容器的使用持续增长。无论是出于采用无服务器架构和云原生应用的需求，还是为了实现单体应用现代化，容器都在迅速成为部署应用的首选平台。
Sysdig最近发布了《2019年容器使用情况报告》，该报告基于从其公有云和本地部署服务客户处收集的数据，涵盖超过200万个容器。
除了发现其中60%的容器都在运行NGINX这一令人振奋的情况（至少对我而言），Sysdig还发现了一些颇令人担忧的安全统计数据。
来看这项数据：54%的容器存续时间不到5分钟。2018年，这一比例仅为20%。
为什么这令人担忧？当然是因为安全问题。如果要保护访问安全（确实应该如此），并保护该容器中运行的应用或API，就必须确保安全服务持续调整策略，以匹配集群的当前状态。这意味着，容器启动时需要应用策略，停用时则需要移除策略。如此频繁的变化会带来大量运维开销。即使对于相对静态的应用，要妥善保障安全也并非易事；对于高度动态的应用，要快速做到这一点更是困难。
如果这还不足以引起重视，不妨看看这组数据：尽管60%的容器镜像来自私有注册表（做得不错！），但其中52%未能通过镜像扫描。这意味着这些镜像存在严重级别为“高”或更高的已知漏洞。
唉，真让人无语。
事实证明，很多人正以root用户身份运行容器（每台主机的中位数为21个），或以特权模式运行容器（每台主机的中位数为4个）。还有一些容器未限制权限（每台主机的中位数为28个）。这尤其令人沮丧，因为Docker（使用最广泛的容器运行时）默认以一组受限的功能启动。这意味着有人有意更改了默认安全设置。在不受限制的情况下运行容器，可能导致权限提升或容器逃逸（从而能够访问系统）。
下面先简要回顾一下容器安全的基础知识：
- 锁好门。 身份验证必不可少。务必要求使用高强度凭据，并经常轮换。应尽可能使用双重身份验证，尤其是在以特权方式访问编排控制台和关键基础设施时。
- 妥善保管敏感信息。 不要无意中将密钥和凭据等机密信息公开存放在代码库或易于访问的共享源中。
- 筛查请求。并非所有请求都有效，有些请求还携带恶意代码。无论是应用还是基础设施服务，都应检查并评估内容是否存在恶意意图。可将扫描与SSL/TLS终止整合，以优化处理并抵消轻微的性能损耗。
- 修补漏洞。 如果已知某个镜像、服务、工作负载或其他组件存在漏洞，请及时修补。对于外部来源组件中的漏洞，尤其需要如此处理，因为它们往往是备受关注的攻击目标。这是因为，当 Apache Struts 等广泛部署的应用或基础设施出现漏洞时，攻击者只需投入很少的资源即可发现并利用漏洞，从而获得大量可乘之机。
要保障应用乃至企业的安全，真正落实良好的容器安全实践至关重要。我们即将发布的2020年《应用服务状况报告》发现，云原生应用和微服务平均占企业应用组合的15%。尽管研究结果显示，新应用的待办任务长期积压，这一比例仍达到15%。这意味着容器化应用只会越来越多。如果连少量应用都无法保护，又怎能期望扩大安全防护规模，保护其中相当大的一部分？
践行安全的容器化实践。
如果您想重温容器安全基础知识，不妨阅读这一系列文章。该系列汇集了我的F5同事Jordan Zebor的专业见解：
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。