Entry № 239
容器安全
容器安全 是什么?
容器安全保护容器镜像、镜像仓库、编排平台以及容器运行时环境的一整套实践。
容器安全覆盖 OCI 兼容容器(Docker、containerd、CRI-O)的完整生命周期。构建阶段,团队会扫描镜像中的 CVE 漏洞与嵌入凭据,使用 Sigstore/Cosign 进行签名,并强制使用最小化基础镜像。分发阶段,镜像仓库采用认证访问与签名校验加以保护。运行阶段,主机加固、命名空间/cgroup 隔离、seccomp、AppArmor、只读文件系统等措施缩小攻击面,而准入控制器和基于 eBPF 的传感器则强制策略并检测异常。常见风险包括特权容器、hostPath 挂载、存在漏洞的基础层、泄露的凭据,以及通过内核漏洞进行的容器逃逸。
● 示例
- 01
在 CI 中使用 Trivy 或 Grype 扫描镜像;用 Kyverno 或 OPA Gatekeeper 拒绝特权 Pod。
- 02
Falco 在生产容器中检测到被启动的 shell。
● 常见问题
容器安全 是什么?
保护容器镜像、镜像仓库、编排平台以及容器运行时环境的一整套实践。 它属于网络安全的 云安全 分类。
容器安全 是什么意思?
保护容器镜像、镜像仓库、编排平台以及容器运行时环境的一整套实践。
如何防御 容器安全?
针对 容器安全 的防御通常结合技术控制与运营实践,详见上方完整定义。
容器安全 还有哪些其他名称?
常见的别称包括: Docker 安全, OCI 容器安全。