CN113221103B

CN113221103B - 一种容器安全防护方法、***及介质

Info

Publication number: CN113221103B
Application number: CN202110501670.1A
Authority: CN
Inventors: 刘娜
Original assignee: Shandong Yingxin Computer Technology Co Ltd
Current assignee: Shandong Yingxin Computer Technology Co Ltd
Priority date: 2021-05-08
Filing date: 2021-05-08
Publication date: 2022-09-20
Anticipated expiration: 2041-05-08
Also published as: CN113221103A

Abstract

本发明公开了一种容器安全防护方法、***及介质，所述容器安全防护方法包括以下步骤：配置第一启动参数和特权检测程序，配置第一用户信息集和提权检测程序；获取对于容器的启动指令，基于启动指令、第一启动参数和特权检测程序执行特权逃逸检测操作，得到第一检测结果，基于第一检测结果控制容器的启动；获取容器的启动状态，基于启动状态、第一用户信息集和提权检测程序执行提权逃逸检测操作，得到第二检测结果，基于第二检测结果控制容器的请求；本发明能够在容器共享操作***内核的情况下，设置对于容器中多种权限状态的容器防护措施，有效防止了对于容器的恶意入侵和多种入侵逃逸行为，极大的提高了容器了安全性，减少了安全隐患。

Description

一种容器安全防护方法、***及介质

技术领域

本发明涉及云平台安全维护技术领域，特别是涉及一种容器安全防护方法、***及介质。

背景技术

随着科技的快速发展，云平台被大多服务器所应用，目前云平台的搭建为了考虑轻便的配置方式，经常以容器作为底层的技术支撑，而容器本身的架构设计，使其不具有自身的操作***内核，且会与服务器中的用户文件管理层产生连接；这将使容器的操作环境与服务器的操作***内核相关联，故从***安全的角度考虑，该平台下搭建的所有容器均对于服务器的操作***内核呈共享状态，而对于上述容器和服务器***的安全防护措施只有对于所述用户文件管理层的访问权限，这种方法保护面单一，安全性极低，同时会产生很大的安全隐患。

