[發明專利]一種基于sidecar方案的kubernetes業務容器安全性探測方法

在審

• 申請號: 202010691148.X
• 申請日: 2020-07-17
• 公開（公告）號: CN111865971A
• 公開（公告）日: 2020-10-30
• 發明（設計）人: 李斌;楊帆;吳震;張正強
• 申請（專利權）人: 成都三零凱天通信實業有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F9/455
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 錢成岑

本發明公開了一種基于sidecar方案的kubernetes業務容器安全性探測方法，包括：在內核中集成基于LSM和/或Rootkit的安全模塊；在Pod中為每一個需要監測和控制的kubernetes業務容器添加統一的sidecar容器，并為Pod中的多容器開啟共享進程命名空間；sidecar容器中的監控進程與內核進行通訊，使sidecar容器中的監控進程和安全模塊配合起來，根據sidecar容器中的安全監測選項，對kubernetes業務容器中的進程和文件系統進行監測和控制。本發明實現了對kubernetes業務容器做無侵入的運行時安全監測，有效提高容器的安全性。

技術領域

本發明涉及云計算安全領域，尤其是一種基于sidecar方案的kubernetes業務容器安全性探測方法。

背景技術

隨著微服務的熱度不斷上升，企業的業務上云也越來越普遍。越來越多的企業選擇kubernetes集群來部署自己的應用，而Docker作為實現微服務首選容器，在大規模部署的同時其安全性卻沒有引起足夠的重視。目前有多種針對容器安全性的檢測機制：

一類是針對容器鏡像進行靜態掃描，這類機制不能完全檢測到運行時的異常行為

還有一類就是針對容器進行運行時安全檢測，這類機制一般都需要對容器進行侵入式的修改，這無疑提高了業務部署的復雜度。

發明內容

本發明所要解決的技術問題是：針對上述存在的問題，提供一種基于sidecar方案的kubernetes業務容器安全性探測方法，以對kubernetes業務容器做無侵入的運行時安全監測。

本發明采用的技術方案如下：

一種基于sidecar方案的kubernetes業務容器安全性探測方法，包括：

在內核中集成基于LSM和/或Rootkit的安全模塊；

在Pod中為每一個需要監測和控制的kubernetes業務容器添加統一的sidecar容器，并為Pod中的多容器開啟共享進程命名空間；

sidecar容器中的監控進程與內核進行通訊，使sidecar容器中的監控進程和安全模塊配合起來，根據sidecar容器中的安全監測選項，對kubernetes業務容器中的進程和文件系統進行監測和控制。

進一步地，所述在內核中集成基于LSM和/或Rootkit的安全模塊的方法為：

修改宿主機的內核代碼，添加基于LSM的安全訪問鉤子，并在內核中開啟內核服務，然后等待與sidecar容器中的監控進程進行通訊；

當不能修改宿主機的內核代碼時，動態插入基于Rootkit的安全監測模塊，并在內核中開啟內核服務，然后等待與sidecar容器中的監控進程進行通訊。

進一步地，在添加的sidecar容器中，能夠根據業務需要自定義配置sidecar容器的安全監測選項。

進一步地，所述根據業務需要自定義配置sidecar容器的安全監測選項的方法為：通過環境變量配置覆蓋sidecar容器中默認的安全監測選項。

進一步地，sidecar容器先于kubernetes業務容器啟動。

進一步地，當發現kubernetes業務容器中的異常行文時，對異常行為進行的操作包括終止、告警和/或記錄日志。

綜上所述，由于采用了上述技術方案，本發明的有益效果是：

本發明實現了對kubernetes業務容器做無侵入的運行時安全監測，有效提高容器的安全性。

附圖說明