Docker 安全及日志管理(六)
目录
- 一、Docker 容器与虚拟机的区别
-
- 1. 隔离与共享
- 2. 性能与损耗
- 二、Docker 存在的安全问题
-
- 1、Docker 自身漏洞
- 2、Docker 源码问题
- 三、Docker 架构缺陷与安全机制
-
- 1. 容器之间的局域网攻击
- 2. DDoS 攻击耗尽资源
- 3. 有漏洞的系统调用
- 4. 共享root用户权限
- 四、Docker 安全基线标准
-
- 1、内核级别
- 2、主机级别
- 6、其他设置
- 五、部分安全操作
-
- 1、容器最小化
- 2. Docker 远程 API 访问控制
- 3、限制流量流向
- 4、镜像安全
- 5、Docker-TLS加密通讯
-
- （1）什么叫做秘钥
- （2）什么叫签名
- （3）什么是hash值
- （4）证书
- （5）通讯加密
一、Docker 容器与虚拟机的区别
1. 隔离与共享
- 虚拟机通过添加 Hypervisor 层，虚拟出网卡、内存、CPU 等虚拟硬件，再在其上建立虚拟机，每个虚拟机都有自己的系统内核。
- 而Docker容器则是通过隔离的方式，将文件系统、进程、设备、网络等资源进行隔离，再对权限、CPU资源等进行控制，最终让容器之间互不影响，容器无法影响宿主机。
- 容器与宿主机共享内核、文件系统、硬件等资源。
2. 性能与损耗
损耗
- 与虚拟机相比，容器资源损耗要少。
- 同样的宿主机下，能够建立容器的数量要比虚拟机多。
安全
- 虚拟机的安全性要比容器稍好，要从虚拟机攻破到宿主机或其他虚拟机，需要 先攻破 Hypervisor 层，这是极其困难的。
- docker 容器与宿主机共享内核、文件系统等资源，更有可能对其他容器、宿主机产生影响。
二、Docker 存在的安全问题
1、Docker 自身漏洞
- 作为一款应用 Docker 本身实现上会有代码缺陷。CVE 官方记录 Docker 历史版本共有超过 20 项漏洞，可参见 Docker 官方网站。
- 黑客常用的攻击手段主要有代码执行、权限提升、信息泄露、权限绕过等。目前 Docker 版本更迭非常快，Docker 用户可将 Docker 升级为最新版本。
2、Docker 源码问题
Docker 提供了 Docker hub，可以让用户上传创建的镜像，以便其他用户下载，快速搭建环境。但同时也带来了一些安全问题。
例如下面三种方式：
黑客上传恶意镜像
如果有黑客在制作的镜像中植入木马、后门等恶意软件，那么环境从一开始就已经不安全了，后续更没有什么安全可言。
镜像使用有漏洞的软件
DockerHub上能下载的镜像里面，75%的镜像都安装了有漏洞的软件。所以下载镜像后，需要检查里面软件的版本信息，对应的版本是否存在漏洞，并及时更新打上补丁。
中间人攻击篡改镜像
镜像在传输过程中可能被篡改，目前新版本的 Docker 已经提供了相应的校验机制来预防这个问题。
三、Docker 架构缺陷与安全机制
Docker本身的架构与机制就可能产生问题，例如这样一种攻击场景，黑客已经控制了宿主机上的一些容器，或者获得了通过在公有云上建立容器的方式，然后对宿主机或其他容器发起攻击。
1. 容器之间的局域网攻击
主机上的容器之间可以构成局域网，因此针对局域网的ARP欺骗、端口扫描、广播风暴等攻击方式便可以用上。
所以，在一个主机上部署多个容器需要合理的配置网络安全，比如设置 iptables 规则。
2. DDoS 攻击耗尽资源
Cgroups 安全机制就是要防止此类攻击的，不要为单一的容器分配过多的资源即可避免此类问题。
3. 有漏洞的系统调用
Docker 与虚拟机的一个重要的区别就是 Docker 与宿主机共用一个操作系统内核。
一旦宿主内核存在可以越权或者提权漏洞，尽管Docker使用普通用户执行，在容器被入侵时，攻击者还可以利用内核漏洞跳到宿主机做更多的事情。
4. 共享root用户权限
如果以 root 用户权限运行容器（docker run --privileged），容器内的 root 用户也就拥有了宿主机的root权限。
四、Docker 安全基线标准
1、内核级别
- 及时更新内核。
- User NameSpace（容器内的 root 权限在容器之外处于非高权限状态）。
- Cgroups（对资源的配额和度量）。
- SELiux/AppArmor/GRSEC（控制文件访问权限）。
- Capability（权限划分）。
- Seccomp（限定系统调用）。
- 禁止将容器的命名空间与宿主机进程命名空间共享。
2、主机级别
- 为容器创建独立分区。
- 仅运行必要的服务。
- 服务器中不要开启FTP服务，如果开启，需要开启禁锢家目录的操作。
- 禁止将宿主机上敏感目录（例：/root等）映射到容器
- 最好使用其他磁盘（非sda，例如：sdb、sdc等）
- 对 Docker 守护进程、相关文件和目录进行审计。
- 设置适当的默认文件描述符数。
- 文件描述符：内核（kernel）利用文件描述符（file descriptor）来访问文件。
- 文件描述符是非负整数。
- 打开现存文件或新建文件时，内核会返回一个文件描述符。读写文件也需要使用文件描述符来指定待读写的文件
- 用户权限为 root 的 Docker 相关文件的访问权限应该为 644 或者更低权限。
- 周期性检查每个主机的容器清单，并清理不必要的容器。
3、网络级别 - 通过 iptables 设定规则实现禁止或允许容器之间网络流量。
- 允许 Docker 修改 iptables。
- 禁止将 Docker 绑定到其他 IP/Port 或者 Unix Socket。
