容器安全功能特性
容器安全服務主要包含容器鏡像安全、容器安全策略和容器運行時安全功能。
容器鏡像安全
容器安全掃描鏡像倉庫的容器鏡像，發(fā)現(xiàn)鏡像中的漏洞、惡意文件、不安全配置等并給出修復建議，幫助用戶得到一個安全的鏡像。
須知：CGS支持對基于Linux操作系統(tǒng)制作的容器鏡像進行檢測。
|
功能項
|
功能描述
|
|---|---|
容器鏡像漏洞 |
通過與漏洞庫進行比對，檢測并管理私有鏡像倉庫存在的漏洞，對當前鏡像中存在的緊急漏洞進行提醒。 |
鏡像惡意文件 |
檢測鏡像是否攜帶惡意文件（Trojan、Worm、Virus病毒和Adware垃圾軟件等），幫助用戶識別出存在的風險。 |
Web-CMS漏洞 |
通過對Web目錄和文件進行檢測，識別出Web-CMS漏洞，將存在風險的結果上報至管理控制臺，并為您提供漏洞告警。 |
容器安全策略
通過配置安全策略，幫助企業(yè)制定容器進程白名單和文件保護列表，從而提高系統(tǒng)和應用的安全性。
|
功能項
|
功能描述
|
|---|---|
進程白名單 |
將容器運行的進程設置為白名單，非白名單的進程啟動將告警，有效阻止異常進程、提權攻擊、違規(guī)操作等安全風險事件的發(fā)生。 |
文件保護 |
容器中關鍵的應用目錄（例如bin，lib，usr等系統(tǒng)目錄）應該設置文件保護以防止黑客進行篡改和攻擊。容器安全服務提供的文件保護功能，可以將這些目錄設置為監(jiān)控目錄，有效預防文件篡改等安全風險事件的發(fā)生。 |
容器運行時安全
實時監(jiān)控容器節(jié)點運行狀態(tài)，發(fā)現(xiàn)挖礦、勒索等惡意程序，發(fā)現(xiàn)違反容器安全策略的進程運行和文件修改，以及容器逃逸等行為并給出解決方案。
|
功能項
|
功能描述
|
|---|---|
漏洞逃逸攻擊 |
監(jiān)控到容器內(nèi)進程行為符合已知漏洞的行為特征時，觸發(fā)逃逸漏洞攻擊告警。 |
文件逃逸攻擊 |
監(jiān)控發(fā)現(xiàn)容器進程訪問了宿主機系統(tǒng)的關鍵文件目錄（例如：“/etc/shadow”、“/etc/crontab”），則認為容器內(nèi)發(fā)生了逃逸文件訪問，觸發(fā)告警。即使該目錄符合容器配置的目錄映射規(guī)則，仍然會觸發(fā)告警。 |
容器進程異常 |
● 容器惡意程序 監(jiān)控容器內(nèi)啟動的容器進程的行為特征和進程文件指紋，如果特征與已定義的惡意程序吻合則觸發(fā)容器惡意程序告警。 ● 容器異常進程 對于已關聯(lián)的容器鏡像啟動的容器，只允許白名單進程啟動，如果容器內(nèi)存在非白名單進程，觸發(fā)容器異常程序告警。 |
容器異常啟動 |
監(jiān)控新啟動的容器，對容器啟動配置選項進行檢測，當發(fā)現(xiàn)容器權限過高存在風險時觸發(fā)告警。 支持以下容器環(huán)境檢測： ● 禁止啟動特權容器(privileged:true) ● 需要限制容器能力集（capabilities:[xxx]） ● 建議啟用seccomp（seccomp=unconfined） ● 限制容器獲取新的權限(no-new-privileges:false) ● 危險目錄映射(mounts:[...]) |
高危系統(tǒng)調(diào)用 |
Linux系統(tǒng)調(diào)用是用戶進程進入內(nèi)核執(zhí)行任務的請求通道。容器安全監(jiān)控容器進程，如果發(fā)現(xiàn)進程使用了危險系統(tǒng)調(diào)用，觸發(fā)高危系統(tǒng)調(diào)用告警。 |
敏感文件訪問 |
監(jiān)控容器內(nèi)已配置文件保護策略的容器鏡像文件狀態(tài)。如果發(fā)生文件修改事件則觸發(fā)文件異常告警。 |