蜂巢之声：青藤首发“容器安全成熟度模型”( 三 ) 为此

在此阶段，要实现容器和编排工具的安全性，团队必须注意事项：

扩展配置管理，在此阶段，还需要加强容器和编排工具的配置管理。对于容器，需要做到以下几点：

?确保实现正确的容器配置，不会产生计划之外的特权用户

?以非root用户身份运行容器

蜂巢之声：青藤首发“容器安全成熟度模型”。?在容器中使用只读根文件系统

?使用秘钥管理工具，而不要将秘钥存储在镜像中

?调整容器的权限，确保访问限制尽可能严格

?设置容器的内存和CPU限制，让其能够满足功能需要求，但不能再执行其他操作

对于编排工具(以Kubernetes为例)：

?使用命名空间隔离资源

?限制Pod之间的通信

?使用Pod安全策略限制Pod可以实现的功能

设置运行时安全。应用投入生产后，必须能够检测到应用中出现异常行为，这可能是发生安全事件的前兆，包括：

?容器中运行了哪些进程

?是否有足够的信息来评估每个容器的风险并相应地确定修复的优先级

?是否存在异常网络流量，是否存在策略太宽松，导致发生安全事件后影响范围过大

设置网络分段。如何管理网络分段将取决于具体应用，但是网络分段的原理没有变化。应允许每个Pod仅与执行其功能所需的内部或外部资源进行通信。

满足合规需求。合规要求取决于应用的功能以及所在的行业。

第4阶段：快速扩容

在第一个应用投入生产取得成功后，组织机构就会将更多的应用容器化，然后投入生产。这时，容器化所涉及的工程师和团队的数量增加了。

在这一阶段，复杂性成为主要问题。复杂性不仅会给安全带来挑战，还会给事件响应和合规带来挑战。在该阶段，组织机构的治理策略对于确保开发、测试、部署和运行应用的标准工作流程至关重要。这些策略包括安全防护，确保在整个组织机构中统一安全处理，并最大程度地降低个人错误的风险。

在这一阶段，应主要注意以下方面：

自动化至关重要。随着公司处理的集群越来越多，手动进行配置管理或手动筛选原始事件数据来分析运行时行为，已不太可行。自动化变得尤其重要，通过自动化工具实现统一行安全策略是唯一可行方法。

更复杂的合规要求。在此阶段，重要的是要追踪，哪些应用或微服务要满足哪些合规要求，并通过合规检查来查看它们是否满足合规要求。

服务隔离和分段。随着服务数量的增加以及合规和安全生态系统变得越来越复杂，在服务之间进行适当的流量隔离和分段至关重要。

蜂巢之声：青藤首发“容器安全成熟度模型”( 三 )