- 绑定其他的 Socket上会影响其他服务的运行。
- 禁止在容器上映射特权端口。
- 容器上只开放所需要的端口。
- 禁止在容器上使用主机网络模式。
- 仅主机模式是一种局域网模式，使用主机网络模式可能会被局域网内的主机攻击。
- 若宿主机有多个网卡，将容器进入流量绑定到特定的主机网卡上。
4、镜像级别 - 创建本地镜像仓库服务器。（部署harbor）
- 镜像中软件都为最新版本。
- 使用可信镜像文件，并通过安全通道下载。
- 重新构建镜像而非对容器和镜像打补丁。
- 合理管理镜像标签，及时移除不再使用的镜像。
- 使用镜像扫描。 一般是共有仓库使用的，私有仓库用的少
- 使用镜像签名。
5、容器级别 - 容器最小化，操作系统镜像最小集。
- 容器以单一主进程的方式运行。
- 禁止 privileged 标记使用特权容器。
- 禁止在容器上运行 ssh 服务。
- 登录系统使用exec命令，不要用ssh
- 以只读的方式挂载容器的根目录系统。
- 明确定义属于容器的数据盘符。
- 通过设置 on-failure 限制容器尝试重启的次数，容器反复重启容易丢失数据。
- 默认是6次
- 限制在容器中可用的进程树，以防止 fork bomb。
- 进程炸弹，迅速增长子进程，耗尽系统进程数量
6、其他设置
- 定期对宿主机系统及容器进行安全审计。
- 使用最少资源和最低权限运行容器。
- 避免在同一宿主机上部署大量容器，维持在一个能够管理的数量。
- 一般一个核心能跑3个容器，企业（48核）中一般一个节点上跑80~100个容器即可。
- 监控 Docker 容器的使用，性能以及其他各项指标。
- 增加实时威胁检测和事件响应功能。
- 使用中心和远程日志收集服务
五、部分安全操作
1、容器最小化
- 如果仅在容器中运行必要的服务，像 SSH 等服务是不能轻易开启去连接容器的。通常使用以下方式来进入容器。
docker exec -it 容器ID bash
2. Docker 远程 API 访问控制
Docker的远程调用 API 接口存在未授权访问漏洞，至少应限制外网访问。建议使用 Socket 方式访问。
监听内网 ip，docker daemon 启动方式如下。
临时更改
docker -d -H uninx:///var/run/docker.sock -H tcp://192.168.10.16:2375
或者永久更改
vim /usr/lib/systemd/system/docker.service
//注释之前的ExecStart，添加下面的ExecStart
//开放本地监听地址和端口
ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -H tcp://192.168.10.16:2375
systemctl daemon-reload
systemctl restart docker
//客户端操作实现远程调用
docker -H tcp://192.168.10.16 images
systemctl start firewalld
//然后，在宿主机的 firewalld 上做 IP 访问控制即可。（source address 是客户端地址）
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.10.17" port protocol="tcp" port="2375" accept"
firewall-cmd --reload
//客户端操作实现远程调用
docker -H tcp://192.168.10.16 images
3、限制流量流向
- 使用防火墙过滤器限制 Docker 容器的源 IP 地址范围与外界通讯。
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" reject"
firewall-cmd --reload
//查看firewalld规则列表
firewall-cmd --list-all
//删除存在的规则
firewall-cmd --remove-rich-rule 'rule family="ipv4" source address="192.168.10.0/24" reject'
4、镜像安全
- 一般情况下，要确保只从受信任的库中获取镜像，推荐使用 harbor 私有仓库。
- 如果公司使用的不是自己的镜像源，需要使用 Docker 镜像安全扫描工具 Clair，对下载的镜像进行检查。通过与通过与 CVE 数据库同步扫描镜像，验证镜像的 md5 等特征值，确认一致后再基于镜像进一步构建。一旦发现漏洞则通知用户处理， 或者直接阻止镜像继续构建。
5、Docker-TLS加密通讯
-
为了防止链路劫持、会话劫持等问题导致 Docker 通信时被中间人攻击，c/s 两端应该通过 TLS 加密方式通讯。
-
通过在服务端上创建tls密钥证书，再下发给客户端，客户端通过私钥访问容器，这样就保证的docker通讯的安全性。
-
首先创建ca证书，ca证书只是一个官方认证的证书，接下来要创建server、client节点的证书。
- 此时创建证书有三步：
（1）设置私钥，确保安全加密
（2）使用私钥签名，确保身份真实不可抵赖
（3）使用ca证书制作证书
- 此时创建证书有三步：
（1）什么叫做秘钥
- 对称秘钥（AES、DES、3DES） 相对于家里的锁和对应的钥匙
- 效率高，但不安全
- 非对称秘钥（rsa，公钥-私钥）相当于古代的虎符，不能从私钥推导出公钥
