江国龙-安全左移：基于DevSecOps实现容器镜像的安全运营

容器镜像安全：能力建设与运营实践

容器镜像的基本原理

• 容器镜像是由按层封装好的文件系统和描述镜像的元数据构成的文件系统包，包含应用所需的系统、环境、配置和应用本身。
• 容器镜像通过分层存储写时复制联合挂载技术实现，并通过 docker build 和 docker commit 等命令创建。
• 镜像存储在镜像仓库中，基于镜像间的依赖关系形成“森林”存储结构，并通过 docker push 推送至仓库。

镜像安全的需求与挑战

• 容器镜像安全是云原生架构下的重要安全风险来源，当前现状不容乐观：
  • 87%的镜像包含严重或高危漏洞（如Log4shell）
  • 71%的镜像存在可修复漏洞
  • 15%的严重或高危漏洞存在于正在运行的容器中
• 容器镜像风险分类：
  • 镜像供应链风险：镜像被恶意投毒（如挖矿、病毒、木马）
  • 镜像自身脆弱性：漏洞、合规、隐私问题
• 针对镜像供应链的攻击传播快、影响范围广，恶意镜像多以机器学习、编程语言和基础应用环境的基础镜像为主。
• 针对镜像的在野攻击示例：2021年Codecov因Docker文件配置失误导致凭据泄露。

安全能力建设与运营实践

镜像安全运营的困惑

• 如何处置镜像安全问题
• 大量镜像（几十万、上百万）是否需要逐个扫描分析
• 扫描出的风险是否都需要处理
• 如何下手和进行运营

镜像安全治理的实现路径

工具是基础

• 镜像扫描的安全能力构建：
  • 威胁情报（漏洞库、病毒木马库等）
  • 获取镜像信息（缓存、仓库集成）
  • 分析镜像（分布式计算、镜像组成、风险匹配）
  • 结果展现（风险聚合、风险定位、镜像依赖分析）

框架是前提

• 镜像安全治理总体思路：分批、分步收敛已存在的风险
• 面向DevSecOps的容器镜像安全治理框架：
  • 分阶段实现安全保障（构建阶段、存储阶段、运行阶段）
  • 各阶段间做好镜像安全控制，确保高风险镜像不流入下游

制度是保障

• 确保框架内各项措施高质量落地

具体实践措施

• 镜像构建阶段：
  • 使用黄金镜像作为基础镜像（已过安全评估，解决已知风险）
  • 黄金镜像指标：Dockerfile安全要求（最小化安装、修复漏洞、最小化权限、无恶意文件、无敏感信息）
  • 构建要求：使用指定版本基础镜像、不安装不必要的软件包、最小化层数、避免root用户启动
• 镜像存储阶段：
  • 镜像小、层数少、风险少
• 镜像运行时阶段：
  • 准入控制：仅允许符合安全要求的镜像运行
  • Yaml文件安全要求：不使用特权创建容器、不使用CAP_SYS_ADMIN、不将Secrets作为环境变量、不共享主机的IPC/网络命名空间等

存量镜像治理

• 挑战：如何处理大量存量镜像
• 治理方法：
  • 查漏补缺：
    • 评估业务敏感性、镜像拉取情况、运行容器数量、影响业务范围
  • 风险定位：
    • 风险层级定位、风险等级划分、识别基础镜像
  • 修复：
    • 修复业务镜像风险

总结展望

• 镜像安全是云原生架构下实现DevSecOps的重要环节
• 安全能力是基础前提，需确保高效准确
• 云原生安全任重道远