第二屆數字中國建設峰會昨日開幕,人臉識別、區塊鏈、物聯網、AI等數字科技手段,將三坊七巷這一古老的街區變身數字景區。全國有代表性的科技企業和專家圍繞“同享普惠科技 共建數字社會”“打造數字世界底座,構建萬物互聯的智能世界”等主題展開了一場與未來的對話。

　　作為安全狗參與本屆數字中國建設峰會的重頭戲,在峰會現場我們發布了云甲—“主機容器安全解決方案”,兼顧了對容器的全面保護又能靈活地與容器編排體系相結合,屬于業內首創的容器安全解決方案。

　　容器技術從LXC到Docker(容器鏡像的出現)再到容器編排技術Kubernetes,尤其隨著微服務架構和Develops開發模型的盛行,容器已經成為中大型企業在構建新一代信息化基礎設施和應用交付的必要選擇。中國信息通信研究院 2018 年發布的《中國云計算開源發展調查報告》顯示,30.1% 的企業已經將容器技術投入生產環境使用,正在測試環境使用容器的企業占比為 36.3%,還有 24.5% 的企業正在對容器技術進行評估。

　　隨著容器技術廣泛應用,針對容器的安全問題也日趨嚴重,容器有著不同于傳統信息基礎設施的安全問題;在Garnter發布的2017年和2019年年度安全技術榜單中,容器安全(Container Security)也都榜上有名。容器的安全問題主要體現在以下幾個方面:

　　一、容器自身安全問題

　　即容器自身因為軟件漏洞或者配置不當造成的安全問題,屬于中高危級別的安全風險,黑客可利用這些漏洞輕松攻破整個容器體系。根據國家信息安全漏洞共享平臺(CNVD)的統計,Docker相關的漏洞中危及以上占比高達90%。除此之外還有不少因為對Docker默認配置不做修改,導致容器關鍵服務直接暴露在互聯網上而直接被黑客攻擊利用。

　　二、容器鏡像安全問題

　　即容器鏡像里面使用了帶漏洞的軟件甚至鏡像生成過程中被污染帶上木馬后門,導致有問題的鏡像直接使用到生產環境中而產生的嚴重安全事件。

　　三、容器運行時安全問題

　　即容器在運行過程中其上的應用和微服務受到黑客攻擊從而導致容器被黑客控制,甚至可能導致從容器逃逸到宿主機的逃逸攻擊進而攻擊整個容器集群。

　　針對以上安全問題,安全狗聯合北京小佑科技推出了云甲—“主機容器安全解決方案”,該方案采用主機安全Agent和安全容器相結合的技術,既能做到對容器的全面保護又能靈活的跟容器編排體系相結合,屬于業內首創的容器安全解決方案。

　　通過云甲—“主機容器安全解決方案”實現對對容器全生命周期安全管控,涉及到容器的各個環節,即對容器鏡像文件的制作過程、容器運行的過程以及容器內應用進行全自動的安全檢測、 預警與防護,其中包括:

　　1、模板文件的安全防護

　　對模板文件進行自動的安全審查,識別出模板文件中危險的安全行為,如非法添加了惡意文件、越權的訪問以及被禁止的端口映射等等,同時還需要對模板文件中的行為動作進行合規審查,以發現不符合行業規范和等級保護要求。

　　2、鏡像文件安全防護

　　對制作的鏡像文件進行靜態和動態的安全掃描,以發行鏡像文件中的安全漏洞、木馬病毒、涉密的文件及環境變量,從而保證進入生產環境的鏡像是安全的,還需對鏡像的來源和歷史操作行為進行分析,對非法來源和有安全問題的鏡像禁止運行。

　　3、容器運行保護

　　對容器運行過程進行全程的安全監控,進而對容器訪問宿主機的資源進行細粒度的控制,防止有越權訪問破壞容器隔離性的行為。

　　4、容器內應用保護

　　對容器內應用、微服務的安全漏洞識別、網絡威脅檢測,從而保證容器內應用的安全。

　　5、容器運行環境的保護

　　對容器的相關運行環境,如鏡像倉庫、容器守護進程、容器編排集成工具進行安全風險識別及控制。

　　云甲容器安全方案中融合了安全狗·云眼主機EDR技術(安全agent),可以實現對容器主機的安全閉環管理。云眼采用輕量級Agent,與全部功能的重量級Agent相比,輕量級Agent實現了功能的最小集合,大大減輕Agent對于主機性能的影響。并且輕量級agent簡單,能夠動態地升級和更新,實現的代碼少,容易傳輸。

　　全新發布的產品奪人眼球,但安全狗其他云產品受到的關注也不落下風。網絡安全作為“數字中國”時代的基礎性保障需求,是本次峰會和展覽的重頭戲之一,安全狗展示的云安全解決方案也受到了諸多觀展嘉賓和專家的關注。