对于容器而言，由于底层的基础架构非常复杂，稍有不慎，就可能会带来严重的安全后果。因此，在享受容器带来便捷性红利之前，如何让容器“不裸奔”，这成为了容器推广普及一大障碍。

当然，确保容器安全是一个持续的过程。像其他测试和质量控制措施一样，应该将安全集成到开发过程中来，尽可能实现自动化，减少手动处理的工作量，同时，安全还应该扩展到底层基础架构的运行与维护当中来。

青藤蜂巢，在对容器安全进行深入研究之后，正式提出容器安全“五个保护”：

●保护容器主机的安全

●保护容器网络流量安全

●保护容器中应用的安全

●保护容器管理技术堆栈

●保护构建管道的完整性

图1：一站式容器安全解决方案

保护容器主机的安全

要保护主机安全，首先要保护主机操作系统。应尽可能使用经过优化的分布式操作系统来运行容器，例如Container Linux、RancherOS、Ubuntu Core、Google的Container-Optimized OS或RedHat Atomic等发行版本。这些发行版本都已经删除了可有可无的服务，优化了性能并减少了攻击面。如果使用常规Linux发行版或Windows系统，则通常需要禁用或删除不必要的服务并加固操作系统。

然后添加主机安全产品，确保主机按预期状况运行，实时监控主机风险状况包括漏洞、不合规配置、弱密码等等，还需要实时进行入侵检测，在入侵行为尚未造成危害之前及时发现和响应。

监控容器网络流量安全

容器投入生产后，需要与其他容器和资源进行交互。进入网络的流量通常会受到其他安全控制措施的保护。部署在网络边界处的Web网关和IPS具有一定的过滤功能，可以防止发生直接攻击或尝试进行水坑攻击（先攻击某项服务，然后攻击其访问者）。

关于容器流量的另一项安全挑战是监控和保护容器之间的流量。攻击者在系统中找到一个立足点后，就会迅速进行横向行动，扩大影响范围。比如主机A的Apache向主机B的MongoDB请求数据；同时也有可能是主机内部容器之间的流量，比如主机A内部的Apache服务器请求主机A内部的MongoDB的流量。

为应对这类威胁，目前有两种入侵防御方案，一种是在网络边界处部署IPS设备，另一种是以软件形式在物理主机上部署入侵防御软件。但是部署在边界处的IPS无法监控主机内部容器之间的流量，部署在主机内部IPS软件，也无法对跨主机的容器之间的流量进行入侵防御。

针对容器东西向流量入侵防御，以docker为例，目前有一种方式是在物理主机内部连接容器的网桥上设置Netfilter钩子，利用钩子截获所有进出容器的东西向流量。对截获的东西向流量进行清洗，判断所述东西向流量中的报文是否属于恶意流量。若属于恶意流量，则阻止相关连接。

图2：监控容器流量

保护容器管理技术堆栈

在容器部署问题，通常会使用两个关键基础设施，即私有容器镜像仓库和容器编排工具Kubernetes。

容器镜像仓库是用于搜索、存储和分发容器的，简化了容器的共享工作，并帮助团队充分利用彼此的工作成果，提高了工作效率。为了确保每个容器都符合开发和安全基准，需要对容器镜像实时进行漏洞扫描。在将容器镜像推送到镜像仓库中去之前，要先对容器镜像进行漏洞扫描，查看是否存在已知漏洞、恶意软件以及明文秘钥，这样有助于减少下游的安全问题。此外，还需要确保镜像仓库本身也采取了良好的保护措施。镜像仓库应该运行在加固系统或信誉良好的云服务之上。

Kubernetes是一款复杂的容器编排工具，让企业实现了应用的自动化部署，给企业带来了巨大的业务收益。从安全角度来看，Kubernetes还提供了实现许多运营和安全控制的功能。实施Pod（集群级别的资源）和网络安全策略后，可以采用不同方案来满足风险承受能力。