容器安全研究報告
2018-09-29
近年來，云計算的模式逐漸被業界認可和接受。但簡單地將主機、平臺或應用轉為虛擬化形態，并不能解決傳統應用的升級緩慢、架構臃腫、無法快速迭代等問題，云原生（Cloud Native）的概念應運而生。在云原生應用和服務平臺構建過程中，近年興起的容器技術憑借其彈性敏捷的特性和活躍強大的社區支持，成為了云原生等應用場景下的重要支撐技術。
容器技術被廣泛接受和使用的同時，容器以及容器運行環境的安全成為了亟待研究和解決的問題。為了使容器用戶進一步了解容器以及容器環境的安全威脅，向其提供安全防護建議。綠盟科技攜手硅谷知名容器安全公司NeuVector，聯合發布了《2018綠盟科技容器安全技術報告》。
《報告》從容器安全風險入手，分別從軟件脆弱性、安全威脅、應用安全威脅等方面，系統的介紹了容器以及容器應用中所面臨的安全問題。針對這些安全問題，從主機安全、鏡像安全、網絡安全、應用安全等多個角度，提出了相應的檢測與防護建議。從開源社區和廠商兩個層面，介紹了當前對于容器安全的一些解決方案。
從2008年LXC（Linux Containers）的出現，到2013年DotCloud開源了其內部的容器項目Docker，再到2014年CoreOS發布了其容器引擎Rocket（rkt），2015年微軟發布了Windows Containers，實現Docker容器在Windows上的原生運行，再到2017年阿里巴巴開源其容器技術Pouch，容器技術越來越多的引起大家的關注。但其背后的安全問題不容忽視。
2018年5月-7月綠盟威脅情報中心（NTI）對全網的Docker 2375端口進行檢索，發現這段時間暴露在互聯網上的2375端口地址達337個。下圖顯示了暴露主機的分布情況，主機暴露數據覆蓋多達29個國家，這個數據一方面說明了Docker的受歡迎程度，另一方面也說明了用戶對于Docker的使用并不規范。
圖1.互聯網暴露2375 端口主機全球分布圖
圖2. 2375 端口暴露地址國內分布圖
前述暴露的337個Docker服務IP，我們對其域名服務分布情況進行了統計，其中不乏某些知名公有云廠商的IP地址。
圖3.暴露地址全網域名分布圖
2018年7月，我們也分析了Kubernetes的暴露服務情況，利用NTI對全網的6443端口（Kubernetes的API Server默認SSL端口）進行掃描分析，發現這段時間暴露在互聯網上的Kubernetes服務達12803個。美國以4886個暴露的服務占比38%位居第一，中國以2582個暴露的服務占比20%位居第二，德國以1423個暴露的服務占比11%位居第三。國內互聯網上暴露的Kubernetes服務主機主要存在于北京、浙江以及廣東等省市，這些服務大多部署在亞馬遜、阿里云等公有云上。其中的幾百個甚至都沒有設置登錄密碼，一旦被惡意操作，后果將不堪設想。
圖4.暴露的Kubernetes 服務的托管服務提供商國內分布
關于綠盟科技
北京神州綠盟信息安全科技股份有限公司（以下簡稱綠盟科技），成立于2000年4月，總部位于北京。在國內外設有40多個分支機構，為政府、運營商、金融、能源、互聯網以及教育、醫療等行業用戶，提供具有核心競爭力的安全產品及解決方案，幫助客戶實現業務的安全順暢運行?；诙嗄甑陌踩シ姥芯?，綠盟科技在檢測防御類、安全評估類、安全平臺類、遠程安全運維服務、安全SaaS服務等領域，為客戶提供入侵檢測/防護、抗拒絕服務攻擊、遠程安全評估以及Web安全防護等產品以及安全運營等專業安全服務。
北京神州綠盟信息安全科技股份有限公司于2014年1月29日起在深圳證券交易所創業板上市交易，股票簡稱：綠盟科技，股票代碼：300369。
關于NeuVector
NeuVector 是最早開發Docker/Kubernetes安全產品的公司，是Kubernetes網絡安全的領導者，是第一也是目前唯一的多矢量容器安全平臺發明者。
NeuVector 致力于保障企業級容器平臺安全，產品適用于各種云環境、跨云或者本地部署等容器生產環境。NeuVector提供實時深入的容器網絡可視化、東西向容器網絡監控、主動隔離和保護、容器主機安全以及容器內部安全。和容器管理平臺無縫集成并且實現應用級容器安全的自動化。
