sentinel, Lab
技战法概述
容器已成为企业应用交付和部署的主流载体，Kubernetes 集群、容器运行时和镜像仓库共同构成了云原生基础设施的核心。然而，容器在带来敏捷性的同时，也引入了全新的攻击面：镜像漏洞、不安全的运行时配置、逃逸漏洞、东西向流量失控等问题，都可能被攻击者利用，从单个容器突破到宿主机乃至整个集群。
容器安全的目标是构建覆盖构建、部署、运行、响应四个阶段的纵深防御体系，实现”默认拒绝、最小权限、持续监控、快速响应”的安全能力。
容器攻击面全景
| 攻击面 | 典型风险 |
|---|---|
| 镜像供应链 | 基础镜像投毒、漏洞镜像、硬编码密钥 |
| 容器运行时 | 特权容器、敏感挂载、危险 Capabilities |
| Kubernetes 集群 | 不安全的 Pod 配置、RBAC 过度授权 |
| 网络 | 东西向流量无隔离、恶意外联 C2 |
| 宿主机内核 | 逃逸漏洞（如 CVE-2019-5736）、共享内核攻击面 |
| 编排层 | 控制平面暴露、API Server 未授权访问 |
常见容器安全问题分布
| 问题类型 | 占比 | 说明 |
|---|---|---|
| 镜像存在高危漏洞 | 32% | 基础镜像与依赖组件 CVE 未修复 |
| 特权/过度权限配置 | 21% | privileged、hostPID、危险 capabilities |
| 敏感信息泄漏 | 15% | 镜像与配置中硬编码密钥/Token |
| 运行时缺少监控 | 13% | 未部署运行时行为检测能力 |
| 网络未隔离 | 11% | 未使用 NetworkPolicy 微隔离 |
| 供应链不可信 | 8% | 未做镜像签名与来源验证 |
四阶段技战法
| 阶段 | 名称 | 关键目标 |
|---|---|---|
| 构建 | 镜像与供应链安全 | 镜像扫描、签名验证、SBOM 生成 |
| 部署 | 配置与策略防线 | 运行时配置审计、准入策略、CI/CD 门禁 |
| 运行 | 行为监控与检测 | 系统调用/文件/网络/进程四维监控 |
| 响应 | 应急处置与修复 | 即时隔离、证据收集、攻击溯源、安全修复 |
场景总览
| 场景 | 名称 | 说明 |
|---|---|---|
| 场景 1 | 容器环境安全评估 | 评估容器基础设施安全现状，识别风险 |
| 场景 2 | 部署前安全防线 | 镜像扫描、配置审计、内核检查、策略准入 |
| 场景 3 | 运行时四维行为监控 | 系统调用/文件/网络/进程行为监控 |
| 场景 4 | 应急响应处置管线 | 隔离、取证、溯源、修复四步闭环 |
| 场景 5 | 容器安全全生命周期防线 | 构建/部署/运行/响应 13 项防护总览 |