Docker容器安全加固

概述

Docker 容器技术的广泛采用改变了应用的部署方式，但也引入了新的安全挑战。容器共享宿主机内核的特性意味着容器逃逸可能导致整个宿主机被攻陷，而镜像供应链中的安全风险可能将漏洞带入生产环境。容器安全加固需要从镜像构建、容器运行、网络配置和编排管理四个阶段进行全面防护。

容器安全与传统虚拟机安全有本质区别：容器的隔离性弱于虚拟机（共享内核而非独立内核），攻击面包括容器运行时、内核系统调用和共享资源。因此，容器环境需要更加细致的安全配置和持续的安全监控。

本文将介绍 Docker 容器在各阶段的安全加固措施，帮助开发和运维团队构建安全的容器化部署环境。

核心概念

镜像安全

使用可信基础镜像：优先选择官方镜像或经过验证的镜像源（如 Docker Official Images、认证镜像）。避免使用来历不明的镜像，它们可能包含后门或恶意代码。使用镜像的特定版本标签（如 nginx:1.24.0）而非 latest 标签，确保部署的一致性和可追溯性。

镜像漏洞扫描：使用 Trivy、Clair 或 Snyk 等工具在 CI/CD 流水线中扫描镜像漏洞。扫描应覆盖基础镜像的 OS 包漏洞和应用依赖库漏洞。设置漏洞严重等级阈值（如仅阻止 Critical 和 High 级别漏洞的部署）。

镜像签名与验证：使用 Docker Content Trust（DCT）或 Notary 对镜像进行签名，确保镜像在传输过程中未被篡改。部署时启用镜像签名验证，只允许部署已签名的可信镜像。

最小化镜像：使用多阶段构建（multi-stage build）减小镜像体积，只包含运行应用必需的组件。使用 Alpine Linux 或 Distroless 等最小基础镜像。镜像中不包含编译工具、调试工具和不必要的 shell，减少潜在的攻击工具。

容器运行时安全

非 root 用户运行：在 Dockerfile 中使用 USER 指令指定非 root 用户运行应用。避免在容器中以 root 身份运行进程，即使容器被攻破，攻击者也只有普通用户权限。示例：RUN adduser --disabled-password appuser && USER appuser。

只读文件系统：使用 --read-only 标志将容器的根文件系统设置为只读。对于需要写入的目录，使用 tmpfs 挂载或命名卷（volume）。这可以防止攻击者在容器中写入恶意文件或修改应用配置。

删除 Linux Capabilities：默认 Docker 赋予容器一组 Linux Capabilities，应通过 --cap-drop=ALL 删除所有 Capabilities，再按需添加必需的。例如：docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE。禁止赋予容器 SYS_ADMIN、SYS_PTRACE 等高危 Capabilities。

启用安全模块：启用 AppArmor 或 SELinux 安全模块对容器进行强制访问控制。Docker 默认使用 Docker 默认的 AppArmor 配置文件，可以通过自定义配置文件进一步限制容器的系统调用和文件访问。

资源限制

CPU 和内存限制：使用 --memory 和 --cpus 参数限制容器的资源使用，防止单个容器耗尽宿主机资源。示例：docker run --memory=512m --cpus=1.0。设置 --memory-swap 限制交换内存使用。

PID 限制：使用 --pids-limit 限制容器中的进程数量，防止 fork 炸弹攻击。示例：--pids-limit=100。

磁盘 I/O 限制：使用 --device-read-bps 和 --device-write-bps 限制容器的磁盘 I/O 带宽，防止单个容器的 I/O 操作影响其他容器和宿主机的性能。

Ulimits 配置：限制容器可以使用的系统资源，如文件描述符数量、进程数量等。在 Docker daemon 配置或容器启动参数中设置合理的 ulimits 值。

Docker Daemon安全

Docker Daemon 以 root 权限运行，是容器安全的关键控制点。保护 Daemon Socket：不要将 Docker Daemon 的 TCP Socket（2375/2376端口）暴露在网络上。如需远程访问，使用 TLS 证书认证并限制访问来源。

启用用户命名空间：在 Docker daemon 配置中启用 userns-remap，将容器中的 root 用户映射到宿主机上的非 root 用户，即使容器逃逸也无法获得宿主机的 root 权限。

禁用 inter-container 通信（按需）：使用 --icc=false 默认禁止同一宿主机上的容器之间通信，需要通信的容器通过显式的 Docker 网络连接。这可以限制攻击者在容器间横向移动。

限制容器获取新权限：使用 --security-opt=no-new-privileges 防止容器内的进程通过 setuid 或 setgid 提升权限。

网络安全策略

使用自定义网络：不使用默认的 bridge 网络，创建自定义的 bridge 网络隔离不同应用的容器。通过 Docker 网络实现容器间的网络隔离和访问控制。

Kubernetes 网络策略：在 Kubernetes 环境中使用 NetworkPolicy 资源定义网络访问控制规则，限制 Pod 之间的通信。仅允许必要的网络连接，阻断未授权的横向通信。

实战要点

• CI/CD集成安全检查：在 CI/CD 流水线中集成镜像漏洞扫描、Dockerfile 安全检查（如 Hadolint）和配置合规检查，在部署前发现和修复安全问题。
• 运行时监控：部署容器运行时安全工具（如 Falco）监控容器内的异常行为，如异常的系统调用、文件系统变更、网络连接等，实现入侵检测。
• 定期更新基础镜像：建立基础镜像的定期更新机制，及时修复基础镜像中的已知漏洞。使用 Dependabot 或类似工具自动检测和更新依赖。
• 日志集中管理：将容器日志通过 Docker 日志驱动发送到集中的日志管理平台（如 ELK），实现日志的统一收集、存储和分析。
• Secret管理：不要在镜像或环境变量中硬编码密钥和密码。使用 Docker Secrets（Swarm 模式）或 Kubernetes Secrets 管理敏感信息，通过 volume 挂载或 init container 注入到容器中。

总结

Docker 容器安全加固需要贯穿镜像构建、部署运行和网络管理的全生命周期。通过使用可信镜像、最小权限运行、资源限制和网络隔离等措施，可以显著提升容器环境的安全性。容器安全是 DevSecOps 的重要组成部分，应与 CI/CD 流水线深度集成，实现安全左移。