- 效率不高（需要加密，转换慢）
（2）什么叫签名
- 签名就是身份信息
- 比如：使用支付宝转账时，谁转给了商家，转账的谁就是签名
（3）什么是hash值
- Hash算法是一个广义的算法，在这里做数字签名来保障数据传递的安全性，如何确保数据的安全性，通过hash值对比确定数据完整性和安全性。
（4）证书
-
证书格式：x509（国际标准），需要机构CA颁发
CA：电子认证服务，证书颁发机构，是受信任的第三方，承担公钥体系中的公钥的合法性建议的责任。 -
首先CA先颁发ca证书，然后用证书和相关信息找CA颁发server证书、client证书，cilent证书要推送给client
（5）通讯加密
| 主机名 | IP地址 |
|---|---|
| server | 192.168.10.16 |
| cliet | 192.168.10.17 |
- 为了防止链路劫持、会话劫持等问题导致 Docker 通信时被中间人攻击，c/s 两端应该通过加密方式通讯。
server：192.168.10.16
准备环境
hostnamectl set-hostname server
su
mkdir /tls
cd /tls
vim /etc/hosts
127.0.0.1 server
生成ca密钥
//创建ca密钥
openssl genrsa -aes256 -out ca-key.pem 4096
相关参数:
genrsa 使用RSA算法产生私钥
-aes256 使用256位密钥的AES算法对私钥进行加密
-out 输出文件的路径
4096 秘钥的长度
生成ca证书
//创建ca证书；
openssl req -new -x509 -days 1000 -key ca-key.pem -sha256 -subj "/CN=*" -out ca.pem
相关参数:
req 请求证书
-new 新证书签发请求
-x509 生成x509格式证书
-days 证书有效期1000天
-key 指定私钥路径
-subj subject的缩写,可以认为是主题、项目等
生成服务器私钥
openssl genrsa -out server-key.pem 4096
生成服务器证书
//生成服务器签名文件，用于生成服务器证书
openssl req -subj "/CN=*" -sha256 -new -key server-key.pem -out server.csr
//使用ca证书与私钥证书签名，输入000000；
openssl x509 -req -days 1000 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem
相关参数:
-in 指定输入的证书、秘钥等文件
-CAcreateserial 表示创建证书序列号文件（默认为ca.srl）
生成客户端密钥
openssl genrsa -out key.pem 4096
生成客户端证书
//签名客户端
openssl req -subj "/CN=client" -new -key key.pem -out client.csr
//创建配置文件；认证方式使用客户端认证
echo extendedKeyUsage=clientAuth > extfile.cnf
//签名证书，输入abc123，需要（签名客户端，ca证书，ca密钥）
openssl x509 -req -days 1000 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf
相关参数:
-extfile 添加扩展文件
删除多余文件
rm -rf ca.srl client.csr extfile.cnf server.csr
配置docker，指定tls证书的路径、开放的端口、通信的进程等
vim /lib/systemd/system/docker.service
ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/tls/ca.pem --tlscert=/tls/server-cert.pem --tlskey=/tls/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock
systemctl daemon-reload
systemctl restart docker
将 /tls/ca.pem /tls/cert.pem /tls/key.pem 三个文件复制到另一台主机
scp ca.pem root@192.168.10.17:/etc/docker/
scp cert.pem root@192.168.10.17:/etc/docker/
scp key.pem root@192.168.10.17:/etc/docker/
本地验证
docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://server:2376 images
docker pull nginx
client：192.168.10.17
hostnamectl set-hostname client
su
echo '192.168.10.16 server' >> /etc/hosts
或
vim /etc/hosts
192.168.10.16 server
cd /etc/docker
docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://server:2376 images