发明内容

本发明主要解决的是现有容器防护方法保护面单一，安全性极低，安全隐患较大的问题。

为解决上述技术问题，本发明采用的一个技术方案是：提供一种容器安全防护方法，包括以下步骤：

配置第一启动参数和特权检测程序，配置第一用户信息集和提权检测程序；

获取对于容器的启动指令，基于所述启动指令、所述第一启动参数和所述特权检测程序执行特权逃逸检测操作，得到第一检测结果，基于所述第一检测结果控制所述容器的启动；

获取所述容器的启动状态，基于所述启动状态、所述第一用户信息集和所述提权检测程序执行提权逃逸检测操作，得到第二检测结果，基于所述第二检测结果控制所述容器的请求。

作为一种改进的方案，所述配置第一用户信息集的步骤进一步包括：

访问开源知识库，获取所述开源知识库中与所述容器对应的威胁信息，提取所述威胁信息所对应的第一威胁用户信息；

访问所述容器的日志文件，获取所述日志文件中的入侵信息，提取所述入侵信息所对应的第一入侵用户信息；

整合所述第一威胁用户信息和所述第一入侵用户信息，得到所述第一用户信息集。

作为一种改进的方案，所述特权逃逸检测操作包括：

调用所述特权检测程序访问所述容器的镜像文件，判断所述镜像文件中是否含有与所述第一启动参数所对应的启动数据；

若含有，则输出所述第一检测结果为容器启动项配置异常；

若未含有，则调用所述特权检测程序访问所述容器的启动项参数，基于所述启动项参数和所述第一启动参数执行后备检测操作。

作为一种改进的方案，所述后备检测操作包括：

比对所述启动项参数中是否含有与所述第一启动参数匹配的参数；

若含有，则输出所述第一检测结果为所述容器启动项配置异常；

若未含有，则输出所述第一检测结果为容器启动项配置正常。

作为一种改进的方案，所述基于所述第一检测结果控制所述容器的启动的步骤进一步包括：

当所述第一检测结果为所述容器启动项配置异常时，停止所述容器的启动；

当所述第一检测结果为所述容器启动项配置正常时，继续所述容器的启动。

作为一种改进的方案，所述基于所述启动状态、所述第一用户信息集和所述提权检测程序执行提权逃逸检测操作的步骤进一步包括：

当所述启动状态为所述容器被触发启动时，基于所述第一用户信息集和所述提权检测程序执行所述提权逃逸检测操作。

作为一种改进的方案，所述提权逃逸检测操作包括：

调用所述提权检测程序获取所述容器对于操作***目录的访问请求，并识别所述访问请求所对应的第二用户信息；

判断所述第二用户信息中是否存在与所述第一威胁用户信息或所述第一入侵用户信息对应的用户信息；

若存在，则输出所述第二检测结果为操作用户异常；若不存在，则输出所述第二检测结果为操作用户正常。

作为一种改进的方案，所述基于所述第二检测结果控制所述容器的请求的步骤进一步包括：

当所述第二检测结果为所述操作用户异常时，驳回所述访问请求；

当所述第二检测结果为所述操作用户正常时，允许所述访问请求。

本发明还提供一种容器安全防护***，包括：

初始化模块、特权检测模块和提权检测模块；

所述初始化模块用于配置第一启动参数和特权检测程序，并配置第一用户信息集和提权检测程序；

所述特权检测模块用于获取对于容器的启动指令，并基于所述启动指令、所述第一启动参数和所述特权检测程序执行特权逃逸检测操作，得到第一检测结果，所述特权检测模块基于所述第一检测结果控制所述容器的启动；

所述提权检测模块用于获取所述容器的启动状态，并基于所述启动状态、所述第一用户信息集和所述提权检测程序执行提权逃逸检测操作，得到第二检测结果，所述提权检测模块基于所述第二检测结果控制所述容器的请求。

本发明还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现所述容器安全防护方法的步骤。

本发明的有益效果是：

1、本发明所述的容器安全防护方法，可以实现在容器共享操作***内核的情况下，设置对于容器中多种权限状态的容器防护措施，对容器的启动前和启动后进行了全方位防护，有效防止了对于容器的恶意入侵和多种入侵逃逸行为，极大的提高了容器了安全性，减少了安全隐患，弥补了现有技术的不足。

2、本发明所述的容器安全防护***，可以通过初始化模块、特权检测模块和提权检测模块的相互配合，进而实现在容器共享操作***内核的情况下，设置对于容器中多种权限状态的容器防护措施，对容器的启动前和启动后进行了全方位防护，有效防止了对于容器的恶意入侵和多种入侵逃逸行为，极大的提高了容器了安全性，减少了安全隐患，弥补了现有技术的不足。

3、本发明所述的计算机可读存储介质，可以实现引导初始化模块、特权检测模块和提权检测模块进行配合，进而实现在容器共享操作***内核的情况下，设置对于容器中多种权限状态的容器防护措施，对容器的启动前和启动后进行了全方位防护，有效防止了对于容器的恶意入侵和多种入侵逃逸行为，极大的提高了容器了安全性，减少了安全隐患，弥补了现有技术的不足，且有效的提升了所述容器安全防护方法的可操作性。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例1所述容器安全防护方法的流程图；

