CyberGlossary

云安全

容器安全

别称: Docker 安全, OCI 容器安全

定义

保护容器镜像、镜像仓库、编排平台以及容器运行时环境的一整套实践。

容器安全覆盖 OCI 兼容容器(Docker、containerd、CRI-O)的完整生命周期。构建阶段,团队会扫描镜像中的 CVE 漏洞与嵌入凭据,使用 Sigstore/Cosign 进行签名,并强制使用最小化基础镜像。分发阶段,镜像仓库采用认证访问与签名校验加以保护。运行阶段,主机加固、命名空间/cgroup 隔离、seccomp、AppArmor、只读文件系统等措施缩小攻击面,而准入控制器和基于 eBPF 的传感器则强制策略并检测异常。常见风险包括特权容器、hostPath 挂载、存在漏洞的基础层、泄露的凭据,以及通过内核漏洞进行的容器逃逸。

示例

  • 在 CI 中使用 Trivy 或 Grype 扫描镜像;用 Kyverno 或 OPA Gatekeeper 拒绝特权 Pod。
  • Falco 在生产容器中检测到被启动的 shell。

相关术语