docker存在安全安全风险，怎么去规避做优化保证docker的使⽤安全，带你了
解⼀下
⼀、Docker 容器与虚拟机的区别
1.隔离与共享
■虚拟机通过添加 Hypervisor 层，虚拟出⽹卡、内存、CPU 等虚拟硬件，再在其上建⽴ 虚拟机，每个虚拟机都有⾃⼰的系统内核。
⽽ Docker 容器则是通过隔离的⽅式，将⽂件系 统、进程、设备、⽹络等资源进⾏隔离，再对权限、CPU 资源等进⾏控制，最终让容器之间互不影响，容器⽆法影响宿主机。容器与宿主机共享内核、⽂件系统、硬件等资源。
2.性能与损耗
■与虚拟机相⽐，容器资源损耗要少。 同样的宿主机下，能够建⽴容器的数量要⽐虚拟 机多。但是，虚拟机的安全性要⽐容器稍好，
要从虚拟机攻破到宿主机或其他虚拟机，需要 先攻破 Hypervisor 层，这是极其困难的。⽽ docker 容器与宿主机共享内核、⽂件系统等资源，更有可能对其他容器、宿主机产⽣影响。
⼆、Docker 存在的安全问题
1. Docker ⾃⾝漏洞
■作为⼀款应⽤ Docker 本⾝实现上会有代码缺陷。CVE官⽅记录Docker历史版本共有超过20项漏洞。
■⿊客常⽤的攻击⼿段主要有代码执⾏、权限提升、 信息泄露、权限绕过等。⽬前 Docker 版本更迭⾮常快，Docker ⽤户最好将 Docker 升级为 最新版本。
2. Docker 源码问题
■Docker 提供了 Docker hub，可以让⽤户上传创建的镜像，以便其他⽤户下载，快速搭 建环境。但同时也带来了⼀些安全问题。
例如下⾯三种⽅式：
（1）⿊客上传恶意镜像 如果有⿊客在制作的镜像中植⼊⽊马、后门等恶意软件，那么环境从⼀开始就已经不安全了，后续更没有什么安全可⾔。
（2）镜像使⽤有漏洞的软件 Docker Hub 上能下载的镜像⾥⾯，75%的镜像都安装了有漏洞的软件。所以下载镜像后，
需要检查⾥⾯软件的版本信息，对应的版本是否存在漏洞，并及时更新打上补丁。
（3）中间⼈攻击篡改镜像 镜像在传输过程中可能被篡改，⽬前新版本的 Docker 已经提供了相应的校验机制来预 防这个问题。
三、Docker 架构缺陷与安全机制
■Docker 本⾝的架构与机制就可能产⽣问题，例如这样⼀种攻击场景，⿊客已经控制了宿主机上的⼀些容器，或者获得了通过在公有云上建⽴容器的⽅式，然后对宿主机或其他容器发起攻击。
1. 容器之间的局域⽹攻击
■主机上的容器之间可以构成局域⽹，因此针对局域⽹的 ARP 欺骗、嗅探、⼴播风暴等攻 击⽅式便可以⽤上。所以，在⼀个主机上部署多个容器需要合理的配置⽹络，设置 iptable 规则。
2. DDoS 攻击耗尽资源
■Cgroups 安全机制就是要防⽌此类攻击的，不要为单⼀的容器分配过多的资源即可避免此类问题。
3. 有漏洞的系统调⽤
■Docker与虚拟机的⼀个重要的区别就是Docker与宿主机共⽤⼀个操作系统内核。
■⼀旦宿主内核存在可以越权或者提权漏洞，尽管Docker使⽤普通⽤户执⾏，在容器被⼊侵时，攻击者还可以利⽤内核漏洞跳到宿主机做更多的事情。
3.4 共享root⽤户权限
■如果以 root ⽤户权限运⾏容器，容器内的 root ⽤户也就拥有了宿主机的root权限。
四、Docker 安全基线标准
■从内核、主机、⽹络、镜像、容器以及其它等 6 个⽅ ⾯总结 Docker 安全基线标准。
1. 内核级别
（1）及时更新内核。
（2）User NameSpace（容器内的 root 权限在容器之外处于⾮⾼权限状态）。
（3）Cgroups（对资源的配额和度量）。
（4）SELiux/AppArmor/GRSEC（控制⽂件访问权限）。
（5）Capability（权限划分）。
docker重启容器命令
（6）Seccomp（限定系统调⽤）。
（7）禁⽌将容器的命名空间与宿主机进程命名空间共享。
2.主机级别
（1）为容器创建独⽴分区。
（2）仅运⾏必要的服务。
（3）禁⽌将宿主机上敏感⽬录映射到容器。
（4）对 Docker 守护进程、相关⽂件和⽬录进⾏审计。
（5）设置适当的默认⽂件描述符数。
（⽂件描述符：内核（kernel）利⽤⽂件描述符（file descriptor）来访问⽂件。⽂件描述符是⾮负整数。
打开现存⽂件或新建⽂件时，内核会返回⼀个⽂件描述符。读写⽂件也需要使⽤⽂件描述符来指定待读写的⽂件）（6）⽤户权限为 root 的 Docker 相关⽂件的访问权限应该为 644 或者更低权限。
（7）周期性检查每个主机的容器清单，并清理不必要的容器。
3.⽹络级别
（1）通过 iptables 设定规则实现禁⽌或允许容器之间⽹络流量。
（2）允许 Docker 修改 iptables。
（3）禁⽌将 Docker 绑定到其他 IP/Port 或者 Unix Socket。
（4）禁⽌在容器上映射特权端⼝。
（5）容器上只开放所需要的端⼝。
（6）禁⽌在容器上使⽤主机⽹络模式。
（7）若宿主机有多个⽹卡，将容器进⼊流量绑定到特定的主机⽹卡上。