图2是本发明实施例1所述容器安全防护方法的具体流程示意图；

图3是本发明实施例1所述现有技术中容器所在服务器的底层架构图；

图4是本发明实施例2所述容器安全防护***的架构图。

具体实施方式

下面结合附图对本发明的较佳实施例进行详细阐述，以使本发明的优点和特征能更易于被本领域技术人员理解，从而对本发明的保护范围做出更为清楚明确的界定。

在本发明的描述中，需要说明的是，本发明所描述的实施例是本发明一部分实施例，而不是全部的实施例；基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“启动参数”、“特权检测程序”、“启动时间点”、“特权逃逸检测操作”、“用户信息集”、“提权检测程序”、“启动状态”、“提权逃逸检测操作”、“配置时间段”、“镜像文件”、“启动数据”、“后备检测操作”、“开源知识库”、“威胁信息”、“威胁用户信息”、“入侵信息”、“入侵用户信息”、“操作***目录”、“特权检测模块”、“提权检测模块”、“初始化模块”应做广义理解。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

在本发明的描述中，需要说明的是：

IP是身份地址；ID是身份识别码；CIS是开源知识库；Java是一种编程语言；Linux是一种操作***；kernel是实时操作***；python是一种编程语言；KVM/vmware/Xen是一种虚拟机技术。

实施例1

本实施例提供一种容器安全防护方法，如图1至图3所示，包括以下步骤：

首先，需要说明的是，本实施例所描述的方法应用于Linux***中，对于Linux***中云平台的搭建有两种方法，一种是通过传统的虚拟化技术：KVM/vmware/Xen模拟物理设备，进而搭建独立的运行环境；另一种是通过容器技术作为底层技术，搭建相对独立的运行环境；该相对独立的运行环境较传统技术搭建的运行环境安全性较差，主要原因是容器虽然达到了轻便敏捷的特性，但容器一般为多个，且与服务器中主操作***内核层kernel相关联，唯一的安全防线是其与用户文件管理层的隔离权限，防护手段较为单一；对应的，一旦任一容器上出现入侵病毒或突破了隔离权限，则可以直接对操作***内核进行访问，一旦篡改了kernel内容，则整个***、服务器和容器都会受到极大的影响；对应的，考虑到该隔离权限的突破主要有两种方式：特权逃逸和提权逃逸，本实施例所描述的方法对于这两种逃逸方式进行了处理，针对上述问题进行了解决，步骤如下：

S100、配置第一启动参数和特权检测程序，配置第一用户信息集和提权检测程序；

步骤S100具体包括：

具体的，特权逃逸通常会在容器配置时进行操作，且通常为个人操作，其具体行为是在容器的镜像文件中设定独立且固话的特权启动参数，在配置后，对于用户文件管理层的访问权限不再默认，将可以使参数指定的访问程序对管理层进行访问；

具体的，故考虑在容器启动时对特权逃逸行为进行防护，故进行第一启动参数和特权检测程序的配置，具体的，第一启动参数为领域内对于底层容器技术通常会使用的特权配置参数，在本实施例中特权配置参数为privileged；特权检测程序为通过Java或python所编写的检测程序，该检测程序中配置有与上述第一启动参数对应的筛选判断逻辑；

具体的，提权逃逸行为一般为恶意程序进行主使操作，其具体操作为将原本容器的用户访问权限提升至可以对操作***内核进行操作的权限；例如改写runc容器逃逸或docker-cp容器逃逸等；

具体的，故考虑从源头对启动后容器中的提权逃逸行为进行杜绝，故需要在容器启动时就开启一道用户权限关卡；故配置第一用户信息集和提权检测程序；需要说明的是，提权检测程序包括但不限于检测程序、筛选程序或防护工具容器；提权检测程序分别配置于每个底层容器中；

具体的，访问开源机构的开源知识库，例如CIS等，该开源知识库中包含各个企业机构所上报的对于其虚拟云平台的威胁信息，故获取开源知识库中与该容器对应的威胁信息，提取该威胁信息中所对应的第一威胁用户信息；该第一威胁用户信息为该威胁信息所对应的主使用户的具体信息，包括ID、常用IP、域名等；

具体的，为了提高安全性，还需要访问容器的日志文件，并获取日志文件中的入侵信息，该入侵信息为容器内部对于之前的权限逃逸或恶意入侵操作的具体数据；提取入侵信息所对应的第一入侵用户信息；该第一入侵用户信息与第一威胁用户信息类似，同样为该入侵信息的主使用户的ID、常用IP、域名等；

