前言

软件应用几乎都存在潜在漏洞，Docker 也不例外。Docker 容器技术在提供高效、可移植的部署环境的同时，也带来了不可忽视的安全挑战。黑客的攻击手段层出不穷，企业需要采取相应的防护措施，才能在享受容器化便利的同时保障系统安全。

主要安全问题与防护

1. 容器间局域网攻击

容器可以构成局域网，面临 ARP 欺骗、嗅探、广播风暴等攻击。

防护方案：使用用户自定义网络代替默认桥接网络，实现容器间的网络隔离：

docker network create --driver bridge mynetwork

自定义网络中，容器只能与同一网络内的容器通信，大幅减少横向移动攻击面。

2. DDoS 攻击导致资源耗尽

攻击者可通过大量请求耗尽容器所在宿主机的 CPU、内存资源，导致服务不可用。

防护方案：使用 Cgroups 安全机制，限制单个容器的资源分配：

docker run -d \
  --memory="256m" \
  --memory-swap="256m" \
  --cpus="1" \
  --pids-limit=100 \
  myapp

上述配置限制容器内存为 256MB、禁用 swap、CPU 限制为 1 核、最大进程数为 100。

3. 有漏洞的系统调用

Docker 与宿主机共用操作系统内核。若内核存在漏洞，容器内的攻击者可利用内核漏洞实现越权或提权。

典型案例：CVE-2016-5195（脏牛提权漏洞），攻击者可通过普通容器进程提权为宿主机 root。

防护方案：

  • 及时更新内核版本，修复已知漏洞
  • 使用 Seccomp 策略限制容器可使用的系统调用
  • 使用 AppArmor/SELinux 进行强制访问控制

4. 共享 root 用户权限

以 root 运行容器并使用 --privileged 标志，容器将获得几乎所有宿主机权限：

# 危险做法，请避免
docker run -it --rm --name mycontainer --privileged ubuntu /bin/bash

--privileged 标志使容器获得挂载文件系统、操作网络设备、访问宿主机设备等高危权限。

防护方案：

  • 以非 root 用户运行容器，在 Dockerfile 中使用 USER 指令
  • 严禁在生产环境使用 --privileged 模式
  • 按需使用 --cap-add 仅添加必要的 Linux capabilities

Docker Hub 相关风险

1. 恶意镜像

黑客可上传包含木马、后门的镜像至公共仓库，诱导用户下载使用。

防护方案：

  • 优先使用官方镜像（Official Image）
  • 部署私有镜像仓库（如 Harbor），禁止直接从公网拉取未经审核的镜像

2. 镜像中的已知漏洞

从 Docker Hub 下载的镜像可能包含已知漏洞，例如 docker pull nginx:1.17 中可能存在 OpenSSL 高危漏洞。

防护方案：使用 Trivy 等工具对镜像进行安全扫描：

trivy image nginx:1.17

3. 中间人攻击

镜像在传输过程中可能被篡改，导致拉取到被植入恶意代码的镜像。

防护方案：启用内容信任和签名机制（Docker Content Trust）：

docker build --disable-content-trust=false -t myorg/hello:v1 .
docker push --disable-content-trust=false myorg/hello:v1
docker pull --disable-content-trust=false myorg/hello:v1

安全基线标准

Docker Daemon 配置

  • 使用最新稳定版本
  • 禁用特权模式
  • 限制暴露的端口，避免将 Docker API 暴露至公网

镜像管理

  • 使用官方或可信镜像源
  • 定期扫描镜像漏洞
  • 使用最小化基础镜像（如 Alpine、Distroless）

网络管理

  • 使用内置网络隔离功能
  • 避免将容器端口直接暴露至公网
  • 使用反向代理（如 Nginx）统一管理对外访问

资源限制

  • 限制容器权限和资源使用
  • 使用只读文件系统（--read-only）

存储安全

  • 严格控制数据卷访问权限
  • 定期备份持久化数据
  • 对敏感数据使用加密技术

用户身份验证

  • 最小权限原则：只授予容器完成任务所需的最低权限
  • 强密码策略
  • 必要时启用多因素认证（MFA）
  • 定期审计权限配置

总结

Docker 安全是一个持续的过程，需要综合考虑镜像构建、容器配置、运行时环境和持续监控等多个方面。通过建立完善的安全基线、定期扫描漏洞、强化网络隔离和权限控制，可以显著降低容器化环境的安全风险，构建更加可靠的生产环境。