4.镜像级别
（1）创建本地镜像仓库服务器。
（2）镜像中软件都为最新版本。
（3）使⽤可信镜像⽂件，并通过安全通道下载。
（4）重新构建镜像⽽⾮对容器和镜像打补丁。
（5）合理管理镜像标签，及时移除不再使⽤的镜像。
（6）使⽤镜像扫描。
（7）使⽤镜像签名。
5. 容器级别
（1）容器最⼩化，操作系统镜像最⼩集。
（2）容器以单⼀主进程的⽅式运⾏。
（3）禁⽌ privileged 标记使⽤特权容器。
（4）禁⽌在容器上运⾏ ssh 服务。
（5）以只读的⽅式挂载容器的根⽬录系统。
（6）明确定义属于容器的数据盘符。
（7）通过设置 on-failure 限制容器尝试重启的次数，容器反复重启容易丢失数据。
（8）限制在容器中可⽤的进程树，以防⽌ fork bomb。（fork，迅速增长⼦进程，耗尽系统进程数量）
4.6 其他设置
（1）定期对宿主机系统及容器进⾏安全审计。
（2）使⽤最少资源和最低权限运⾏容器。
（3）避免在同⼀宿主机上部署⼤量容器，维持在⼀个能够管理的数量。
（4）监控 Docker 容器的使⽤，性能以及其他各项指标。
（5）增加实时威胁检测和事件响应功能。
（6）使⽤中⼼和远程⽇志收集服务
五、容器最⼩化
■如果仅在容器中运⾏必要的服务，像 SSH 等服务是不能轻易开启去连接容器的。通常使⽤以下⽅式来进⼊容器。
docker exec -it a661258f6bfe bash
六、Docker remote api 访问控制
■Docker的远程调⽤ API 接⼝存在未授权访问漏洞，⾄少应限制外⽹访问。建议使⽤ Socket ⽅式访问。
监听内⽹ ip，docker daemon 启动⽅式如下：
docker -d -H uninx:///var/run/docker.sock -H tcp://192.168.195.128:2375
或者：
vim /usr/lib/systemd/system/docker.service
#开放本地监听地址和端⼝
ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -H tcp://192.168.195.128:2375
systemctl daemon-reload
systemctl restart docker
■在宿主机的 firewalld 上做 IP 访问控制（source address 是客户端地址）：
firewall-cmd --permanent --add-rich-rule=“rule family=“ipv4” source address=“192.168.195.128” port
protocol=“tcp” port=“2375” accept”
firewall-cmd --reload
■客户端操作实现远程调⽤：
docker -H tcp://192.168.195.128 images
七、限制流量流向
1. 使⽤防⽕墙过滤器限制 Docker 容器的源 IP 地址范围与外界通讯。
firewall-cmd --permanent --zone=public --add-rich-rule=“rule family=“ipv4” source address=“20.0.0.0/24”
reject”
■⼤量问题是因为Docker容器端⼝外放引起的漏洞，除了操作系统账户权限控制上的问题，更在于对Docker Daemon的进程管理上存在隐患。⽬前常⽤的Docker版本都⽀持Docker Daemon管理宿主iptables的，⽽且⼀旦启动进程加上-p host_port:guest_port的端⼝映射，Docker Daemon会直接增加对应的FORWARD Chain并且-j ACCEPT，⽽默认的DROP规则是在INPUT链做的，对docker没法限制，这就留下了很严重的安全隐患了。因此建议：
1. 不在有外⽹ip的机器上使⽤Docker服务
2. 使⽤k8s等docker编排系统管理Docker容器
3. 宿主上Docker daemon启动命令加⼀个–iptables=false，然后把常⽤iptables写进⽂件⾥，再⽤iptables-restore去刷。
⼋、镜像安全
■Docker 镜像安全扫描，在镜像仓库客户端使⽤证书认证，对下载的镜像进⾏检查。
■通过与 CVE 数据库同步扫描镜像，⼀旦发现漏洞则通知⽤户处理，或者直接阻⽌镜像继续构建。
■如果公司使⽤的是⾃⼰的镜像源，可以跳过此步；否则，⾄少需要验证 baseimage 的 md5 等特征值，确认⼀致后再基于 baseimage 进⼀步构建。
■⼀般情况下，要确保只从受信任的库中获取镜像，并且不建议使⽤–insecure-registry=[] 参数，推荐使⽤harbor私有仓库。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。