具体的，得到上述信息后，整合该第一威胁用户信息和第一入侵用户信息，得到第一用户信息集，该第一用户信息集为对应的访问黑名单，对应的使用该黑名单对允许访问的用户进行筛选，便实现了白名单用户筛选逻辑，对应的该白名单用户筛选逻辑存在于提权检测程序中。

S200、获取对于容器的启动指令，基于所述启动指令、所述第一启动参数和所述特权检测程序执行特权逃逸检测操作，得到第一检测结果，基于所述第一检测结果控制所述容器的启动。

步骤S200具体包括：

S210、通常情况下，容器为了本身的防护安全，不会进行特权的配置，一般为人为操作，且属于异常操作，故需要在容器启动前，进行对应的防护措施：当收到启动指令时，基于第一启动参数和特权检测程序执行特权逃逸检测操作；

S220、特权逃逸检测操作包括：调用特权检测程序访问容器的镜像文件，该检测程序判断镜像文件中是否含有与第一启动参数所对应的启动数据；若含有，则判断容器中含有特权配置逻辑，故输出第一检测结果为容器启动项配置异常；若未含有，则考虑到特权配置在启动项中进行了深层嵌入，故调用特权检测程序访问容器的启动项参数，并基于启动项参数和第一启动参数执行后备检测操作；

S221、后备检测操作包括：比对启动项参数中是否含有与第一启动参数匹配的参数；对应的，在本实施例中，若检测到启动项参数中含有privil eged，则判断启动项参数中含有与第一启动参数匹配的参数；若含有，则输出第一检测结果为容器启动项配置异常；若未含有，则输出第一检测结果为容器启动项配置正常；

S230、当第一检测结果为容器启动项配置异常时，判断容器存在安全隐患，返回容器异常状态，操作***会根据该状态返回信息，终止容器的一切启动过程；

S240、当第一检测结果为容器启动项配置正常时，判断容器不存在安全隐患，返回容器正常状态，操作***会根据该状态返回信息，继续所述容器的启动过程；

通过此步骤，对于特权逃逸行为进行了深层次的检测，输出了对应的检测结果，并根据检测结果执行对应的防护措施。

S300、获取所述容器的启动状态，基于所述启动状态、所述第一用户信息集和所述提权检测程序执行提权逃逸检测操作，得到第二检测结果，基于所述第二检测结果控制所述容器的请求；

步骤S300具体包括：

S310、为了防止一些高性能的逃逸程序或恶意程序，故当启动状态为容器被触发启动时，即容器刚刚被启动时，基于第一用户信息集和提权检测程序执行提权逃逸检测操作；

S320、对应的，提权逃逸检测操作包括：因底层的访问逻辑为，容器启动时，一些需要操作的用户会首先请求连接到操作***目录；

S321、故调用提权检测程序访问容器对于操作***目录的访问请求，并识别访问请求所对应的第二用户信息；需要说明的是，该第二用户信息为对操作***目录请求访问的用户信息；

S322、判断第二用户信息中是否存在与第一威胁用户信息或第一入侵用户信息对应的用户信息；只要存在任意一个与第一威胁用户信息或第一入侵用户信息对应的用户信息，则判断有用户入侵或产生安全威胁；

S323、若存在，则输出第二检测结果为操作用户异常，此时判断该访问请求是存在安全隐患的，驳回该访问请求；

S324、若不存在，则输出第二检测结果为操作用户正常，并给予该访问请求访问许可，此时该访问请求所对应的容器可以对***目录进行操作；

对应的，若容器保持继续运行时，可以将被给予访问许可的访问请求所对应的用户信息收集，生成对应的白名单权限文件，并不断更新。

通过本步骤，可以对提权逃逸行为进行深层次的检测，同样输出对应的检测结果，并根据检测结果做出了应对措施。

通过本实施例所描述的容器安全防护方法，可以弥补现有容器技术中对于两种逃逸行为的安全防护缺失，进一步提高了容器的安全性，降低了服务器运行过程中的安全风险，提高了产品的竞争力。

