容器运维过程中如何保证应用及数据安全?

金融行业的合规性要求高,安全要求比较复杂,容器运维过程中是否有比较全面的安全管理模式,比如基础层安全、容器安全、应用安全及镜像安全?可以给容器云搭建或者容器日常运维提供参考。

参与15

3 同行回答

朱向东 朱向东 课题专家组 高级工程师 某银行
简单说一下容器应用及数据安全的几种方法:限制访问权限:通过限制容器的访问权限,例如限制容器的网络和文件系统访问能力,可以减少攻击者的攻击面。安全更新:及时升级容器镜像和应用程序,修复软件漏洞和安全问题,以保证容器环境的安全性。加密敏感数据:将敏感数据加密存储在容器中...显示全部

简单说一下容器应用及数据安全的几种方法:

  1. 限制访问权限:通过限制容器的访问权限,例如限制容器的网络和文件系统访问能力,可以减少攻击者的攻击面。
  2. 安全更新:及时升级容器镜像和应用程序,修复软件漏洞和安全问题,以保证容器环境的安全性。
  3. 加密敏感数据:将敏感数据加密存储在容器中,避免数据泄露。
  4. 容器隔离:使用容器技术隔离应用程序和环境,防止应用程序之间的相互影响和攻击。
  5. 监控和日志:对容器环境进行监控和日志记录,及时发现异常和攻击事件,保证容器环境的安全性。
  6. 访问控制:使用访问控制技术,限制用户对容器环境的访问权限,以保证容器环境的安全性。

针对金融行业的合规性要求高和安全要求复杂的情况,容器运维过程中需要采用比较全面的安全管理模式,包括基础层安全、容器安全、应用安全及镜像安全等方面。

  1. 基础层安全:在容器宿主机上,采取硬件和软件的多重安全措施,包括完善的访问控制、防火墙、加密等技术,保证宿主机的安全性。
  2. 容器安全:在容器层面,采取容器隔离技术,限制容器的访问权限和资源使用,避免容器之间的相互影响和攻击。
  3. 应用安全:在应用层面,采取应用程序安全策略,包括访问控制、数据加密、审计等技术,保证应用程序的安全性。
  4. 镜像安全:在镜像层面,采取镜像验证、镜像签名、镜像扫描等技术,保证镜像的合法性和安全性。
    以上四种安全管理模式相互结合,基本可以构成一个完整的容器安全管理体系,保证金融行业容器运维过程中的安全性和合规性。
收起
银行 · 2023-04-07
浏览715
maokai maokai 联盟成员 容器云工程师 某股份制银行
一般需要第三方安全厂商提供支持,通过定期扫描容器运行态、镜像文件,定期生产容器类漏洞扫描结果,并按照漏洞类型分类至开发部门或者容器平台处理。显示全部

一般需要第三方安全厂商提供支持,通过定期扫描容器运行态、镜像文件,定期生产容器类漏洞扫描结果,并按照漏洞类型分类至开发部门或者容器平台处理。

收起
银行 · 2023-04-17
浏览590
zhuhaiqiang 邀答
waring_id waring_id 技术经理 某公司
1.安全防护能力自查团队是否具备能在流水线前期甚至构建阶段消除重大漏洞(具有可用修补程序)的相关流程团队对正在部署的 Kubernetes Pod 是否具有可见性?例如,是否了解应用程序 Pod 或集群之间如何通信?团队能否从容器间的东西流向流量中检测出恶意行为?团队能否确定每个 Pod ...显示全部

1.安全防护能力自查

  • 团队是否具备能在流水线前期甚至构建阶段消除重大漏洞(具有可用修补程序)的相关流程
  • 团队对正在部署的 Kubernetes Pod 是否具有可见性?例如,是否了解应用程序 Pod 或集群之间如何通信?
  • 团队能否从容器间的东西流向流量中检测出恶意行为?
  • 团队能否确定每个 Pod 的行为正常与否?
  • 当内部服务 Pod 或容器开始在内部扫描端口或尝试随机连接外部网络时,团队如何接收警报?
  • 团队如何确定攻击者是否已经在容器、Pod 或主机中找到了切入点?
  • 团队能否像对于非容器化部署一样全面查看和检查网络连接?例如 7 层网络。
  • 如果面临潜在攻击,团队能否监控 Pod 或容器内部的活动情况?
  • 团队是否曾通过检查 Kubernetes 集群的访问权限来确定潜在的内部攻击载体?
  • 团队是否拥有锁定 Kubernetes 服务、访问控制(RBAC)和容器主机的检查清单?
  • 如果具备合规策略,如何在运行时执行以确保合规性?例如,确保内部 Pod 通信加密,当 Pod 未使用加密通道时团队如何得知?
  • 在对应用程序通信进行故障排除或记录取证数据时,如何定位相关 Pod 并抓取日志?团队如何抓取原始流量,并在其消失前进行快速分析。

