Docker 安全知识
docker 与 虚拟机的区别
每个虚拟机都有自己的系统内核;
而容器是与宿主机共享内核资源的
容器消耗资源比虚拟机少,但虚拟机安全性要比容器好
不同点 | Docker容器 | 虚拟机 |
---|---|---|
启动速度 | 秒级 | 分钟级 |
运行性能 | 接近原生(直接在内核中运行) | 50%左右损失 |
磁盘占用 | MB | GB |
数量 | 成百上千 | 一般几十台 |
隔离性 | 进程级别 | 系统级别(更彻底) |
操作系统 | 主要支持Linux | 几乎所有 |
封装程度 | 只打包项目代码和依赖关系,共享宿主机内核 | 完整的操作系统,与宿主机隔离 |
docker存在的安全问题
Docker 自身漏洞
作为一款应用,Docker 本身实现上会有代码缺陷。
黑客常用的攻击手段主要有代码执行、权限提升、信息泄露、权限绕过等。
目前 Docker 版本更迭非常快,Docker 用户可将 Docker 升级为最新版本。
Docker 源码问题
Docker 提供了 Docker hub,可以让用户上传创建的镜像,以便其他用户下载,快速搭建环境。但同时也带来了一些安全问题。
例如下面三种方式:
-
黑客上传恶意镜像
如果有黑客在制作的镜像中植入木马、后门等恶意软件,那么环境从一开始就已经不安全了,后续更没有什么安全可言。 -
镜像使用有漏洞的软件
DockerHub上能下载的镜像里面,75%的镜像都安装了有漏洞的软件。所以下载镜像后,需要检查里面软件的版本信息,对应的版本是否存在漏洞,并及时更新打上补丁。 -
中间人攻击篡改镜像
镜像在传输过程中可能被篡改,目前新版本的 Docker 已经提供了相应的校验机制来预防这个问题。
Docker 架构缺陷与安全机制
容器之间的局域网攻击
主机上的容器之间可以构成局域网,因此针对局域网的ARP欺骗、端口扫描、广播风暴等攻击方式便可以用上。
所以,在一个主机上部署多个容器需要合理的配置网络安全,比如设置 iptables 规则。
DDoS 攻击耗尽资源
Cgroups 安全机制就是要防止此类攻击的,不要为单一的容器分配过多的资源即可避免此类问题。
有漏洞的系统调用
Docker 与虚拟机的一个重要的区别就是 Docker 与宿主机共用一个操作系统内核。
一旦宿主内核存在可以越权或者提权漏洞,尽管Docker使用普通用户执行,在容器被入侵时,攻击者还可以利用内核漏洞跳到宿主机做更多的事情。
共享root用户权限
如果以 root 用户权限运行容器(docker run --privileged),容器内的 root 用户也就拥有了宿主机的root权限。
Docker 安全基线标准
内核级别
及时更新内核。
User NameSpace(容器内的 root 权限在容器之外处于非高权限状态)。
Cgroups(对资源的配额和度量),设置CPU、内存、磁盘 IO等资源限制。
通过启用SELinux/AppArmor/GRSEC(控制文件访问权限)适当的强化系统来增加额外的安全性。
Capability(权限划分),比如划分指定的CPU给容器。
Seccomp(限定系统调用),限制不必要的系统调用。
禁止将容器的命名空间与宿主机进程命名空间共享,比如 host 网络模式。
主机级别
为容器创建独立分区,比如创建在分布式文件系统上。
仅运行必要的服务,注意尽量避免在容器中运行 ssh 服务 。
禁止将宿主机上敏感目录映射到容器,-v创建数据卷时需要注意。
对 Docker 守护进程、相关文件和目录进行审计,防止有病毒或木马文件生成。
设置适当的默认文件描述符数
用户权限为 root 的 Docker 相关文件的访问权限应该为 644 或者更低权限。
周期性检查每个主机的容器清单,并清理不必要的容器。
网络级别
通过 iptables 设定规则实现禁止或允许容器之间网络流量。
允许 Docker 修改 iptables。
禁止将 Docker 绑定到其他已使用的 IP/Port 或者 Unix Socket。
禁止在容器上映射特权端口。
容器上只开放所需要的端口。
禁止在容器上使用 host 网络模式。
若宿主机有多个网卡,将容器进入流量绑定到特定的主机网卡上。
镜像级别
创建本地私有镜像仓库服务器。
镜像中软件都为最新版本,建议根据实际情况使用对应版本,业务稳定优先。
使用可信镜像文件,并通过安全通道下载。
重新构建镜像而非对容器和镜像打补丁,销毁异常容器重新构建。
合理管理镜像标签,及时移除不再使用的镜像。
使用镜像扫描。
使用镜像签名。
容器级别
容器最小化,操作系统镜像最小集。
容器以单一主进程的方式运行。
禁止 --privileged 标记使用特权容器。
禁止在容器上运行 ssh 服务,尽量使用 docker exec 进入容器。
以只读的方式挂载容器的根目录系统,-v 宿主机目录:容器目录:ro。
明确定义属于容器的数据盘符。
通过设置 on-failure 限制容器尝试重启的次数,容器反复重启容易丢失数据,–restart=on-failure:3。
限制在容器中可用的进程数,docker run -m 限制内存的使用,以防止 fork炸弹。(fork炸弹,迅速增长子进程,耗尽系统进程数量)
其他设置
定期对宿主机系统及容器进行安全审计。
使用最少资源和最低权限运行容器,此为 Docker 容器安全的核心思想。
避免在同一宿主机上部署大量容器,维持在一个能够管理的数量。
监控 Docker 容器的使用,性能以及其他各项指标,比如 zabbix。
增加实时威胁检测和事件报警响应功能,比如 zabbix。
使用中心和远程日志收集服务,比如 ELK 。
常用安全配置方法
容器最小化
如果仅在容器中运行必要的服务,像 SSH 等服务是不能轻易开启去连接容器的。通常使用以下方式来进入容器。
docker exec -it a661258f6bfe bash
Docker 远程 API 访问控制
Docker 的远程调用API 接口存在未授权访问漏洞,至少应限制外网访问。建议使用 Socket 方式访问。
(1)在宿主机上监听内网 ip 和 docker daemon 的方式启动
方法一:
docker -d -H uninx:///var/run/docker.sock -H tcp://192.168.80.10:2375
方法二:
//在 docker 服务配置文件指定
vim /usr/lib/systemd/system/docker.service
–13行–修改
ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -H tcp://192.168.80.10:2375
(2)重启 Docker
systemctl daemon-reload
systemctl restart docker
netstat -natp | grep 2375
(3)在宿主机的 firewalld 上做 IP 访问控制,source address 指定的是客户端地址
firewall-cmd --permanent --add-rich-rule=“rule family=“ipv4” source address=“192.168.88.4” port protocol=“tcp” port=“2375” accept”
firewall-cmd --reload
或
iptables -F
(4)在客户端上实现远程授权访问
docker -H tcp://192.168.88.5 images