实施例2

本实施例提供一种容器安全防护***，如图4所示，包括：初始化模块、特权检测模块和提权检测模块；

所述的容器安全防护***中，初始化模块用于配置第一启动参数和特权检测程序，并配置第一用户信息集和提权检测程序；

具体的，初始化模块访问开源机构的开源知识库，初始化模块获取开源知识库中与该容器对应的威胁信息，提取该威胁信息中所对应的第一威胁用户信息；

具体的，为了提高安全性，初始化模块访问容器的日志文件，并获取日志文件中的入侵信息，该入侵信息为容器内部对于之前的权限逃逸或恶意入侵操作的具体数据；初始化模块提取入侵信息所对应的第一入侵用户信息；

具体的，得到上述信息后，初始化模块整合该第一威胁用户信息和第一入侵用户信息，得到第一用户信息集。

所述的容器安全防护***中，特权检测模块用于获取对于容器的启动指令，并基于所述启动指令、所述第一启动参数和所述特权检测程序执行特权逃逸检测操作，得到第一检测结果，所述特权检测模块基于所述第一检测结果控制所述容器的启动；

具体的，当收到启动指令时，特权检测模块基于第一启动参数和特权检测程序执行特权逃逸检测操作；

具体的，特权逃逸检测操作包括：特权检测模块调用特权检测程序访问容器的镜像文件，特权检测模块调用该检测程序判断镜像文件中是否含有与第一启动参数所对应的启动数据；若含有，则特权检测模块判断容器中含有特权配置逻辑，特权检测模块输出第一检测结果为容器启动项配置异常；若未含有，则特权检测模块调用特权检测程序访问容器的启动项参数，并基于启动项参数和第一启动参数执行后备检测操作；

具体的，后备检测操作包括：特权检测模块比对启动项参数中是否含有与第一启动参数匹配的参数；若含有，则特权检测模块设定第一检测结果为容器启动项配置异常；若未含有，则特权检测模块设定第一检测结果为容器启动项配置正常；当第一检测结果为容器启动项配置异常时，特权检测模块判断容器存在安全隐患，返回容器异常状态，操作***会根据该状态返回信息，终止容器的一切启动过程；当第一检测结果为容器启动项配置正常时，特权检测模块判断容器不存在安全隐患，返回容器正常状态，操作***会根据该状态返回信息，继续所述容器的启动过程。

所述的容器安全防护***中，提权检测模块用于获取所述容器的启动状态，并基于所述启动状态、所述第一用户信息集和所述提权检测程序执行提权逃逸检测操作，得到第二检测结果，所述提权检测模块基于所述第二检测结果控制所述容器的请求。

具体的，当启动状态为容器被触发启动时，即容器刚刚被启动时，提权检测模块基于第一用户信息集和提权检测程序执行提权逃逸检测操作；

具体的，提权逃逸检测操作包括：提权检测模块调用提权检测程序访问容器对于操作***目录的访问请求，并识别访问请求所对应的第二用户信息；

具体的，提权检测模块判断第二用户信息中是否存在与第一威胁用户信息或第一入侵用户信息对应的用户信息；只要存在任意一个与第一威胁用户信息或第一入侵用户信息对应的用户信息，则提权检测模块判断有用户入侵或产生安全威胁；

具体的，若存在，则提权检测模块设定第二检测结果为操作用户异常，此时提权检测模块判断该访问请求是存在安全隐患的，提权检测模块驳回该访问请求；若不存在，则提权检测模块设定第二检测结果为操作用户正常，并给予该访问请求访问许可，此时该访问请求所对应的容器可以对***目录进行操作。

