云原生安全的第一步-镜像安全

发布时间：

2021-10-26 09:02

前言

讨论云原生安全，大家首先会想到容器镜像安全。虽然传统安全领域没有这个概念，但在云原生安全领域，容器镜像的安全首当其冲，也是规划与建设的第一步。

传统的主机在发现漏洞后，可以通过打补丁的方式进行修复，因此也被称为“可变基础设施”或“动态基础设施”。而在云原生技术栈中，作为镜像的运行态副本，容器内的所有修改都不会保存到镜像。因此当容器重启或弹性扩容时，新生成的容器仍然是与镜像保持一致。这也就是所谓的“不可变基础设施”。

不可变基础设施带来了一系列收益，例如更高的一致性和可靠性，以及更简单，更可预测的部署过程，也能缓解和防止配置漂移和“雪花服务器”等问题。同时也引入了安全运营时处置方法的差异。因为基于安全的镜像生成的容器是安全的，基于不安全的镜像生成的容器仍然是不安全的。所以在云原生领域，如果发现了容器的安全风险，第一反应就是修复镜像。

容器镜像

镜像是一个特殊的文件系统，通常包含了容器运行时所需的程序，库，资源，配置等，还可能包含一些为运行时准备的一些配置参数，但不包含任何动态数据。每一个容器运行时，是以镜像为基础层，在其上创建一个当前容器的可读写层，如下图所示。所以镜像可以描述为一堆只读层的统一视角。

安全扫描

由于这种分层的存储形态，使得传统漏洞扫描产品无法支持，而必须采用专门的镜像扫描工具或产品，例如开源项目 Clair、Trivy便是其中的佼佼者。小佑科技也早在2019年便推出了自己的镜像扫描功能，以企业安全运营为设计要求，包含更多功能，也更贴合安全运营场景。

漏洞扫描

我们在之前文章也介绍过，调查发现Dockerhub中的超过50%的官方镜像存在高危漏洞，接近70%的镜像存在高危或中危漏洞。

小佑科技自研的Poseidon（波塞冬）引擎能够支持CVE和各类基础操作系统的镜像（包括但不限于Debian、Ubuntu、RHEL、CentOS、Alpine、Oracle Linux、Photon Linux、SUSE等）外，还能够支持中文漏洞库CNNVD和各类国产化操作系统（例如麒麟、欧拉）的镜像。除了操作系统，小佑也支持各类第三方组件的扫描，例如各种应用框架。事实上，经常利用的第三方组件，往往也是攻击者最喜欢的。

小佑科技还采用了更为优秀的算法策略，保证漏扫结果的准确性。另外，针对每一个镜像，我们提供可执行的修复建议，而不是参考链接，减少用户的修复成本。

恶意软件

在容器云环境中，病毒木马种类和数量相对于Windows办公环境有较大差异，但仍然可能存在一些挖矿病毒或各种Webshell。因此镜像扫描不应只是做漏洞扫描，还应支持对恶意软件进行查杀。小佑科技通过多引擎的方式来满足用户需求，即传统杀毒引擎负责病毒、木马、黑客工具等，自研的Apollo（阿波罗）引擎则更侧重Webshell的查杀。