什麼是容器執行階段安全？

大多數安全團隊都有一項共同且持續存在的挑戰 –  在執行階段保護容器化應用程式。在此階段，您的容器最容易受到權限提升和零時差漏洞利用等攻擊。事實上，近期一項研究發現，於 2023 年使用容器的組織中，有 85% 曾遭遇資安事件，其中 32% 發生於執行階段。

那麼，如果只有一次疏忽會發生什麼事？您將承受重大資料外洩、營運中斷與停機 – 這絕對不是您希望組織面臨的結果。在本文中，我們提供可採取行動的洞察、威脅資訊，以及經驗證的策略，以改善您的容器執行階段安全。

什麼是容器執行階段安全？

容器執行階段安全是在容器於正式環境中主動執行時保護容器的實務。它涉及即時監控與威脅偵測，以識別並降低執行期間可能出現的弱點。它透過持續監控容器行為並強制執行適當的安全政策，防止惡意活動、未經授權的存取，以及系統設定錯誤。

容器執行階段安全的重要性

容器在執行時最為脆弱。不同於靜態分析或部署前檢查，執行階段安全可處理容器執行時利用弱點的即時威脅。容器執行階段防護可確保應用程式的完整性、支援並維持合規性，並保護敏感資料。

未能保護容器執行階段的隱藏成本

容器執行階段安全不是選項，而是sine qua non – 對您的組織不可或缺。若未能理解其重要性，可能會讓您付出高昂代價。我們為您列出幾項：

• 資料外洩：大多數容器都包含敏感與機密資訊 – 通常來自您的客戶。任何在維護這些資料完整性上的鬆懈，都可能被視為違反信任，並嚴重影響您的聲譽。因此，您不僅會失去資料，也會失去公信力，還可能必須面對多起昂貴的訴訟。
• 營運停機：組織的成功仰賴其如精密機器般順暢運作。安全性外洩就像在您的計畫中投下一把扳手 – 迫使整體營運被迫進入不受歡迎且代價高昂的停擺。單一安全事件就可能損害您的生產力與獲利能力。
• 智慧財產損失：您的容器也存放有價值的內部資料，例如專有演算法、商業機密與獨特程式碼。若攻擊者取得這些資料，您可能不得不完全停止某些產品與服務。最糟情況是 – 競爭對手取得您的 IP；您可能失去市場競爭優勢與客戶群。
• 保險費提高：您知道企業會為其資安投保嗎？他們這麼做主要有兩個原因 – 作為投資，以及支付因安全事件造成的費用。然而，一旦發生安全事件，您將面臨更高的保費。根據外洩事件的嚴重程度以及您如何處理補救措施，您甚至可能遭到完全拒保。
• 高昂的補救成本：在容器遭入侵後進行修復，是另一個燒錢（黑洞）的無底洞——而且你還必須挪用相當大一部分資源，才能讓一切重新恢復運作。為了修復損害，你需要修補漏洞、更新組態，並復原遭入侵的系統。但這還不是全部。你還需要努力重建客戶對你的信任。你可以透過重新稽核你的安全協定並加以改進來做到這一點。而且，所有這些補救措施都不便宜。
• 合規問題：金融與醫療保健服務還需承擔額外成本 – 因洩露敏感客戶資訊與不合規而被處以罰款。此外，他們也會受到監管機構更嚴格的審查。

容器執行階段安全如何運作？

容器執行階段安全以持續循環的方式運作；在整個執行過程中監督並分析容器的行為。它包含數個關鍵元件：

1. 即時威脅偵測：執行階段安全性最基本但極其重要的能力之一，就是在威脅發生時偵測到它。它使用進階安全工具來密切監控容器活動。它也會尋找可疑行為，例如未經授權的系統呼叫、不尋常的網路連線，或嘗試進行權限提升。如果容器試圖取得超出其存取權限的檔案，或嘗試連線到外部 IP 位址，系統會立即將其標記為高風險。儘早向安全團隊發出警示，有助於更有效地控制損害。
2. 政策強制執行: 容器執行階段安全不僅僅是監控容器；它也有助於透過一組規則與政策定義容器可執行的行為。這些預先定義的邊界可規範容器對資源、網路、資料庫等的存取。它也會監督容器之間的通訊；並阻止其偏離既定規則。
3. 事件回應: 一旦執行階段安全在容器中偵測到威脅，便會立即採取措施，例如隔離受影響的容器並警示安全團隊。它也會記錄事件資訊，以供鑑識分析與未來改進。此處需要注意的是，緩解威脅仍需要人工介入。
4. 持續監控: 由於執行階段安全會持續監控容器，因此有助於在流程中維持良好衛生，並即時掌握容器健康狀態。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

每家企業都應了解的 5 項關鍵容器執行階段安全威脅

以下是五項關鍵的容器執行階段安全威脅，是每家企業都必須了解的：

#1 設定漂移

您知道嗎，Tesla’s Kubernetes Console Breach in 2018就是因設定漂移所導致？其 Kubernetes 主控台在未設密碼保護的情況下暴露於外，使攻擊者得以挖礦加密貨幣。當因未被察覺或未經授權的修改而導致預期狀態出現差異時，就會發生這類設定漂移。長期下來，這會帶來新的風險、削弱安全性，並產生可被駭客利用的缺口。

