CN117413264A - 用于鉴于操纵监控主机***上的容器应用程序的方法以及设施 - Google Patents

用于鉴于操纵监控主机***上的容器应用程序的方法以及设施 Download PDF

Info

Publication number
CN117413264A
CN117413264A CN202280039372.8A CN202280039372A CN117413264A CN 117413264 A CN117413264 A CN 117413264A CN 202280039372 A CN202280039372 A CN 202280039372A CN 117413264 A CN117413264 A CN 117413264A
Authority
CN
China
Prior art keywords
container
cont
monitoring
cont2
container application
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202280039372.8A
Other languages
English (en)
Inventor
R·本特
R·法尔克
C·P·费斯特
D·弗里德里希
C·克尼尔姆
S·皮卡
R·韦伯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Publication of CN117413264A publication Critical patent/CN117413264A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45575—Starting, stopping, suspending or resuming virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Testing And Monitoring For Control Systems (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

在用于鉴于操纵监控主机***上的容器应用程序的方法的情况下，对于容器应用程序中的至少两个容器应用程序，监控进程在所述主机***上分别被启动并且被分配给相应的容器应用程序，其中监控进程对容器应用程序中的与分别所分配的容器应用程序不同的容器应用程序的当前行为与容器应用程序的参考行为进行比较。该设施具有容器镜像和主机***，并且被构造用于执行这样的方法。

