[發明專利]一種容器網頁防篡改方法、裝置、設備及介質

在審

• 申請號: 202010779488.8
• 申請日: 2020-08-05
• 公開（公告）號: CN111859468A
• 公開（公告）日: 2020-10-30
• 發明（設計）人: 寇石壘;范淵;黃進
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: G06F21/64
• 分類號: G06F21/64;H04L29/06
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 劉曉菲

1.一種容器網頁防篡改方法，其特征在于，應用于Kubernetes集群，包括：

監測目標主機上的容器運行狀態，以便確定所述目標主機上是否出現新增容器；

如果所述目標主機上出現新增容器，則確定所述新增容器的容器ID和容器鏡像名；

根據所述容器鏡像名和預設容器防篡改策略確定所述新增容器是否為預設防篡改容器；

如果所述新增容器為預設防篡改容器，則通過操作系統文件讀寫hook機制對所述新增容器進行監控，以防止所述新增容器中的文件被篡改。

2.根據權利要求1所述的容器網頁防篡改方法，其特征在于，所述監測目標主機上的容器運行狀態，以便確定所述目標主機上是否出現新增容器，包括：

將監測到的、目標主機上的實時容器運行狀態對應的第一運行容器列表與第二運行容器列表進行比對，以確定所述目標主機上是否出現新增容器，其中，所述第二運行容器列表為監測到所述實時容器運行狀態之前監測到的容器運行狀態對應的運行容器列表。

3.根據權利要求1所述的容器網頁防篡改方法，其特征在于，所述根據所述容器鏡像名和預設容器防篡改策略確定所述新增容器是否為預設防篡改容器之前，還包括：

判斷所述新增容器是否為漂移容器，其中，所述漂移容器為從所述Kubernetes集群中除所述目標主機之外的主機漂移到所述目標主機上的容器。

4.根據權利要求1所述的容器網頁防篡改方法，其特征在于，所述根據所述容器鏡像名和預設容器防篡改策略確定所述新增容器是否為預設防篡改容器，包括：

對所述預設容器防篡改策略進行查詢，以判斷所述預設容器防篡改策略中是否包括所述容器鏡像名對應的防篡改策略；

如果所述預設容器防篡改策略中包括所述容器鏡像名對應的防篡改策略，則判定所述新增容器為預設防篡改容器；

如果所述預設容器防篡改策略中不包括所述容器鏡像名對應的防篡改策略，則判定所述新增容器不為預設防篡改容器。

5.根據權利要求1至4任一項所述的容器網頁防篡改方法，其特征在于，所述通過操作系統文件讀寫hook機制對所述新增容器進行監控，以防止所述新增容器中的文件被篡改，包括：

通過操作系統文件讀寫hook機制對所述新增容器進行監控；

當監測到所述新增容器中存在文件被修改時，則通過預設的操作系統hook函數接口獲取修改動作信息，其中，所述修改動作信息包括修改所述新增容器中的文件的進程路徑和所述新增容器中被修改的文件路徑；

根據所述修改動作信息中的容器ID確定所述修改動作信息對應的容器鏡像名；

根據所述容器鏡像名、所述修改動作信息和所述預設容器防篡改策略確定是否阻止所述修改動作信息對應的修改行為。

6.根據權利要求5所述的容器網頁防篡改方法，其特征在于，所述根據所述容器鏡像名和預設容器防篡改策略確定所述新增容器是否為預設防篡改容器之前，還包括：

獲取所述預設容器防篡改策略，其中，所述預設容器防篡改策略中包括待防護容器鏡像名、所述待防護容器鏡像名對應的待防護目錄以及所述待防護目錄對應的需阻止進程名；

對所述預設容器防篡改策略進行存儲。

7.根據權利要求6所述的容器網頁防篡改方法，其特征在于，所述根據所述容器鏡像名、所述修改動作信息和所述預設容器防篡改策略確定是否阻止所述修改動作信息對應的修改行為，包括：

根據所述容器鏡像名和所述預設容器防篡改策略確定所述新增容器對應的目標防篡改策略；

判斷所述修改動作信息中的文件名是否屬于所述目標防篡改策略對應的待防護目錄下的文件名；

如果所述修改動作信息中的文件名屬于所述目標防篡改策略對應的待防護目錄下的文件名，則判斷所述修改動作信息中的進程名是否為所述目標防篡改策略對應的待防護目錄對應的需阻止進程名；

如果所述修改動作信息中的進程名為所述目標防篡改策略對應的待防護目錄對應的需阻止進程名，則阻止所述修改動作信息對應的修改行為。