#2 惡意程式碼執行

容器在執行階段處於最脆弱的狀態，而攻擊者正等待這個機會，偷偷注入惡意指令碼或應用程式。Hilton Hotels 在 2020 年曾親身經歷此威脅，當時駭客利用其 docker 容器取得對住客資料的存取權。更糟的是，他們之後還發動了勒索軟體攻擊。

#3 容器映像中的惡意軟體

容器映像是建構容器的基礎組件。然而，如果這些映像來自未經審查的來源，很有可能其中充斥著惡意軟體。您是否知道 2019 年 Docker Hub 惡意軟體事件？數百個含有加密貨幣挖礦程式的惡意映像曾託管於 Docker。自從該事件被發現後，Docker 已加強其安全性以避免此類入侵。

#4 權限提升攻擊

在容器中，使用者會被授予適當的權限以存取資訊。但試想一下，如果攻擊者或駭客取得了這些權限。  他們可能會利用組織的資源、植入惡意軟體，並干擾業務營運。在資安領域中，沒有人能忘記 CVE-2019-5736 runs 漏洞，攻擊者藉此取得主機的 root 存取權。他們利用此弱點覆寫主機的二進位檔。

#5 核心漏洞利用

主機與容器通常共用核心，這不可避免地使兩者都容易受到核心漏洞利用的影響。就在最近，  一個 嚴重的 Linux 核心漏洞 被發現。攻擊者取得了覆寫以唯讀方式掛載之容器上檔案的能力。為了領先防範此類事件，您需要定期更新並修補核心，同時實作 docker 執行階段安全性 工具。

如何偵測並修復您環境中的執行階段風險？

維護應用程式安全性的最佳方式，是在容器化環境中偵測並修復執行階段風險。然而，您需要以系統化的方法來進行。因此，以下提供逐步指南，協助您有效偵測並解決這些風險。

執行階段風險的偵測

• 持續即時監控：邁向最佳容器執行階段安全性的第一步，是取得能即時監控執行階段活動的工具。這些工具可監控事件串流、追蹤資源使用量變化，並識別容器作業中的異常。

專業提示： 請記得設定工具，以便在偵測到權限提升或未經授權的系統呼叫時立即向您發出警示。這些警報可讓您加速威脅緩解。

• 行為分析：下一步是定義您認為正常容器活動的基準。一旦系統學習到容器行為的常見模式——例如資源消耗、網路活動等等——便能精準找出偏差。在面對複雜威脅（內部人員攻擊）時，行為分析可能是最有價值的工具。

專業提示： 標準的基於特徵碼方法，並不總是擅長識別進階且隱晦的威脅。

• 快照掃描：快照掃描是指對容器執行階段的各個階段建立快照。它可偵測在初始部署期間未被識別出的弱點，例如設定錯誤或過時的軟體元件。

專業提示： 如果您的容器會持續以新的程式庫或相依性進行更新，快照掃描就是容器執行階段安全性流程中不可或缺的步驟。

• 系統呼叫監控：容器程序經常會向主機系統核心提出請求。這些「syscalls」可協助容器與作業系統互動，以存取檔案或管理記憶體。  您的下一步是實作可定期監控此類呼叫並篩選可疑呼叫的系統。

專業提示： 請務必為 setuid 或 setgid 呼叫設定篩選器，因為這些呼叫可能會變更使用者或群組 ID。

• 入侵偵測系統 (IDS)：偵測執行階段風險的最後一步，是部署容器專用的 IDS 解決方案，以監控容器內的網路流量、檔案完整性及程序活動，從而偵測潛在入侵。

專業提示： 您可以設定 IDS 來偵測未經授權的存取、資料外洩嘗試，或容器之間的可疑通訊。

執行階段風險的修復

一旦您偵測到執行階段風險，就該回應這些威脅並將其對營運的影響降至最低。讓我們來看看可如何管理修復作業：

• 自動化事件回應：偵測到威脅後，將回應流程自動化以將損害降至最低。這包括隔離或終止已遭入侵的容器，或回復至先前版本。因此，如果容器遭到入侵，系統可自動還原為備份映像，或觸發容器安全版本的更新。
• 組態管理：我們知道，未受管理的組態可能導致偏移。您可以透過定期檢閱與更新組態來避免這種情況。這可確保容器不會以過高權限、不必要的網路存取權，或設定錯誤的儲存磁碟區執行。
• 存取控制: 使用嚴格的存取控制，例如 角色型存取控制 (RBAC)。您可以為使用者和程序定義清楚的角色，並以精確的權限限制其在容器化環境中可執行的操作。透過限制對關鍵元件的存取，若容器遭到入侵，您可降低攻擊者取得敏感資源控制權的風險。
• 與安全解決方案整合: 確保您的執行階段安全工具可與技術堆疊中的其他安全解決方案無縫整合。將容器安全工具連結至 SIEM（安全資訊與事件管理） 系統或您的 雲端安全平台，以關聯警示、識別更廣泛的攻擊模式，並維持對基礎架構的端對端可視性。
• 持續弱點掃描: 在執行期間定期執行 容器執行階段掃描，以偵測已知弱點與惡意軟體。使用可自動掃描容器中已知 CVEs (Common Vulnerabilities and Exposures) 的工具，標示過時或有弱點的元件。