Description

用于鉴于操纵监控主机***上的容器应用程序的方法以及 设施
技术领域
本发明涉及一种用于鉴于操纵监控主机***上的容器应用程序的方法以及设施。
背景技术
许多新的工业和非工业IT***被开发为使得所述IT***能够灵活地被适配于新颖要求。对此的常见方案是在IT***中提供容器技术以及借助于容器技术将新的或改变的软件解决方案作为容器应用程序快速地且灵活地下载到IT***中。
在此，这样的容器应用程序可以在事先已知的或未知的目标***上被执行，所述目标***也被称为主机***。此外在同一***上执行不同提供商的容器应用程序是可能的。由于简单地可下载的容器应用程序引起的这种灵活性带来威胁，即受操纵的或恶意的容器应用程序也可能被引入到***中并且可能有损于所述***。
为了防止操纵，容器应用程序经常借助于在主机上可用的安全机制被隔离，尤其是借助于如Linux命名空间、chroot或管理程序之类的虚拟化机制或者借助于如用户权限管理、SELinux、SMACK或AppArmor之类的访问控制机制被隔离。另一方面重要的是，在运行时期间监控安全状态、例如所使用的软件或配置组件的完整性以及下载的容器应用程序的行为，以便提早查明容器应用程序的操纵或显眼行为，并且因此能够持久地保证主机***的完整性。然而，这种监控本身必须靠得住地起作用，以便能够可靠地识别完整性违反。然而，已知的监控解决方案构成中央实例，攻击者可能以对应的耗费去活或以其他方式操纵所述中央实例。
因此，存在对用于鉴于操纵监控容器应用程序的经改善的解决方案的需求。尤其是应该改善监控的可靠性和防操纵性。
用于监控容器应用程序的解决方案是已知的，所述解决方案使用例如企业AquaSec的Enforcer或MicroEnforcer(https://www.aquasec.com/news/aqua-3-0-delivers-runtime-security-for-zero-infrastructure-container-as-a-service-environments/)。用于监控容器应用程序的其他解决方案例如由如NeuVector(https://neuvector.com/)或Sysdig(https://sysdig.com/)之类的提供商提供。在此情况下，典型地鉴于有害行为(未经授权的网络访问或使用特定的命令/***调用)监控一个或多个容器。此外用于进行完整性监控的通用监控***、诸如Wazuh(www.wazuh.com)、OSSEC(www.ossec.net)、Nagios(www.nagios.org)、Tripwire(www.tripwire.org)和Falco(www.falco.org)是已知的。这些解决方案尤其通过进程支持识别非合法进程、未经允许的文件修改、写入存取或对网络连接的建立或使用。如果识别到未经授权的事件或相对于参考的偏差，则例如以日志消息的形式生成警报。
发明内容
在此背景下，因此本发明的任务是提供一种用于鉴于操纵监控主机***上的容器应用程序的经改善的方法。此外，本发明的任务是创造一种经改善的设施，利用所述设施可以执行这样经改善的方法。
本发明的这些任务利用具有在权利要求1中说明的特征的方法以及利用具有在权利要求9中说明的特征的设施来解决。本发明的优选改进方案在所属的从属权利要求、后续的描述和附图中得以说明。
在用于监控主机***上的容器应用程序的方法的情况下，对于容器应用程序中的至少两个容器应用程序，主机***上的监控进程分别被启动并且优选地借助于数据技术链接被分配，其中监控进程对所述容器应用程序中的与分别所分配的容器应用程序不同的至少一个容器应用程序的当前行为与至少一个其他容器应用程序的参考行为进行比较。根据本发明的方法用于鉴于操纵监控容器应用程序和/或用于鉴于操纵尝试监控容器应用程序。在本发明的一种优选改进方案中，优选地通过以下方式借助于数据技术链接将监控进程分配给容器应用程序，即监控进程获得对容器应用程序的优选地由主机***管理的资源的访问。为此，监控进程可以尤其是使用文件句柄(英语：“file handle”)和/或指针和/或链路和/或密钥(英语：“key”或者“magic number(幻数)”)或所谓的能力，以便访问所分配的容器应用程序的由主机***管理的资源。在此，监控进程拥有对所分配的容器应用程序的资源的参考或链路。资源优选地是进程间通信资源和/或共享存储区域(英语：“sharedmemory”)和/或管道和/或消息队列和/或套接字(Socket)和/或命名空间(英语：“namespace”)和/或控制组(英语：“control group”)。在此，监控进程优选地至少可对所分配的容器应用程序的由操作***管理的资源进行读取访问。借助于由操作***管理的资源，监控进程尤其是可以确定所分配的容器应用程序的与容器应用程序的当前行为有关的运行时完整性监控信息，并且利用所分配的容器应用程序的参考信息对其进行检验。在根据本发明的方法的情况下，因此可以通过分配给容器应用程序的监控进程也间接地进行对与分别分配的容器应用程序不同的至少一个容器应用程序的监控。在此，其当前行为也可以通过以下方式被检验，即其与分配给监控进程的容器应用程序的交互利用至少一个其他容器应用程序通过监控进程被确定，并且鉴于与至少一个其他容器应用程序的参考行为的一致性被比较。在此，因此对其他容器应用程序进行间接监控。尤其是，可以通过根据交互确定其他容器监控是否通过分配给其的监控进程被监控。此外，其他容器应用程序或容器应用程序的分配给所述其他容器应用程序的其他监控进程可以明确地提供监控信息，所述监控信息可以由分配给该容器应用程序的监控进程检验。
