一、引言
容器技術在2013年得到了全球范圍內的推廣，市場對容器云技術的認知越來越成熟，容器云技術的應用領域繼續擴大，生態建設也更加深化，容器云市場進入了大規模化發展的階段。至今，隨著容器云與云原生和DevOps等多項技術的結合度越緊密，容器云也被更多行業采用，市場認可度和滲透率持續提升。
在持續演進的過程中，容器安全防護應覆蓋到整個開發運維流程，全面自動化、智慧化減少人工工作。作為2021年入選Gartner云安全技術成熟度曲線等多份技術報告的容器安全產品，云甲一直為千行百業的用戶守護容器全生命周期的安全。為了更好地契合當下企業用戶在容器云安全面臨的眾多安全問題，安全狗也加快研發速度，提升了云甲的功能，并且發布了4.0版本，以期滿足用戶的更多安全需求。讓我們來看看云甲4.0新版本的特色功能吧。
二、云甲新版本特色功能
1、全面可視化解決資產“疑難雜癥”
由于資產變化過快的特性，傳統主機資產采集工具容易出現資產采集不全、誤報漏報、耗時較長等問題，無法滿足對容器的資產清點要求，資產清點可視化一直是容器管理上的一個痛點。
風險源于未知，云甲通過調用docker api與宿主機docker demon交互，獲取鏡像容器各類資產識別，梳理鏡像類別、容器類別、主機類別資產，包括但不限于軟件包、進程、數據庫等，實時監測資產變更。
對于資產可視化，將大量紛雜的數據轉換為用戶可以輕松訪問、理解和利用的有實用價值的信息至關重要。通過整合容器資產，依托折線圖、餅圖、環形圖等進行資產的分類聚合、關聯分析、趨勢分析，聯合風險信息通過統一的界面平臺實現全面的可視化，隨時監控云資源的安全狀況。
圖1 儀表盤
2、鏡像威脅及時阻止
對使用者來說容器是不透明的，封裝成一個個繁瑣鏡像。隨著數年積累的CVE越來越多，很多應用都存在一些問題，在更新頻率低的鏡像中尤為嚴重。
云甲提供來自主機鏡像、倉庫鏡像的檢測，通過多層次的鏡像檢測分析，杜絕鏡像中的問題在運行的容器中帶來風險。
對于鏡像漏洞風險，通過對鏡像發起掃描，對鏡像進行特征的提取，結合CVE漏洞庫進行特征匹配，發現漏洞則進行提示。
對于鏡像惡意后門，提供病毒木馬、網頁后門檢測引擎，自定義網頁后門規則，檢測惡意鏡像。
對于鏡像不安全風險，提供查看鏡像中的敏感信息，防止敏感文件泄露、敏感秘鑰泄露等，提供查看鏡像registry的鏡像關系，版本歷史，鏡像的層，還有鏡像構建文件，確保鏡像在分發上線前安全可信。
同時采用自定義鏡像阻斷規則，對存在root用戶啟動、病毒木馬、網頁后門、特定漏洞或非信任鏡像等規則下的鏡像阻斷其運行。
圖2 鏡像安全
3、容器威脅快速響應
容器在運行中會持續為用戶的應用程序處理資料、產生記錄、建立文件快取等等，此時，我們就需要確保這些都是正常行為，而非惡意活動；而對于容器運行時配置不當也會降低系統的相對安全性。
云甲提供容器的風險監測和阻斷，監控分析容器運行中發生的安全事件，采用即時掃描和實時監控兩種模式對容器進行入侵行為檢測。惡意行為檢測是對于惡意行為模式的定義，對容器及編排工具內的黑客攻擊行為進行實時檢測。
入侵檢測引擎，對于容器內文件、代碼、腳本進行病毒木馬、網頁后門、反彈shell、安全漏洞的實時檢測；
異常處理引擎，建立行為學習模型，對容器內進程、文件行為、命令、網絡進行異常行為檢測，包括但不限于執行ssh命令、掛載非法目錄、搜索私鑰等；
逃逸檢測引擎，在容器面臨的所有安全問題當中，逃逸問題是最為嚴重的，云甲能針對容器、主機及編排工具內的逃逸風險，監測用戶不安全配置、Docker runC、“臟牛漏洞”、進程提權等方面的容器逃逸攻擊，快速告警跟蹤；
自動將風險事件阻止隔離并根據嚴重性發出不同等級的告警通知。
圖3 容器安全
4、便捷的基線合規
在開發環境中，如果容器沒有配置得當，則很可能被利用。安全基線一直是安全措施中中最省時省力的技術手段之一，完備的基線檢查可以幫助研發人員提前發現相關配置問題，盡可能的幫我們減少攻擊面。
云甲提供CIS容器配置基準保證，從基線、靜態分析多個維度對容器安全性提供保障。構建基于CIS的Docker、Kubernetes安全操作實踐檢查基線。可實現?鍵自動化檢測，提供可視化基線檢查結果和代碼級的修復建議。同時，結合企業個性化應用場景，還可為用戶提供基線定制開發服務，以快速匹配各行業、各企業安全配置需求。
圖4 基線合規
5、兩套方案靈活部署
云甲支持Agent+插件部署方式實現容器安全防護，同時支持平行容器部署方式實現。Agent+插件高效率，低損耗，可擴展功能，包括主機安全、微隔離、補丁管理功能。平行容器資源占用小、環境依賴小，易管理易維護。兩種部署方式可單獨部署、混合部署適配多種業務場景。
圖5 部署架構
三、結論
當然除了這些，很快云甲將進一步迎來容器微隔離功能，實現“容器網絡拓撲”的可視化、“生成網絡策略”自動化，幫助用戶在配置網絡策略時獲得更直觀、便捷的體驗。隨著容器云技術的蓬勃發展和趨于成熟，信息系統軟件設計模型趨向于微服務架構和容器化部署，越來越多的信息系統發布到容器云，容器云安全變得至關重要。
云甲容器安全防護是一個持續不斷的過程，在提供保護構建流程的容器鏡像基礎上，防護運行時期的主機、平臺與應用程序層，后續將延伸到基礎架構的維護與運營，云甲將防護融入不斷循環的軟件生命周期持續性交付特點，能全面覆蓋云原生環境中可能產生的更多安全問題，更好的保護系統，降低企業風險。