容器執行階段安全最佳實務

容器執行階段安全 對於維護容器化應用程式的完整性與機密性至關重要。您可以透過採用下列最佳實務來強化安全性：

#1 使用最小化基礎映像

較小的映像代表較小的攻擊面；威脅行為者通常不會費心處理這些映像。其體積小也表示僅包含必要元件，使其更易於管理，進而減少攻擊者可能利用的進入點。

#2 定期更新與修補

與其他任何軟體一樣，容器也需要定期以較新的修補程式更新，以處理弱點。Heartbleed attack 的發生，是因為某個 Docker 映像使用了過時版本的 OpenSSL。將定期弱點掃描整合至您的 CI/CD 管線中，以便及時識別並處理問題。

#3 實施最小權限原則

攻擊者總是在尋找可利用權限作為入侵點。若您不是讓容器以 root 權限執行，而是將其設定為較低層級的權限，便可輕鬆避免安全風險。

#4 善用安全模組

為了增加額外的安全層，請選擇如 Seccomp 和 AppArmor 等安全模組，以限制容器可進行的系統呼叫。這些模組基本上會鎖定核心互動並封鎖未授權的系統呼叫，防止容器逃逸。它們也能強制執行更嚴格的安全政策，確保容器在定義的參數內運作，且無法執行未授權的動作。

#5 啟用 SELinux

Security-enhanced Linux (SELinux) 是一種可靠的安全機制，可對容器程序強制執行強制存取控制 (MAC)。透過 SELinux，您可以控制並限制遭入侵的容器存取主機上的敏感資源（設定檔、系統程式庫）。

#6 隔離容器

使用網路政策、防火牆及其他隔離技術，將容器彼此分隔。這種隔離可限制環境內橫向移動的可能性，並降低入侵在容器之間擴散的風險。

#7 監控並記錄活動

實作可提供容器執行階段活動可視性的工具，例如程序執行、網路通訊及系統呼叫。透過記錄並分析這些資料，您可以識別可疑行為，並在威脅升級前做出回應。

#8 使用可信任的登錄庫

使用來自可信來源的映像，可降低將惡意程式碼引入環境的風險。此外，請確保映像已簽署，並在部署前驗證其完整性，以防止遭到竄改。

#9 限制資源使用量

為容器設定資源限制，是防止阻斷服務 (DoS) 攻擊並確保資源公平分配的關鍵策略。透過限制 CPU、記憶體與儲存空間的使用量，您可以防止任何單一容器壓垮主機系統並干擾其他應用程式。

#10 定期進行安全稽核

定期安全稽核與滲透測試應涵蓋 容器安全 的所有層面，從映像建立與組態管理到 容器執行階段防護。

SentinelOne：全面的容器執行階段安全

SentinelOne 的 Singularity Cloud Workload Security (CWS) 為容器化工作負載提供全面防護，著重於執行階段期間的即時安全性。此平台透過下列功能，確保您的容器可防禦多種威脅：

1. AI 驅動的即時威脅偵測: SentinelOne 的 CWS 提供即時雲端工作負載保護平台 (CWPP）功能，可保護容器化環境免受勒索軟體和零時差漏洞利用等進階威脅。
2. 自主回應與復原：SentinelOne 的快速回應能力可確保在偵測到威脅時，自動將其消除，以將停機時間降至最低並確保持續可用性。其自動化 Storyline™ 攻擊視覺化可對應至 MITRE ATT&CK TTP，並簡化大規模鑑識成品蒐集。
3. 全面的可視性與鑑識：透過與 Singularity data lake 整合，SentinelOne 可提供詳細的鑑識歷史記錄與工作負載遙測，讓資安團隊能徹底調查事件。Workload Flight Data Recorder™ 會擷取並記錄所有相關資料，以提供全面可視性。
4. 廣泛的平台支援與可擴充性：SentinelOne 支援 14 種主要 Linux 發行版本、多種容器執行階段（Docker、containers、cri-o），以及來自 Amazon Web Services (AWS)、Microsoft Azure 和 Google Cloud 等主要雲端供應商的受管與自管 Kubernetes 服務。它也可與 Snyk 整合，並將無代理 CNAPP 與獨特的攻擊引擎結合。
5. 用於穩定性與效能的 eBPF 架構：採用 extended Berkeley packet filter (eBPF) 架構可提升平台的穩定性與效能。此設計可避免核心相依性，因此 CPU 與記憶體負擔較低。
6. 與 DevSecOps 工具整合：SentinelOne 可與 DeSecOps 工具整合，在整個開發生命週期中提供無縫體驗與持續的安全監控。

Take A Tour

AI-powered cloud workload protection (CWPP) for servers, VMs, and containers, that detects and stops runtime threats in real time.