不言而喻，分配给监控进程的容器应用程序可以被理解为监控进程分别分配给的那个容器应用程序。适宜地，不同的、也即不相同的监控进程分配给不同的容器应用程序。
借助于根据本发明的方法，因此容器应用程序不借助于中央组件被监控，而是分散监控进程被启动并且被分配给相应的容器应用程序。监控进程被构造和设立用于检测至少一个其他容器应用程序的当前行为并且与至少一个其他容器应用程序的参考行为进行比较。以这种方式，至少两个容器应用程序由至少两个监控进程监控。因此，对于攻击者而言不足够的是，操纵单个中央监控进程来能够操纵容器应用程序，而是必须有损于至少两个监控进程来能够操纵容器应用程序。特别优选地给容器应用程序中的每一个分别分配不同的、也即自身的监控进程。也即监控进程分别仅被分配给容器应用程序中的单个容器应用程序，而不被分配给多个容器应用程序。优选地，不仅仅给容器应用程序中的至少两个容器应用程序分别分配监控进程，而是给三个或四个或更多个容器应用程序分别分配自身的监控进程。存在越多的监控进程，对于攻击者而言单独地操纵所有监控进程就变得越困难。所有监控进程优选地被设立用于将容器应用程序中的与分别分配的容器应用程序不同的至少两个、优选地三个或多个或全部容器应用程序的当前行为与至少一个其他容器应用程序的参考行为进行比较。因此，借助于监控进程不仅仅监控单独的容器应用程序，而是可以监控在主机***上运行的容器应用程序中的多个或全部容器应用程序。这明显提高具有在其上运行的容器应用程序的主机***的安全性。
有利地，在根据本发明的方法的情况下，根据比较推断出进行比较的至少一个容器应用程序的发生的或未发生的操纵。尤其是，优选地推断出进行比较的至少一个容器应用程序中的多个或全部容器应用程序中的各一个或每一个容器应用程序的发生的或未发生的操纵，即优选地分别对于至少一个容器应用程序中的各一个或每一个容器应用程序推断出发生的或未发生的操纵。以这种方式，可以有利地标识各个***纵的容器应用程序。如果比较得出在容器应用程序的行为与参考行为之间的偏差，则推断出容器应用程序的发生的操纵。紧接着可以提供警报消息或警报信号和/或可以限制所涉及的容器应用程序或主机的网络通信和/或可以阻断或一般可以阻断通过所涉及的容器应用程序对主机的输入/输出接口的访问，和/或可以停住或结束或重新启动所涉及的容器应用程序。此外，在本发明的一种改进方案中可能的是，阻断主机上的所涉及的容器应用程序的程序代码、也即容器镜像的重新启动。优选地，在根据本发明的方法的情况下，如果推断出至少一个容器应用程序的发生的操纵，则提供警报消息或警报信号和/或限制所涉及的至少一个容器应用程序或主机的网络通信和/或阻断或一般阻断通过所涉及的至少一个容器应用程序对主机的输入/输出接口的访问，和/或停住或结束或重新启动所涉及的至少一个容器应用程序和/或阻断主机上的所涉及的至少一个容器应用程序的程序代码、也即容器镜像的重新启动。
在根据本发明的方法的情况下，适宜地在启动和/或停止和/或在改变至少一个其他容器应用程序时，将容器应用程序的参考行为告知给监控进程，也即传送关于参考行为的信息。以这种方式，可以灵活地对重新启动的和/或改变的和/或停止的容器应用程序作出反应。优选地，不进一步考虑停止的容器应用程序的参考行为。优选地在重新启动的容器应用程序的情况下补充参考行为，并且适宜地在改变的容器应用程序的情况下对参考行为进行适配。
在根据本发明的方法的一种有利的改进方案中，将监控进程分配给相应的容器应用程序，其方式是监控进程作为相应的容器应用程序的一部分被启动。特别优选地，监控进程被分配给至少两个容器应用程序，使得监控进程分别是至少两个容器应用程序之一的一部分。以这种方式，随着容器应用程序的启动分别自动地对监控进程进行初始化。在本发明的该改进方案中，借助于共同启动容器应用程序和监控进程，监控进程自动地被分配给相应的容器应用程序，其方式是主机***必要地作为容器应用程序的一部分注册和管理监控进程，并且连续地在内部将监控进程分配给容器应用程序。监控进程尤其是可以是操作***进程。在该改进方案中，本发明还可以被说明为一种用于监控主机***上的容器应用程序的方法，其中在容器应用程序中的至少两个容器应用程序的情况下在主机***上分别作为相应的容器应用程序的一部分启动监控进程，其中监控进程将容器应用程序中的与所述监控进程分别是其一部分的容器应用程序不同的至少一个容器应用程序的当前行为与至少一个其他容器应用程序的参考行为进行比较。
在该方法的情况下，在本发明的一种优选改进方案中，将至少一个其他容器应用程序的当前行为与参考行为在对询问、也即询问消息的响应行为方面和/或在运行行为方面和/或在在操纵尝试的情况下和/或在发生的操纵的情况下的行为方面进行比较。
在根据本发明的方法的情况下，参考行为组件优选地将参考行为告知给监控进程。参考行为组件可以有利地被设置为中央组件。在本发明的该改进方案中，以简单且可靠的方式可管理(administrierbar)参考行为组件。可替代地并且同样有利地，参考行为组件可以适宜地冗余地分别被分配给至少两个或多个容器应用程序或者是两个或多个容器应用程序的一部分。
在根据本发明的方法的情况下，参考行为组件优选地以密码方式被保护。在该改进方案中，参考行为组件在其方面特别被保护免受操纵。在此，由参考行为组件使用的参考信息可以优选地以密码方式被保护，优选地以加密的方式和/或通过密码校验和被保护。可替代地或附加地并且同样有利地，参考行为组件的程序代码可以以加密的方式或通过密码校验和被保护，或者所述程序代码可以以混淆(obfuszierter)的形式存在。此外优选地，参考行为组件可以包括自完整性监控组件，所述自完整性监控组件在运行时监控参考行为组件的完整性。
