服务器。
(2)镜像中软件都为最新版本。
(3)使用可信镜像文件,并通过安全通道下载。
(4)重新构建镜像而非对容器和镜像打补丁。
(5)合理管理镜像标签,及时移除不再使用的镜像。
(6)使用镜像扫描。
(7)使用镜像签名。
(1)容器最小化,操作系统镜像最小集。
(2)容器以单一主进程的方式运行。
(3)禁止 privileged 标记使用特权容器。
(4)禁止在容器上运行 ssh 服务。
(5)以只读的方式挂载容器的根目录系统。
(6)明确定义属于容器的数据盘符。
(7)通过设置 on-failure 限制容器尝试重启的次数,容器反复重启容易丢失数据。
(8)限制在容器中可用的进程树,以防止 fork bomb。(fork炸弹,迅速增长子进程,耗尽系统进程数量)
(1)定期对宿主机系统及容器进行安全审计。
(2)使用最少资源和最低权限运行容器。
(3)避免在同一宿主机上部署大量容器,维持在一个能够管理的数量。
(4)监控 Docker 容器的使用,性能以及其他各项指标。
(5)增加实时威胁检测和事件响应功能。
(6)使用中心和远程日志收集服务
Docker的远程调用 API 接口存在未授权访问漏洞,至少应限制外网访问。建议使用 Socket 方式访问。
监听内网 ip,docker daemon 启动方式如下:
docker -d -H unix:///var/run/docker.sock -H tcp://192.168.140.22:2375
或者
vim /usr/lib/systemd/system/docker.service
ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -H tcp://192.168.140.22:2375
systemctl daemon-reload
systemctl restart docker
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.140.21" port protocol="tcp" port="2375" accept"
firewall-cmd --reload //重新加载防火墙策略
docker -H tcp://192.168.140.22 images //在客户端查看服务端的docker镜像
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.140.0/24" reject"
1. 不在有外网ip的机器上使用Docker服务
2. 使用k8s等docker编排系统管理Docker容器
3. 宿主上Docker daemon启动命令加一个--iptables=false,然后把常用iptables写进文件里,再用iptables-restore去刷。
docker exec -it 容器ID bash
①如果公司使用的是自己的镜像源,可以跳过此步;
否则,至少需要验证 baseimage 的 md5 等特征值,确认一致后再基于 baseimage 进一步构建。
②一般情况下,要确保只从受信任的库中获取镜像,并且不建议使用–insecure-registry=[ ] 参数
推荐使用harbor私有仓库。
Copyright © 2003-2013 www.wpsshop.cn 版权所有,并保留所有权利。