[發(fā)明專利]基于k8s集群的容器檢測方法、裝置、電子設(shè)備及存儲裝置

在審

• 申請?zhí)枺?/td>: 202110208812.5
• 申請日: 2021-02-24
• 公開（公告）號: CN114968470A
• 公開（公告）日: 2022-08-30
• 發(fā)明（設(shè)計）人: 吳祖康;徐志成;陳若鵬;蔣小雨
• 申請（專利權(quán)）人: 中國移動通信集團江蘇有限公司;中國移動通信集團有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/57;G06F8/71
• 代理公司: 北京路浩知識產(chǎn)權(quán)代理有限公司 11002
• 代理人: 蔣娟

本發(fā)明提供一種基于k8s集群的容器檢測方法、裝置、電子設(shè)備及存儲裝置，屬于計算機網(wǎng)絡(luò)安全管理技術(shù)領(lǐng)域，所述方法包括：構(gòu)建k8s集群模型，所述k8s集群模型是基于容器的集群管理平臺；對所述k8s集群模型的容器內(nèi)端口進行漏洞掃描，得到端口漏洞信息，并基于所述端口漏洞信息對所述k8s集群模型的容器內(nèi)應(yīng)用程序進行漏洞掃描；根據(jù)所述漏洞掃描的結(jié)果進行對應(yīng)的數(shù)據(jù)調(diào)度處理以實現(xiàn)k8s集群的容器的安全防護。本發(fā)明通過構(gòu)建k8s集群模型，并基于構(gòu)建的k8s集群模型對k8s集群模型的容器內(nèi)端口和應(yīng)用程序進行漏洞掃描，能及時發(fā)現(xiàn)容器內(nèi)端口漏洞以及應(yīng)用程序漏洞。

技術(shù)領(lǐng)域

本發(fā)明涉及計算機網(wǎng)絡(luò)安全管理技術(shù)領(lǐng)域，尤其涉及一種基于k8s集群的容器檢測方法、裝置、電子設(shè)備及存儲裝置。

背景技術(shù)

容器是一個標(biāo)準(zhǔn)化的軟件單元，它將代碼及其所有依賴關(guān)系打包，以便應(yīng)用程序從一個計算環(huán)境可靠快速地運行到另一個計算環(huán)境。

現(xiàn)有的應(yīng)用部署方式是通過部署容器方式實現(xiàn)，每個容器之間互相隔離，每個容器有自己的文件系統(tǒng)，容器之間進程不會相互影響，能區(qū)分計算資源。相對于虛擬機，容器能快速部署，由于容器與底層設(shè)施、機器文件系統(tǒng)解耦的，所以它能在不同云、不同版本操作系統(tǒng)間進行遷移。作為容器技術(shù)的一種具體實現(xiàn)，Docker近年來受到越來越多的關(guān)注，在某種程度上，Docker已經(jīng)成為了容器技術(shù)的代表。Docker的設(shè)計雖然實現(xiàn)了良好的操作系統(tǒng)級隔離，但同時也存在很多安全隱患，比如其默認的組網(wǎng)模式以及與主機共享操作系統(tǒng)內(nèi)核、共享主機資源、采用Linux Capabilities機制、隔離的不充分等。

為此，需要對Docker容器進行全面的安全防護，主要包括模板文件的安全防護、鏡像文件安全防護、容器運行保護、容器內(nèi)應(yīng)用保護、容器運行環(huán)境的保護。然而現(xiàn)有的容器安全方式在容器和隔離后已經(jīng)滿足不了容器安全防護需求，體現(xiàn)在如下幾點：第一，沒有基于K8S系統(tǒng)的節(jié)點檢測模型；第二，無法檢測端口鏡像的安全漏洞及病毒木馬；第三，難以發(fā)現(xiàn)容器網(wǎng)絡(luò)存在的攻擊。

發(fā)明內(nèi)容

本發(fā)明提供一種基于k8s集群的容器檢測方法、裝置、電子設(shè)備及存儲裝置，用以解決現(xiàn)有技術(shù)中在容器和隔離后已經(jīng)滿足不了容器安全防護需求的問題，實現(xiàn)容器安全防護過程中的安全防護，并提升檢測效率。

本發(fā)明提供一種基于k8s集群的容器檢測方法，包括：

構(gòu)建k8s集群模型，所述k8s集群模型是基于容器的集群管理平臺；

對所述k8s集群模型的容器內(nèi)端口進行漏洞掃描，得到端口漏洞信息，并基于所述端口漏洞信息對所述k8s集群模型的容器內(nèi)應(yīng)用程序進行漏洞掃描；

根據(jù)所述漏洞掃描的結(jié)果進行對應(yīng)的數(shù)據(jù)調(diào)度處理以實現(xiàn)k8s集群的容器的安全防護。

根據(jù)本發(fā)明提供的一種基于k8s集群的容器檢測方法，所述構(gòu)建k8s集群模型，包括：

設(shè)置多個Master節(jié)點控制Node節(jié)點的通信網(wǎng)絡(luò)模型；

針對每一個Master節(jié)點設(shè)置多個Node節(jié)點，并對每一個Node節(jié)點部署多個Pod，Master節(jié)點為k8s集群模型的控制節(jié)點，Node節(jié)點用于運行Pod；

將應(yīng)用程序部署在一組相互關(guān)聯(lián)的容器內(nèi)，一個Pod包括一個或多個容器，Pod里的容器與其他Node節(jié)點的Pod容器通信連接。

根據(jù)本發(fā)明提供的一種基于k8s集群的容器檢測方法，所述對所述k8s集群模型的容器內(nèi)端口進行漏洞掃描，得到端口漏洞信息，并基于所述端口漏洞信息對所述k8s集群模型的容器內(nèi)應(yīng)用程序進行漏洞掃描，包括：

利用預(yù)設(shè)插件通過域名訪問所述k8s集群模型內(nèi)的服務(wù)；

將所述服務(wù)對應(yīng)的域名和端口信息加入到應(yīng)用程序掃描的任務(wù)隊列；