在根据本发明的方法的情况下，在本发明的一种改进方案中，借助于分布式数据库适宜地实现参考行为组件。有利地，在本发明的该改进方案中，参考行为组件不被设置为中央的且因此潜在地更简单地可操纵的组件，而是参考行为组件比分布式数据库明显更难以操纵。这是因为在本发明的该改进方案中分布式数据库的至少主要部分或完整分布式数据库的操纵将会是用于操纵参考行为组件的前提条件。分布式数据库可以被实现为分布式账本数据库或区块链数据库，其中数据集由区块链的区块以密码保护的方式被确认。除了参考行为组件之外，还可以将分布式数据库中的容器的监控信息提供给一个或多个监控进程用于检验。在另一变型方案中，监控进程可以由分布式数据库的智能合约程序代码实现。
根据本发明的设施具有用于容器应用程序的容器镜像和主机***，并且被构造用于执行如先前描述的根据本发明的方法。
在本发明的一种有利的改进方案中，该设施是制造设施和/或加工设施，优选地是机床、无人驾驶运输***或机器人。
附图说明
下面根据在附图中示出的实施例更详细地阐述本发明。
唯一的附图图1示意性地以原理草图示出根据本发明的具有主机***的设施，所述设施用于执行根据本发明的用于监控主机***上的容器应用程序的方法。
具体实施方式
在图1中所示的根据本发明的设施A的主机***H上启动容器运行时环境。在容器运行时环境内，借助于容器镜像启动容器应用程序CONT1、CONT2、CONT3。与在现有技术中已知的不同地，在主机***H上执行的根据本发明的方法的情况下，容器应用程序CONT1、CONT2、CONT3不借助于中央监控组件鉴于操纵以及鉴于操纵尝试被监控。代替地，借助于根据本发明的方法实施对容器应用程序CONT1、CONT2、CONT3的分散监控。根据本发明，在所示的实施例中，通过容器应用程序CONT1、CONT2、CONT3本身相互地实施容器应用程序CONT1、CONT2、CONT3的监控。在根据本发明的主机***上，首先针对容器运行时环境实施所有常见的和本身已知的强化措施，在这里是强制访问控制(Mandatory Access Control)、命名空间的控制以及容器应用程序CONT1、CONT2、CONT3的权利的限制和/或通信的限制，例如借助于Calico或其他本身已知的SDN解决方案(SDN＝英语“Software Defined Networking(软件定义网络)”)。借助于强化措施，主机***H上的容器应用程序CONT1、CONT2、CONT3不能查看其他容器应用程序CONT1、CONT2、CONT3的敏感数据。
在主机***H上实现配置组件KOKO，所述配置组件提供关于当前激活的运行时配置、也即关于当前执行的容器应用程序的配置的监控配置信息UKONF。该配置组件KOKO可以例如是容器运行时环境本身或者是与之无关的配置组件KOKO，并且构成本发明意义上的参考行为组件。
监控配置信息UKONF包含一组用于监控的参考值。在所示的实施例中，这些参考值包含关于正在进行中的容器应用程序的类型和数量和正在进行中的容器应用程序的校验和的说明以及关于容器应用程序的权限的说明和关于容器应用程序的允许的网络活动的说明以及关于通过正在进行中的容器应用程序对如CPU时间或RAM之类的资源的最大需要的说明(Angaben)。在未特意示出的其他实施例中，可以加上或缺少其他监控配置信息。
属于相应的容器应用程序的监控配置信息UKONF可以要么由配置组件KOKO本身规定或者计算，要么所述监控配置信息可以已经包含在容器镜像中。例如，容器镜像可以包含容器应用程序CONT1、CONT2、CONT3分别需要多少网络资源或CPU资源的预设(Vorgabe)。容器镜像中的这些预设由配置组件KOKO检验并且要么被接受并且被接纳到监控配置信息UKONF中，要么被拒绝。在后一种情况下，容器应用程序的启动被拒绝。
配置组件KOKO此外负责在容器应用程序被启动、改变或停止的情况下对监控配置信息UKONF进行改变。例如，可以启动或更新容器应用程序：在这样的情况下更新监控配置信息UKONF。例如，用于网络活动的参考值被规定或改变，或者关于容器应用程序的内容的校验和被确定或重新计算。配置组件KOKO紧接着要么本身更新监控配置信息UKONF，要么促成将监控配置信息适配于新确定的或改变的参考值。如果容器应用程序被停止，则监控配置信息UKONF的属于对应的容器应用程序CONT1、CONT2、CONT3的元素被删除。监控配置信息UKONF适宜地从配置组件KOKO中以及从所述监控配置信息已经传送给的容器应用程序CONT1、CONT2、CONT3中被删除。
在所示的实施例中，配置组件KOKO由于实现为可信执行环境而被构造为使得通过具有对应的权限的攻击者对配置组件KOKO的操纵变得困难，并且配置组件KOKO原则上可以被视为可信的。监控配置信息UKONF作为参考信息被提供给容器应用程序CONT1、CONT2、CONT3，使得所述容器应用程序分别利用在下面描述的监控组件UEKO来实现监控功能性。
在所示的实施例中，监控组件UEKO不被实现为中央组件，而是分别实现为容器应用程序CONT1、CONT2、CONT3本身的分散监控组件UEKO，所述分散监控组件分别监控其余容器应用程序CONT1、CONT2、CONT3。容器应用程序CONT1、CONT2、CONT3的监控组件UEKO被构造用于以检测其他容器应用程序CONT1、CONT2、CONT3的活动并且将所检测的活动与在监控配置信息UKONF中包含的参考值进行比较的形式来执行监控动作UEB。此外，监控动作UEB包括在图1中未特意示出的其他容器应用程序的存活性检查(Liveliness-Check)和主机***H上的端口扫描以及通过其他容器应用程序CONT1、CONT2、CONT3检测的容器应用程序CONT1、CONT2、CONT3的活动的请求以及容器应用程序CONT1、CONT2、CONT3的所检测的活动向其他监控组件UEKO的证明(Attestierung)。
