甚麼是容器保安？

保護主機應從選擇作業系統開始。在可能情況下，您應該採用為運作容器而優化的分布式作業系統。假如您使用積存的 Linux® 配送或 Microsoft® Windows®，您需要確保已停用或移除不必要的服務，並需整體強化作業系統。之後，更需要增加一層保安及監控工具以確保主機如您預期般運作。像應用程式管控及入侵防禦系統（IPS）這類工具在此情況下將極為有用。

當您的容器在生產上運作時，它需要與其他容器及資源互動。所有網絡交通流量必須通過 IPS 進行，以確保這些內部流量被監控及防護，而這亦會改變您部署保安管控的方式。除了在周邊應用少量極大型的傳統 IPS 引擎外，您亦可在每一部主機使用 IPS，讓您可以在不嚴重影響系統效能的情況下有效監控所有流量。

當容器在生產運作後，它會持續處理應用程式的數據、產生記錄及快取檔案。保安管控可協助確保它們只是恆常活動，而非惡意行為。在容器內容上運行的實時防惡意程式管控是重要一環。

而 IPS 亦在此擔當重要角色，它提供名為虛擬補丁的功能。假如一個漏洞被在遙距利用，IPS 引擎可偵測到試圖利用漏洞的行為，並會發出封包保護您的應用程式。這為您爭取時間在容器的下一版本對應根本原因，而無須急於推出緊急修補程式。

當您在容器部署應用程式時，一個運行期應用程式自我防護（RASP）保安管控可以對您有幫助。這個保安管控在應用程式碼內運行，並經常在程式碼中阻截或鉤出主要的請求。除了結構化查詢語言（SQL）監控、依賴性檢查與修正、網址確認及其他管控外，RASP 亦可以解決保安中的其中一個大挑戰：根源識別。

這個處於應用程式碼之內的保安管控，可以協助連繫一宗保安事故中的資料及導致事件的程式碼。此程度的警覺性可說是無可匹敵的，並會大為強化您的保安態勢。

以保安而言，管理組合可以協助協調經常被忽視的容器。任何重視容器部署的機構都無可避免地需要兩個重要的基建來協助管理整個程序，包括私隱容器註冊，如 Amazon ECS 及 Kubernetes 等，以協助協調容器部署。

結合容器註冊及 Kubernetes 讓您可以在重新在環境部署之前及之中自動為容器執行一套質素及保安標準。

註冊表可簡化分享容器程序及協助團隊在其他成員的項目上進行建構。不過，要確保每個容器都達到開發及保安的最低要求，您需要一個自動化掃瞄儀。在註冊表未察覺前已掃瞄每個容器，以找出已知漏洞、惡意程式及其他被暴露的機密，以便在下游減少事故數量。

此外，您亦須確保註冊表亦得到充分保護。它應在強化的系統或有信譽的雲服務上運行。即使在使用雲服務的情況下，您仍然需要了解共享責任模式及施行強大的角色為基措施來登入註冊表。

在協調方面，當 Kubernetes 開始在環境運行及部署後，您將可享有一系列優勢，協助確保團隊從環境中取得最大好處。Kubernetes 亦可提供實施運作及保安管控的功能，包括 Pod （組群層級資源）及網絡保安政策等，讓您可以執行不同選項以達至風險容忍度。

您需要準備就粹一套容器掃瞄流程，以確保用作建構板塊的容器是可靠並可防護常見威脅。此級別的工具會掃瞄容器內容，在它被用作應用程式建構板塊前尋找問題，並在容器被部署至生產前進行最後檢查。

適當實施的掃瞄將自然成為編碼程序的一部份。這是一個全自動化的程序，可在開發應用程式及其容器時簡單快速地識別任何問題。

攻擊者者開始將攻擊改至持續整合/持續交付（CI/CD）流程的初期進行。假如攻擊者成功入侵您的建構伺服器、編碼庫或開發人員工仍站，他們就可以長時間逗留在您的環境內。您需要一套持續更新的強大保安管控。

從編碼庫開始至分枝政策一直擴展至容器庫，在整個流程實施強大的登入管控政策。您需要確保實行了最低權限原則（只提供與進行有關任務所需的存取權限），與及定期審核此存取權。