[發(fā)明專利]容器的入侵檢測方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202110183786.5
• 申請(qǐng)日: 2021-02-08
• 公開（公告）號(hào): CN112989330A
• 公開（公告）日: 2021-06-18
• 發(fā)明（設(shè)計(jì)）人: 林馨;李春藝;沈舒莉
• 申請(qǐng)（專利權(quán)）人: 網(wǎng)宿科技股份有限公司
• 主分類號(hào): G06F21/55
• 分類號(hào): G06F21/55
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 趙祎

1.一種容器的入侵檢測方法，其特征在于，包括：

獲取宿主機(jī)上進(jìn)程與各容器內(nèi)進(jìn)程的映射關(guān)系表征數(shù)據(jù)；

根據(jù)所述映射關(guān)系表征數(shù)據(jù)，確定所述宿主機(jī)上與各容器內(nèi)進(jìn)程具有映射關(guān)系的進(jìn)程；

從所述宿主機(jī)上與各容器內(nèi)進(jìn)程具有映射關(guān)系的進(jìn)程中，篩選與各容器內(nèi)有對(duì)外開放監(jiān)聽端口的進(jìn)程具有映射關(guān)系的進(jìn)程；

根據(jù)與各容器內(nèi)有對(duì)外開放監(jiān)聽端口的進(jìn)程具有映射關(guān)系的進(jìn)程，確定審計(jì)進(jìn)程；

監(jiān)測每個(gè)所述審計(jì)進(jìn)程的行為數(shù)據(jù)，根據(jù)所述行為數(shù)據(jù)確定所述審計(jì)進(jìn)程是否入侵對(duì)應(yīng)容器。

2.如權(quán)利要求1所述的方法，其特征在于，從所述宿主機(jī)上與各容器內(nèi)進(jìn)程具有映射關(guān)系的進(jìn)程中，篩選與各容器內(nèi)有對(duì)外開放監(jiān)聽端口的進(jìn)程具有映射關(guān)系的進(jìn)程，包括：

對(duì)所述宿主機(jī)上與任一容器內(nèi)進(jìn)程具有映射關(guān)系的每個(gè)進(jìn)程，獲取所述進(jìn)程當(dāng)前打開的套接字文件描述符的文件標(biāo)識(shí)，并從所述進(jìn)程的網(wǎng)絡(luò)連接文件中獲取所述容器內(nèi)目標(biāo)端口的監(jiān)聽信息，所述目標(biāo)端口是指所述容器內(nèi)與所述宿主機(jī)上的監(jiān)聽端口具有映射關(guān)系的監(jiān)聽端口；

根據(jù)所述容器內(nèi)目標(biāo)端口的監(jiān)聽信息和進(jìn)程當(dāng)前打開的套接字文件描述符的文件標(biāo)識(shí)，確定所述進(jìn)程是否是與所述容器內(nèi)有對(duì)外開放監(jiān)聽端口的進(jìn)程具有映射關(guān)系的進(jìn)程。

3.如權(quán)利要求2所述的方法，其特征在于，獲取所述進(jìn)程當(dāng)前打開的套接字文件描述符的文件標(biāo)識(shí)，包括：

從所述進(jìn)程當(dāng)前打開的所有文件描述符中篩選套接字文件描述符；

獲取篩選出的套接字文件描述符的文件標(biāo)識(shí)。

4.如權(quán)利要求2所述的方法，其特征在于，根據(jù)所述容器內(nèi)目標(biāo)端口的監(jiān)聽信息和所述進(jìn)程當(dāng)前打開的套接字文件描述符的文件標(biāo)識(shí)，確定所述進(jìn)程是否是與所述容器內(nèi)有對(duì)外開放監(jiān)聽端口的進(jìn)程具有映射關(guān)系的進(jìn)程，包括：

若確定所述容器內(nèi)任一目標(biāo)端口的監(jiān)聽信息表示所述目標(biāo)端口處于被監(jiān)聽狀態(tài)，則獲取所述目標(biāo)端口對(duì)應(yīng)的套接字文件描述符的文件標(biāo)識(shí)；

若確定獲取的文件標(biāo)識(shí)與所述進(jìn)程當(dāng)前打開的任一套接字文件描述符的文件標(biāo)識(shí)相同，則確定所述進(jìn)程是與所述容器內(nèi)有對(duì)外開放監(jiān)聽端口的進(jìn)程具有映射關(guān)系的進(jìn)程。

5.如權(quán)利要求1-4任一所述的方法，其特征在于，所述映射關(guān)系表征數(shù)據(jù)是所述宿主機(jī)上各進(jìn)程的控制組文件，根據(jù)所述映射關(guān)系表征數(shù)據(jù)，確定所述宿主機(jī)上與各容器內(nèi)進(jìn)程具有映射關(guān)系的進(jìn)程，包括：

遍歷所述宿主機(jī)上每個(gè)進(jìn)程的控制組文件；

若確定所述控制組文件中包含表示容器的關(guān)鍵字，則獲取所述控制組文件中的容器標(biāo)識(shí)；

確定所述控制組文件對(duì)應(yīng)的進(jìn)程是所述宿主機(jī)上與所述容器標(biāo)識(shí)對(duì)應(yīng)的容器內(nèi)進(jìn)程具有映射關(guān)系的進(jìn)程。

6.如權(quán)利要求1-4任一所述的方法，其特征在于，所述映射關(guān)系表征數(shù)據(jù)是所述宿主機(jī)上容器編排工具的容器配置信息，根據(jù)所述映射關(guān)系表征數(shù)據(jù)，確定所述宿主機(jī)上與各容器內(nèi)進(jìn)程具有映射關(guān)系的進(jìn)程，包括：

根據(jù)所述容器配置信息，確定所述宿主機(jī)上內(nèi)部監(jiān)聽端口與服務(wù)的對(duì)外開放端口之間有映射關(guān)系的至少一個(gè)容器，所述服務(wù)的對(duì)外開放端口與所述宿主機(jī)上的端口具有映射關(guān)系；

確定所述宿主機(jī)上與所述至少一個(gè)容器內(nèi)進(jìn)程具有映射關(guān)系的進(jìn)程。

7.如權(quán)利要求6所述的方法，其特征在于，確定所述宿主機(jī)上與所述至少一個(gè)容器內(nèi)進(jìn)程具有映射關(guān)系的進(jìn)程，包括：

對(duì)所述至少一個(gè)容器中的每個(gè)容器，在所述宿主機(jī)上查找所述容器的初始進(jìn)程；

將所述初始進(jìn)程的各子進(jìn)程中啟動(dòng)命令與所述容器中指定進(jìn)程的啟動(dòng)命令一致的子進(jìn)程，確定為所述宿主機(jī)上與所述容器內(nèi)指定進(jìn)程具有映射關(guān)系的進(jìn)程。

8.如權(quán)利要求6所述的方法，其特征在于，還包括：

在確定任一進(jìn)程不是與對(duì)應(yīng)容器內(nèi)有對(duì)外開放監(jiān)聽端口的進(jìn)程具有映射關(guān)系的進(jìn)程之后，在所述進(jìn)程的各子進(jìn)程中，確定與所述容器內(nèi)有對(duì)外開放監(jiān)聽端口的進(jìn)程具有映射關(guān)系的子進(jìn)程，將確定的所述子進(jìn)程作為審計(jì)進(jìn)程。