如果监控组件UEKO与所提供的参考值相比查明容器应用程序CONT1的所检测的活动的偏差，则所述监控组件采取对策。例如，将所监控的容器应用程序CONT1的所测量的偏差通知给其他监控组件UEKO以及通知给容器应用程序CONT1、CONT2、CONT3之外的组件，所述组件执行进一步的措施，诸如停止所监控的容器应用程序。
在所示的实施例中，通过配置组件KOKO管理监控配置信息UKONF。在此，每个容器应用程序CONT1、CONT2、CONT3均具有自身的监控组件UEKO，所述监控组件UEKO负责监控主机***H上的其他容器应用程序CONT1、CONT2、CONT3，并且所述监控组件UEKO借助于装载过程LAE装载由配置组件KOKO管理的监控配置信息UKONF。在所示的实施例中，通过许多容器应用程序CONT1、CONT2、CONT3同时进行容器应用程序CONT1、CONT2、CONT3的监控UEB，而不再通过中央实例进行。然而，所描述的方法具有以下缺点：具有(mit)中央配置组件KOKO的监控配置信息UKONF本身又是用于可能操纵的中央攻击点。
在未特意示出的另一实施例中，因此不再借助于中央配置组件KOKO管理监控配置信息UKONF，而是借助于容器应用程序本身来进行管理。为此，当前监控配置信息UKONF在启动容器应用程序CONT1、CONT2、CONT3时分别作为参考信息被***到相应的容器镜像中或被***到所装载的容器实例的文件***中。在该实施例中，配置组件KOKO仅仍被构造用于将监控配置信息UKONF中的参考值的在启动、改变和停止容器应用程序时要实施的变化传送给所有容器。在此，配置组件KOKO最多仍监控监控配置信息UKONF与当前实际启动的容器应用程序CONT1、CONT2、CONT3的一致性。例如，这通过以下方式进行，即当前监控进程一直被停止，直至正在进行中的容器应用程序CONT1、CONT2、CONT3的所有监控配置信息UNKONF中的变化被实施了为止。可替代地，可以定义时间窗口，在所述时间窗口中，监控组件UEKO接受与监控配置信息UKONF中的参考值的偏差或者监控配置信息UKONF的缺少的或者由于停止的容器应用程序CONT1、CONT2、CONT3而已过时的元素。
在所示的实施例中，监控组件UEKO分别被引入到容器应用程序CONT1、CONT2、CONT3中的每一个中。可选地，在启动新的容器应用程序时可以检验：在新的容器应用程序的容器镜像中是否存在适当的监控组件UEKO。否则，新的容器应用程序的执行被阻止。在该有利的设计方案中，可以确保容器应用程序中的每一个均包含监控组件UEKO。
可替代地，在其他实施例中，当在一个主机***或多个不同的主机***上构建要执行的容器镜像时，可以分别将监控组件UEKO集成到容器镜像中。
在替代于此的实施例中，可以以分配给每个容器应用程序CONT1、CONT2、CONT3的方式在主机***H上启动独立的监控进程，所述独立的监控进程将其监控配置信息UKONF与其他容器应用程序CONT1、CONT2、CONT3的监控进程进行对比。在这些实施例中，监控配置信息UKONF和监控组件UEKO因此并不位于容器应用程序CONT1、CONT2、CONT3本身中，而是分别位于主机***H上的与容器应用程序CONT1、CONT2、CONT3相对应的监控进程中。
所示实施例的监控组件UEKO不仅可以监控同一制造商的其他容器应用程序CONT1、CONT2、CONT3，而且可以监控其他制造商的容器应用程序，所述监控组件是相应的容器应用程序CONT1、CONT2、CONT3的组成部分。在其他实施例中，在此情况下可以规定：在监控配置信息UNKONF中没有信息包含关于容器应用程序本身的敏感数据。例如，这可以通过在容器镜像中定义的策略来实现，所述策略在启动配置组件KOKO的外来制造商的相应的容器应用程序时被提供，并且在所述策略中描述：允许哪些参考值用于监控UEB。然后，配置组件KOKO决定所述配置组件是否将启动该容器应用程序或者是否禁止启动，例如因为容器应用程序CONT1、CONT2、CONT3的策略是过于约束性的(restriktiv)。
由各个容器应用程序CONT1、CONT2、CONT3的监控组件UEKO实施的监控进程本身要么可以独立于每个容器应用程序CONT1、CONT2、CONT3本身被实施，要么监控进程可以应用对等(Peer-to-Peer)机制(P2P机制)，其中容器应用程序交换所检测的活动，以便然后将所述活动与监控配置信息UKONF中的参考值进行比较。
除了监控配置信息UKONF中的参考值的比较之外，容器应用程序CONT1、CONT2、CONT3的监控组件UEKO此外还可以以更主动的方式检测其他容器应用程序CONT1、CONT2、CONT3的显眼活动：
因此，容器应用程序CONT1、CONT2、CONT3的活动可以被监控，并且如果这些容器应用程序根据正常请求不提供预期的响应，则被归类为潜在危险的。因此，通过监控组件的监控不仅仅延伸到被动监控，而且还可以包括向所监控的容器应用程序CONT1、CONT2、CONT3主动发送请求。
监控组件UEKO还可以主动地借助于对其他容器应用程序的动态测试问题、即询问消息进行监控UEB，例如查询关于内部哈希值或特定文件的内容的信息。所获得的响应例如由监控组件UEKO检测并且与由监控组件UEKO本身计算的值进行比较。
在所示的实施例中，监控组件UEKO此外可以向其他容器应用程序提出与正常行为不对应的请求。在成功情况下，监控组件UEKO于是给出警报。