2.运行时 Kubernetes 安全防护检查清单

2.1.CI/CD 生产线

  • 在构建阶段扫描镜像,放弃/退回存在重大漏洞(具有可用修补程序)或违反合规性的镜像
  • 持续扫描注册表中已批准的镜像,在发现新的漏洞时发出警告
  • 扫描镜像是否存在违反 CIS 基准合规性以及内嵌机密、以 root 身份运行、文件许可等其它安全性问题
  • 执行声明式安全即代码实践,让开发者/或 DevOps 团队创建或审查各自应用程序负载允许的(列入白名单的)应用程序行为

2.2. DevOps 和安全团队的生产前检查清单

  • 使用命名空间
  • 限制 Linux 功能
  • 启用 SELinux
  • 采用 Seccomp
  • 配置 Cgroups
  • 使用 R/O 装载
  • 使用最小化的主机操作系统
  • 更新系统补丁
  • 通过 CIS 基准测试执行安全性审查和合规性检查

2.3.运营和安全防护团队的运行时检查清单

  • 使用准入控制策略阻止未经授权和存在漏洞的部署
  • 使用网络分段和命名空间,按应用程序/服务执行隔离
  • 检查网络连接中的应用程序攻击
  • 监控容器中可疑的进程或文件系统活动
  • 保护工作节点,防御权限升级、可疑进程或文件系统活动攻击
  • 安全防护事件抓包
  • 隔离或修复被入侵的容器
  • 对安全性事件发出警报,并进行记录和响应
  • 通过 CIS 基准执行安全性审核和合规性检查

2.4.Kubernetes 系统保护

  • 检查所有的 RBAC
  • 保护 API 服务器
  • 限制 Kubelet 权限
  • 保护外部端口
  • 为无需身份验证的服务建立白名单
  • 限制控制台访问权限
  • 监控生产中系统容器连接和进程
  • 运行 Kubernetes CIS 基准审查配置
  • 及时更新编排工具版本,修复重大漏洞

3.开源 Kubernetes 安全防护工具

  • 网络策略 。Kubernetes 网络安全防护策略提供自动化三/四层网络(基于 IP 地址/端口)分段。Calico 等网络策略的执行需要借助于网络插件。
  • 服务网格/istio 。Istio 是一种用于管理路由、身份验证、授权和加密等服务间通讯的服务网格。提供一种可靠的服务路由管理框架。
  • Grafeas 。Grafeas 是一种可以为现代软件供应链定义统一审核和管理方式的工具,并可通过集成到第三方工具来追踪和执行策略。Grafeas 可以用于管理 CI/CD 生产线,但不适合管理运行时安全防护策略。
  • Clair 。Clair 是一款简单的镜像漏洞扫描工具,但不提供注册表集成和工作流程相关支持。
  • Kubernetes CIS 基准 。Kubernetes 安全防护 CIS 基准提供超过 100 种合规性和审计检查。
  • 开放策略代理(OPA) 。OPA 提供了管理和执行安全防护策略的框架,它支持使用一种特殊的查询语言来管理整个企业种各项不同的安全策略,并且仅有少量任务通过 Kubernetes 准入控制执行。
收起
零售/批发 · 2023-04-12
浏览646

ChatGPT 回答

在保险行业中,数据安全和合规性要求非常高,因此在容器运维过程中需要采取全面的安全管理模式。以下是一些基础层安全、容器安全、应用安全及镜像安全的建议:

  1. 基础层安全:保证基础设施的安全性是容器安全的基础。建议采用安全加固的操作系统镜像,限制容器的权限,使用网络隔离等措施保证基础设施的安全。
  2. 容器安全:容器安全包括容器的安全配置和运行时的安全监控。建议采用容器安全加固工具,如Docker Bench Security、Kube-bench等,对容器进行安全加固和漏洞扫描。同时,建议采用容器安全监控工具,如Sysdig、Falco等,对容器运行时进行安全监控和异常检测。
  3. 应用安全:应用安全包括应用代码的安全性和应用运行时的安全监控。建议采用代码扫描工具,如SonarQube、Checkmarx等,对应用代码进行安全扫描和漏洞检测。同时,建议采用应用安全监控工具,如AppArmor、Seccomp等,对应用运行时进行安全监控和异常检测。
  4. 镜像安全:镜像安全包括镜像的安全性和镜像的来源可信性。建议采用镜像安全扫描工具,如Harbor、Clair等,对镜像进行安全扫描和漏洞检测。同时,建议采用镜像源可信度检测工具,如Notary、TUF等,对镜像来源进行可信度检测。

以上是一些基础层安全、容器安全、应用安全及镜像安全的建议,可以为容器云搭建或者容器日常运维提供参考。同时,建议定期对容器安全进行评估和漏洞修复,保证容器的安全性和合规性。

提问者

侯守立
系统运维工程师 某保险公司
擅长领域: 数据库存储服务器
评论26

问题来自

相关问题

相关资料

相关文章

问题状态

  • 发布时间:2023-04-03
  • 关注会员:4 人
  • 问题浏览:1364
  • 最近回答:2023-04-17
  • X社区推广