容器生态系统_导航容器安全生态系统

容器生态系统

SJ Technologies与Sonatype合作进行了DevSecOps社区2018调查。 这项调查非常受欢迎，收到了代表不同行业，发展实践和责任的2,000多名受访者的答案。 三分之一的受访者（33％）来自技术行业，而银行和金融服务是第二大代表群体（15％）。 所有受访者中有70％使用的是容器注册表。 由于有如此多的受访者使用容器，因此有必要更深入地研究容器的安全性。

数字不说谎

查看同比数据，报告使用容器和应用程序安全工具的受访者比例增加了一倍 。 2017年，只有23％的人拥有工具，而2018年为56％。容器安全正Swift成为标准化和简化的成熟部分。 考虑到Kubernetes的爆炸性增长以及在过去的一年中创建了新的容器运行时，这不足为奇。

令人惊讶的是，大多数组织都使用多个容器注册表。 大多数受访者使用私有Docker注册表，然后使用AWS ECR和Sonatype Nexus。 红帽OpenShift和Jfrog Artifactory也得到了很好的体现。 可以想象可以使用多种方式来使用容器注册表。 但是某些注册表与其他注册表有很大不同。 如果不仔细考虑，与许多注册管理机构一起实施安全工具可能会导致复杂的流程。 值得庆幸的是，大多数注册管理机构都实现了允许这样做的通用API。

容器要求的安全性不同于VM。

当被问及“您是否利用安全产品来识别容器中的漏洞？” 几乎一半的受访者回答说，他们使用安全工具来识别容器中的漏洞。 仅考虑自认为属于“成熟DevOps流程”一部分的受访者的结果时，几乎三分之二的人正在扫描容器中的漏洞。 另有25％的人正在评估容器安全工具。 然而，所有受访者中有四分之一表示他们还没有解决方案来识别容器中的漏洞。 鉴于最近的违规行为，这有些令人恐惧。

这里可能有两个阵营：第一个阵营可能是使用标记为“最新”的容器的团队，或者是从假定的修补上游不断拉动的团队。 这不是一个好习惯，因为组织信任上游为他们提供安全保护。 第二个更可能的阵营包括那些没有解决方案来识别容器中的漏洞的组织。 如果采用了容器，则不扫描它们的漏洞会在安全流程中留下类似自卸车的漏洞。

固定容器

关于容器安全性，存在一些常见的误解。 Aqua Security的 Liz Rice指出：“我最常见的误解是容器比虚拟机更像虚拟机，然后对它们提供给您的隔离级别感到失望。”

流程：更新图像而不是打补丁

容器的寿命应比传统VM的寿命短得多。 容器应被视为不变的基础设施。 这既是思想转变，又是基础架构的变化。 容器不应打补丁； 应该重新创建它们。 更新容器映像并重新部署所有受影响的容器是如何最好地应用容器安全性的方法。 如果管道构建正确，则此过程可能就像更改配置文件中的标记一样简单。

扫描正在运行的容器中的漏洞至关重要。 但是，作为DevSecOps的从业者，总是向左移动。 扫描容器注册表中的易受攻击图像也是一项关键功能。 还应通过版本控制操作扫描容器。 容器应轻巧到足以在每个接触点进行扫描。 如果有可用的工具来检查在开发环境中运行的易受攻击的容器，请使用它！ 尽早扫描并经常扫描。

用于容器安全性和扫描的开源工具

容器安全工具生态系统持续增长。 构建容器安全工具集时要牢记的一件事：目前没有正确的方法。 开发管道基于业务需求。 实施容器安全工具将需要同等的思想水平。

有许多开放源代码工具可用来帮助锁定容器，而本文中我们将不介绍所有这些工具。 但是，如果不讨论一些工具，这将不是有用的文章。 强烈建议使用AppArmor和seccomp之类的工具。 两者都是Linux内核的组件，并提供合理的默认值。 AppArmor将强制访问控制应用于正在运行的程序（例如Docker本身）。 Seccomp限制容器内可用的操作（系统调用）。 如果容器受损，AppArmor和seccomp将为系统和容器提供最小的可行保护。 两者都不会告诉您某个软件包含漏洞。

几个容器注册表提供了一种扫描工具。 但是，如果那些人不削减，还有其他选择。 CoreOS提供了一个名为Clair的工具，这是一个开源项目，用于静态分析appc和Docker容器中的漏洞。 Sysdig Falco是一种行为活动监视器，旨在检测应用程序中的异常活动。 Dagda （包含Sysdig Falco）是一种工具，可对Docker映像/容器中的已知漏洞，木马，病毒，恶意软件和其他恶意威胁进行静态分析。 除操作系统外，还有针对Docker和Kubernetes的CIS基准测试 。 这些只是少数开源工具。 有许多工具可用来帮助保护容器和容器环境。

结论

今年的DevSecOps社区调查的结果表明，容器的采用将继续增长。 随着越来越多的容器进入生态系统，对可见性的需求将会增加。 诸如Kubernetes之类的容器编排工具将被用来帮助管理其中的一些需求。 随着更多软件被集成到生态系统中，更多的自动化将使管理的挑战性降低。 将安全工具自动化到基于容器的工作流中将成为每个主要组织的安全态势的关键部分。 记住，总是向左移动。

本文最初在 SJ Technologies博客 上发布，并经许可重新发布。

[请参阅我们的相关故事， 仅对root（在容器中）说不 ]

翻译自: https://opensource.com/article/18/5/navigating-container-security-ecosystem

容器生态系统