Claims (10)

1.一种用于鉴于操纵监控(UEB)主机***(H)上的容器应用程序(CONT1、CONT2、CONT3)的方法，其中对于所述容器应用程序(CONT1、CONT2、CONT3)中的至少两个容器应用程序，监控进程(UEKO)在所述主机***(H)上分别被启动并且优选地借助于数据技术链接被分配，其中所述监控进程(UEKO)对所述容器应用程序(CONT1、CONT2、CONT3)中的与分别所分配的容器应用程序(CONT1、CONT2、CONT3)不同的至少一个容器应用程序的当前行为与至少一个其他容器应用程序(CONT1、CONT2、CONT3)的参考行为(UKONF)进行比较。
2.根据前一权利要求所述的方法，其中根据所述比较，推断出进行所述比较的至少一个容器应用程序(CONT1、CONT2、CONT3)的发生的操纵。
3.根据前述权利要求中任一项所述的方法，其中所述容器应用程序(CONT1、CONT2、CONT3)的参考行为(UKONF)在启动和/或停止和/或在改变所述至少一个其他容器应用程序(CONT1、CONT2、CONT3)时被告知给所述监控进程(UEKO)。
4.根据前述权利要求中任一项所述的方法，其中将所述监控进程(UEKO)分配给相应的容器应用程序(CONT1、CONT2、CONT3)，其中所述监控进程(UEKO)作为所述相应的容器应用程序(CONT1、CONT2、CONT3)的一部分被启动。
5.根据前述权利要求中任一项所述的方法，其中对所述至少一个其他容器应用程序(CONT1、CONT2、CONT3)的当前行为与所述参考行为(UKONF)在对问题的响应行为方面和/或在运行行为方面和/或在在操纵尝试的情况下和/或在发生的操纵的情况下的行为方面进行比较。
6.根据前述权利要求中任一项所述的方法，其中参考行为组件(KOKO)将所述参考行为(UKONF)告知给所述监控进程(UEKO)。
7.根据前述权利要求中任一项所述的方法，其中所述参考行为组件(KOKO)以密码方式被保护。
8.根据前述权利要求中任一项所述的方法，其中借助于分布式数据库实现所述参考行为组件(KOKO)。
9.一种设施，包括用于容器应用程序(CONT1、CONT2、CONT3)的容器镜像和主机***(H)，所述设施被构造用于执行根据前述权利要求中任一项所述的方法。
10.根据前一权利要求所述的设施，所述设施是制造设施(A)和/或加工设施。
CN202280039372.8A 2021-03-31 2022-03-17 用于鉴于操纵监控主机***上的容器应用程序的方法以及设施 Pending CN117413264A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP21166362.0 2021-03-31
EP21166362.0A EP4068126A1 (de) 2021-03-31 2021-03-31 Verfahren zur überwachung von containeranwendungen auf einem hostsystem und anlage
PCT/EP2022/057031 WO2022207347A1 (de) 2021-03-31 2022-03-17 Verfahren zur überwachung von containeranwendungen auf einem hostsystem auf manipulation und anlage

