[[434143]]

【51CTO.com快譯】容器(當然是指在公共云上運行的容器)現在其實是老古董。這些獨立的輕量級軟件包帶有自己的運行時環境，可以在平臺之間移動，通常無需大幅改動代碼。容器包括應用程序及其依賴項，比如庫、其他二進制代碼以及運行它們所需的配置文件。

容器是最流行的應用程序開發方法之一，也支持“包裝”存在于容器中的應用程序，但容器面臨系統性的缺陷和漏洞。因此，使用容器成為云安全專家最害怕的事情之一，也是不法分子的首選攻擊途徑。

核心問題是任何暴露很容易牽扯連接到容器的其他系統、應用程序和數據。此外，這些組件中的缺陷可能使攻擊者能夠控制系統以及系統可以訪問的任何敏感數據。這時候會發生糟糕的事情。

檢測容器漏洞的最佳方法是什么?更重要的是，可以做些什么來最大程度地減少對必須使用容器構建系統的人造成的干擾?

答案實際上分為兩部分：掃描漏洞和構建以避免漏洞。

考慮到掃描是CI/CD(持續集成和持續交付)管道的一部分，掃描是最常見的方法。在創建、測試、審查和部署代碼時以及操作期間，掃描可查找安全問題。自動化掃描過程可以發現漏洞，而且在一些情況下，無需開發人員的任何參與即可自動糾正漏洞。

掃描注冊中心或查遍存儲庫集合查找異常可一次查看多個容器映像。當容器映像從注冊中心實例化到生產系統時，無論是不是在云端，這些都成為運行中的容器。

運行時環境掃描是另一種方法，旨在掃描執行中的容器以查找安全問題。

最好的辦法是利用類型盡可能多的漏洞掃描，從而消除構建和部署基于容器的應用程序方面的部分(但不是全部)風險。

構建以避免漏洞常常是利用常識——考慮可能因愚蠢的做法而引入的漏洞，比如使用來自不可靠來源的基礎映像。其他方法將是充分利用經過安全審計部門審查的工具，僅使用來歷清楚的代碼，并為開發人員提供特殊培訓，以便在構建安全容器時做出正確的選擇。

選擇合適的工具用于掃描，并對構建、測試、暫存和部署的容器加大掃描力度。檢查每個階段的安全問題其實并不減慢進度，而是完全可以降低風險。

這不是什么艱深的科學。您充分利用已有的經過驗證的工具。話雖如此，許多容器開發人員并沒有使用一些最基本的安全工具和方法。考慮到大多數遷移到云的IT部門是高度依賴容器的，我們需要解決這個問題。

原文標題：When containers become a nightmare，作者：David Linthicum

【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】