通过本实施例所描述的容器安全防护***，可以通过各个模块的相互配合，对现有容器技术中对于两种逃逸行为的安全防护缺失进行弥补，进一步提高了容器的安全性，降低了服务器运行过程中的安全风险，提高了产品的竞争力。

实施例3

本实施例提供一种计算机可读存储介质，包括：

所述存储介质用于储存将上述实施例1所述的容器安全防护方法实现所用的计算机软件指令，其包含用于执行上述为所述容器安全防护方法所设置的程序；具体的，该可执行程序可以内置在实施例2所述的容器安全防护***中，这样，容器安全防护***就可以通过执行内置的可执行程序实现所述实施例1所述的容器安全防护方法。

此外，本实施例具有的计算机可读存储介质可以采用一个或多个可读存储介质的任意组合，其中，可读存储介质包括电、光、电磁、红外线或半导体的***、装置或器件，或者以上任意组合。

区别于现有技术，采用本申请一种容器安全防护方法、***及介质可以通过本方法在容器共享操作***内核的情况下，设置对于容器中多种权限状态的容器防护措施，有效防止了对于容器的恶意入侵和多种入侵逃逸行为，通过本***为本方法提供了有效的技术支撑，最终极大的提高了容器了安全性，减少了安全隐患，弥补了现有技术的不足。

上述本发明实施例公开实施例序号仅仅为了描述，不代表实施例的优劣。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims

1.一种容器安全防护方法，其特征在于，包括以下步骤：

获取所述容器的启动状态，基于所述启动状态、所述第一用户信息集和所述提权检测程序执行提权逃逸检测操作，得到第二检测结果，基于所述第二检测结果控制所述容器的请求；

所述第一启动参数为底层容器技术中的特权配置参数，所述特权配置参数为privileged；

所述配置第一用户信息集的步骤进一步包括：

访问开源知识库，获取所述开源知识库中与所述容器对应的威胁信息，提取所述威胁信息所对应的第一威胁用户信息；访问所述容器的日志文件，获取所述日志文件中的入侵信息，提取所述入侵信息所对应的第一入侵用户信息；整合所述第一威胁用户信息和所述第一入侵用户信息，得到所述第一用户信息集；

所述特权逃逸检测操作包括：

调用所述特权检测程序访问所述容器的镜像文件，判断所述镜像文件中是否含有与所述第一启动参数所对应的启动数据；若含有，则输出所述第一检测结果为容器启动项配置异常；若未含有，则调用所述特权检测程序访问所述容器的启动项参数，基于所述启动项参数和所述第一启动参数执行后备检测操作；

所述基于所述启动状态、所述第一用户信息集和所述提权检测程序执行提权逃逸检测操作的步骤进一步包括：

当所述启动状态为所述容器被触发启动时，基于所述第一用户信息集和所述提权检测程序执行所述提权逃逸检测操作；

所述提权逃逸检测操作包括：

调用所述提权检测程序获取所述容器对于操作***目录的访问请求，并识别所述访问请求所对应的第二用户信息；判断所述第二用户信息中是否存在与所述第一威胁用户信息或所述第一入侵用户信息对应的用户信息；若存在，则输出所述第二检测结果为操作用户异常；若不存在，则输出所述第二检测结果为操作用户正常。

2.根据权利要求1所述的容器安全防护方法，其特征在于，所述后备检测操作包括：

3.根据权利要求2所述的容器安全防护方法，其特征在于，所述基于所述第一检测结果控制所述容器的启动的步骤进一步包括：

4.根据权利要求1所述的容器安全防护方法，其特征在于，所述基于所述第二检测结果控制所述容器的请求的步骤进一步包括：

5.基于权利要求1～4中任一项所述的容器安全防护方法的容器安全防护***，其特征在于，包括：初始化模块、特权检测模块和提权检测模块；

6.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1～4中任一项所述容器安全防护方法的步骤。