本文详细介绍了在容器环境下如何进行安全监控和审计，包括主机、容器实例、镜像以及系统容器的监控。强调了监控的重要性，如主机监控、容器进程监控、文件系统监控、镜像监控和系统容器监控，并提到了配置审计和脆弱性评估的方法。通过使用各种工具和技术，如docker stats、netlink socket、perf event、eBPF等，可以有效地检测和预防潜在的恶意行为和安全威胁。
运行时安全监控与审计
监控和审计机制是用来保证服务安全性
的常用手段，下面将介绍在容器环境下如何做安全监控和审计。1. 运行时监控 有别于传统环境，为了保证容器的稳定运行，在容器环境下需要从主机、容器实例、镜像等多个层面进行监
控审计。
（1）主机监控
主机监控基本就是传统主机监控的范围，通常可以包括主机的操作系统
信息、CPU 信息、内存信息、进程信 息、文件系统信息、网络状态等信息。主机的监控在运维体系中相对比较成熟，也有很多的开源工具进行实现， 比如 Performance Co-Pilot[^1] 、Icinga[^2] 、Munin[^3] 等，本文不再赘述。（2）容器实例监控
容器实例的监控通常包括主机上容器的基本信息（容器 ID、镜像名称、创建时间、状态、端口信息、容器名等）， 容器的 CPU 使用量、内存使用量、块设备 I/O 使用量、网络使用情况等资源使用信息。具体可使用 docker stats 查看相关信息，如下所示。
docker stats 9d83d3116584
CONTAINER ID NAME CPU% MEM USAGE/LIMIT MEM% NET I/O BLOCK I/O PIDS 9d83d3116584 dev_proxy_1 0.00% 14.86MiB/125.9GiB 0.01% 286MB/286MB 14.3MB / 8.19kB 25
- 恶意行为监控
（1）容器监控
攻击者可利用应用程序
的漏洞、错误配置进入容器，然后以这个容器为跳板，对内部网络进行探测，进而发 现其它容器或者宿主机的进程和文件系统中的弱点来加以进一步利用和攻击。相应的保护方法是需要实时监控容 器内可疑进程（如端口扫描进程和反向 Shell 进程等）。具体包括：容器进程监控
被恶意攻击占领的容器会启动非法进程，例如数字货币挖掘软件或网络端口扫
最低0.47元/天 解锁文章
扫一扫
4万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