Publications (1)

Publication Number Publication Date
CN117413264A true CN117413264A (zh) 2024-01-16

Family

ID=75339583

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202280039372.8A Pending CN117413264A (zh) 2021-03-31 2022-03-17 用于鉴于操纵监控主机***上的容器应用程序的方法以及设施

Country Status (4)

Country Link
US (1) US20240168793A1 (zh)
EP (2) EP4068126A1 (zh)
CN (1) CN117413264A (zh)
WO (1) WO2022207347A1 (zh)

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ES2866885T3 (es) * 2017-08-31 2021-10-20 Siemens Ag Sistema y procedimiento para la vigilancia protegida criptográficamente de al menos un componente de un aparato o de una instalación

Also Published As

Publication number Publication date
WO2022207347A1 (de) 2022-10-06
US20240168793A1 (en) 2024-05-23
EP4295254A1 (de) 2023-12-27
EP4068126A1 (de) 2022-10-05

Similar Documents

Publication Publication Date Title
US11762986B2 (en) System for securing software containers with embedded agent
RU2377639C2 (ru) Программный интерфейс, связанный с безопасностью
US20210209221A1 (en) System for securing software containers with encryption and embedded agent
CN100492300C (zh) 在微处理器实现的设备上执行进程的***和方法
US20160255058A1 (en) System and method for policy driven protection of remote computing environments
Klick et al. Internet-facing PLCs as a network backdoor
EP3270318B1 (en) Dynamic security module terminal device and method for operating same
US11449602B1 (en) Systems and methods for generating trust binaries
EP3462356B1 (en) Using indirection to facilitate software upgrades
US20230161867A1 (en) Method and device for securely starting up a container instance
KR20200067744A (ko) 부트로더 검증 확장방법
US11546367B2 (en) Systems and methods for protecting automated systems using a gateway
CN117413264A (zh) 用于鉴于操纵监控主机***上的容器应用程序的方法以及设施
US10380335B1 (en) Systems and methods for providing security to a host endpoint device
US11928205B1 (en) Systems and methods for implementing cybersecurity using blockchain validation
US8024783B2 (en) Modular agent architecture
CN111343000B (zh) 用于配置网关以保护自动化***的***和方法
CN116208353A (zh) 一种校验固件的方法、装置、网卡、芯片***及服务器
CN111343084B (zh) 使用网关保护自动化***的***和方法
US20210374245A1 (en) Protection of computer systems against manipulation and functional anomalies
JP2019096223A (ja) 制御システム用マルウェア対策システムおよび制御システム用マルウェアチェックコンピュータ
CN117850981A (zh) 一种使用嵌入式代理保护容器的方法
CN114662092A (zh) 一种容器安全执行方法、设备及存储介质
CN118355337A (zh) 用于为工业自动化***提供控制应用的方法和***
CN116795031A (zh) 可编程逻辑控制器的安全保护方法、装置、设备及介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination