重保特辑 | 基于千万核规模实战经验，腾讯云容器安全重保最佳实践分享

容器化技术作为云原生“三驾马车”之一，在助力企业技术架构升级、应用效能提升的同时，也给企业安全防护带来了全新的挑战。在传统模式下，攻击者控制了单台节点后，仍需横向对其他节点进行缓慢渗透，才可控制整个系统。而在容器环境下，一旦攻击者控制了单个容器，可通过容器敏感目录挂载或漏洞利用等方式逃逸至宿主机获取更高权限，从而控制宿主机以及上面运行的所有容器业务，通过集群漏洞、配置不当等风险控制整个集群业务。原本“一次打包，到处运行”的便利变成了“一次入侵，控制一切”的被动。

千里之堤，溃于蚁穴，企业亟须构建针对性的容器安全防护体系。本文将结合腾讯云内部业务千万核规模容器安全治理经验，为大家继续剖析企业云上最后一道防线之一——容器安全，在重保场景下的最佳实践。

正本清源，从容器特性出发理清攻防侧重点

工欲善其事，必先利其器。想要理清容器攻防侧重点，需从理解容器特性出发。

短生命周期：
- 难点：据统计，49%的容器生命周期小于5分钟，74%小于1小时。对比云主机的平均333天的生命周期，分钟级的容器存活期使得容器运行态防护变得更加困难；
- 应对思路：一方面，在镜像构建、部署的阶段，企业就需要对漏洞、配置不当等风险进行收敛；另一方面，需要做好镜像、容器、集群资产的梳理及清点，以便配合高效的检测手段和入侵拦截策略，及时定位风险资产采取相应措施。
高部署密度：
- 难点：单个集群的平均容器部署密度约为30，海量的容器运营引入了批量化管理工具，也对于部署阶段的环境安全提出了较高的要求。镜像仓库、编排工具一旦被感染或控制，所管理的镜像、容器资产将全部暴露在风险中；
- 应对思路：在部署阶段，需对镜像仓库、集群及主机的漏洞、配置、木马病毒等风险进行检查，确保环境安全。
弱隔离性：
- 难点：和虚拟机基于系统的隔离不同，容器基于进程的隔离，没有明确的安全边界。当攻击者攻破容器后，可进一步获得宿主机系统权限，威胁宿主机上其它容器及内网的安全；
- 应对思路：在容器运行阶段，针对容器隔离性弱及共享主机内核的特性，需对容器逃逸风险进行实时监控。