容器轻量、灵活、高效，是现代应用交付的利器。但安全问题若处理不当，同样会"翻车"。本篇文章全面讲解 Docker 安全机制与防御实践，助你构建一套稳固的容器防线。
一、为什么要关注 Docker 安全？
随着微服务架构与云原生技术的普及，越来越多系统开始基于容器运行。但容器并非天生安全，存在以下风险：
- 容器逃逸风险：攻击者突破容器限制，控制宿主机；
- 镜像漏洞与后门：镜像来自不可信来源或含已知漏洞；
- 容器间越权访问：同宿主机容器可被间接攻击；
- 权限过高：默认 root 用户、开放的 capabilities；
- 不当配置：如挂载宿主机敏感目录等。
容器是一种"隔离不完全的轻量虚拟化"，更需要对网络、存储、执行权限进行显式控制。
二、Docker 容器隔离机制总览
Docker 依赖 Linux 内核特性提供隔离保障：
| 安全技术 | 作用 |
|---|---|
| Namespace | 隔离进程、网络、挂载点、IPC、用户等 |
| Cgroups | 限制资源使用（CPU、内存、IO） |
| Capabilities | 精细控制进程特权 |
| Seccomp | 限制系统调用 |
| AppArmor / SELinux | MAC 强制访问控制机制 |
| Chroot | 更改进程根目录（部分隔离） |
Mermaid 图示：Docker 容器隔离机制架构图
三、容器逃逸风险及防御策略
3.1 什么是容器逃逸？
容器逃逸是指攻击者在容器内获取宿主机控制权。逃逸手段包括：
- 利用 Linux 内核漏洞（如 CVE-2019-5736）
- 挂载宿主机敏感路径（如 /proc、/sys、/var/run/docker.sock）
- 运行高权限容器（--privileged）
3.2 逃逸防御最佳实践
| 防御措施 | 示例 |
|---|---|
| 禁止使用 --privileged 容器 | 启动容器禁止 --privileged |
| 控制宿主机目录挂载 | 禁止挂载 /、/var/run/docker.sock |
| 使用非 root 用户运行容器 | USER 指定低权限用户 |
| 升级内核、使用容器运行时安全增强 | gVisor、Kata Containers |
| 开启 seccomp、AppArmor、SELinux 策略 | 配置安全策略文件 |
四、镜像安全防护：构建链要可信
4.1 镜像的常见问题
- 使用不明来源镜像（如 docker hub 随手拉的）
- 镜像含漏洞包（如 Log4j、OpenSSL 漏洞）
- 镜像中包含明文密码、私钥等敏感信息
4.2 防御策略
- ✅ 使用可信镜像源：企业内部仓库 / Docker 官方源
- ✅ 设置只读文件系统：read-only 标志限制写操作
- ✅ 镜像构建自动化：使用 CI/CD 自动构建、签名验证
- ✅ 镜像漏洞扫描工具：
| 工具 | 优势 |
|---|---|
| Trivy | 轻量、支持多语言依赖扫描 |
| Clair | Harbor 内置支持 |
| Docker Scan | Docker 官方命令集成 |
4.3 镜像构建与发布安全流程
五、容器权限管理与防止越权操作
5.1 限制容器的特权操作
- 避免默认以 root 用户运行（Dockerfile 设置 USER）
- 设置 --cap-drop 移除不必要的 Linux 权限
- 禁止 --privileged 选项
- 设置只读文件系统（--read-only）
示例：
bash
docker run \
--cap-drop ALL \
--read-only \
--user nobody \
nginx5.2 Capabilities 权限说明
Linux Capabilities 将 root 权限拆分为若干小粒度权限，容器默认开启部分。
| 常见 Cap | 说明 |
|---|---|
| CAP_NET_ADMIN | 网络配置 |
| CAP_SYS_ADMIN | 系统管理（危险） |
| CAP_CHOWN | 改变文件所有权 |
| CAP_SETUID | 设置用户 ID |
六、限制系统调用：Seccomp 沙箱机制
Seccomp（Secure Computing Mode）用于限制容器能调用的系统调用（syscall）。
Docker 默认启用 default.json 的 seccomp 配置，禁止 40 多个高风险调用。
自定义 seccomp 配置：
bash
{
"defaultAction": "SCMP_ACT_ERRNO",
"syscalls": [
{
"names": ["execve", "clone"],
"action": "SCMP_ACT_ALLOW"
}
]
}运行时指定：
bash
docker run --security-opt seccomp=/path/to/seccomp.json alpine七、使用 AppArmor / SELinux 进行访问控制
AppArmor 和 SELinux 提供 强制访问控制（MAC） ，控制容器进程访问文件、资源的能力。
Docker 默认支持 AppArmor
Ubuntu 下的 Docker 安装默认加载 profile：
bash
docker run --security-opt apparmor=docker-default nginx你也可以自定义 profile 进一步限制访问行为。
八、安全审计与容器行为监控
容器运行时行为可能存在异常，需及时检测、告警与审计：
推荐工具
| 工具 | 功能 |
|---|---|
| Falco | CNCF 项目，支持系统调用级别审计 |
| Sysdig | 可视化容器行为监控与分析 |
| auditd | Linux 内核审计日志支持 |
Falco 示例规则：
bash
- rule: Write below etc
desc: Attempt to write to /etc
condition: evt.type = open and fd.name startswith /etc and evt.is_write = true
output: "Write below /etc detected"
priority: WARNING九、容器安全最佳实践 Checklist ✅
| 安全点 | 是否落地 |
|---|---|
| 使用最小权限用户运行容器 | ✅ |
| 镜像使用可信来源并定期扫描漏洞 | ✅ |
| 禁止 --privileged 容器 | ✅ |
| 配置 Seccomp/AppArmor 策略 | ✅ |
| 使用只读文件系统和挂载白名单 | ✅ |
| 配置资源限制（CPU/内存）防止 DoS | ✅ |
| 日志监控与异常审计系统上线 | ✅ |
十、总结：安全容器不是"配置一次就完事"
容器带来的不是天然的安全，而是一种可组合、可编排的安全模型。你需要将安全实践内嵌进容器生命周期的各个环节：
- 镜像构建 → 检查与扫描
- 容器运行 → 权限限制、资源控制
- 运维运转 → 行为审计、事件告警
- 持续改进 → 安全基线自动检查
这才是构建现代容器平台安全能力的根本。