【技術實現步驟摘要】
本專利技術涉及容器，尤其涉及一種容器逃逸防御方法、裝置及存儲介質。
技術介紹
1、容器是一種輕量級的虛擬化技術，它允許在單個操作系統實例上運行多個隔離的應用程序。容器技術使得應用程序及其依賴項可以作為一個單元（容器）被封裝起來，這樣就可以在任何支持容器技術的平臺上一致地運行，而不受底層基礎設施的影響。容器與主機共享操作系統內核，不同的容器之間可以共享部分系統資源，因此更加輕量級，消耗的資源更少。容器技術的出現解決了傳統部署方法中存在的一系列問題，使得軟件開發和部署更加一致、高效。隨著容器技術的普及，與之相關的安全問題也逐漸凸顯出來，其中最為引人關注的就是容器逃逸。容器逃逸指的是攻擊者通過劫持容器化業務邏輯或直接控制等方式，已經獲得了容器內某種權限下的命令執行能力；攻擊者利用這種命令執行能力，借助一些手段進而獲得該容器所在宿主機上某種權限下的命令執行能力。容器逃逸是最為嚴重的安全風險，直接危害了底層宿主機和整個云計算系統的安全。一旦成功，攻擊者可以在容器內執行任意代碼，甚至可以控制整個系統。
2、現有技術中為解決容器逃逸通常采用如下方式：通過檢查容器配置，確保配置項均符合安全基線；以及在容器運行時，對運行的進程和進程參數進行實時檢查，及時發現并防御逃逸攻擊；使用強制訪問控制，避免容器逃逸后的造成實質性的危害。但上述方法各有利弊，檢查安全配置可以防御已經發現的絕大多數容器逃逸漏洞，但是仍無法避免利用0day漏洞進行的逃逸攻擊；進行運行檢查可以及時發現逃逸攻擊，并采取相應防御手段，但是不可避免的產生一定額外的開銷，尤其當容
技術實現思路
1、本專利技術實施例提供了一種容器逃逸防御方法、裝置及存儲介質，以解決現有技術中防御容器逃逸不能完全防范逃逸防御和防范開銷過高的技術問題。
2、第一方面，本專利技術實施例提供了一種容器逃逸防御方法，包括：
3、在容器啟動前，根據容器設置分配對應的磁盤卷，對所述磁盤卷進行安全配置；
4、對進行安全配置后的磁盤卷進行讀寫掛載設置；
5、在容器啟動后，將所述容器的工作目錄與所述磁盤卷進行掛載關聯，防止容器逃逸攻擊在所述容器工作目錄運行。
6、第二方面，本專利技術實施例還提供了一種容器逃逸防御裝置，包括：
7、設置分配模塊，用于在容器啟動前，根據容器設置分配對應的磁盤卷，對所述磁盤卷進行安全配置；
8、讀寫掛載設置模塊，用于對進行安全配置后的磁盤卷進行讀寫掛載設置；
9、掛載關聯模塊，用于在容器啟動后，將所述容器的工作目錄與所述磁盤卷進行掛載關聯，防止容器逃逸攻擊在所述容器工作目錄運行。
10、第三方面，本專利技術實施例還提供了一種包含計算機可執行指令的存儲介質，所述計算機可執行指令在由計算機處理器執行時用于執行如上述實施例提供的容器逃逸防御方法。
11、本專利技術實施例提供的容器逃逸防御方法、裝置及存儲介質，通過在容器啟動前，根據容器設置分配對應的磁盤卷，對所述磁盤卷進行安全配置；對進行安全配置后的磁盤卷進行讀寫掛載設置；在容器啟動后，將所述容器的工作目錄與所述磁盤卷進行掛載關聯，防止容器逃逸攻擊在所述容器工作目錄運行。利用在容器運行前，設定相應的存儲磁盤卷，并提前對磁盤卷進行相應的安全處理，并在容器運行后，將處理后的磁盤卷關聯容器，以使得容器在運行時，在分配的磁盤卷防止關鍵的命令和程序運行，以及防止訪問設備文件。通過對磁盤卷進行管控實現對容器工作目錄的管控，無需設定復雜的安全機制，也無需對容器業務進行監控，能夠實現對容器逃逸攻擊有著較好的防御效果且不會產生額外開銷。
本文檔來自技高網...【技術保護點】
1.一種容器逃逸防御方法，其特征在于，包括：
2.根據權利要求1所述的方法，其特征在于，所述根據容器設置分配對應的磁盤卷，包括：
3.根據權利要求1所述的方法，其特征在于，所述方法還包括：
4.根據權利要求3所述的方法，其特征在于，所述根據容器配置文件，查找容器在宿主機上存放文件的路徑，包括：
5.根據權利要求4所述的方法，其特征在于，所述利用安全標記對所述路徑對應的目錄進行管控，包括：
6.根據權利要求2所述的方法，其特征在于，所述對所述磁盤卷進行安全配置，包括：
7.根據權利要求1所述的方法，其特征在于，所述根據容器設置分配對應的磁盤卷，包括：
8.根據權利要求1所述的方法，其特征在于，所述根據容器設置分配對應的磁盤卷，包括：
9.一種容器逃逸防御裝置，其特征在于，包括：
10.一種包含計算機可執行指令的存儲介質，其特征在于，所述計算機可執行指令在由計算機處理器執行時用于執行如權利要求1-8任一所述的容器逃逸防御方法。
【技術特征摘要】
1.一種容器逃逸防御方法，其特征在于，包括：
2.根據權利要求1所述的方法，其特征在于，所述根據容器設置分配對應的磁盤卷，包括：
3.根據權利要求1所述的方法，其特征在于，所述方法還包括：
4.根據權利要求3所述的方法，其特征在于，所述根據容器配置文件，查找容器在宿主機上存放文件的路徑，包括：
5.根據權利要求4所述的方法，其特征在于，所述利用安全標記對所述路徑對應的目錄進行管控，包括：
6.根據權利要求2所...
【專利技術屬性】
技術研發人員：陳博翰，屈寧，楊詔鈞，魏立峰，孔金珠，諶志華，
申請(專利權)人：麒麟軟件有限公司，
類型：發明
國別省市：
還沒有人留言評論。發表了對其他瀏覽者有用的留言會獲得科技券。