[發明專利]一種用于docker全生命周期的內生安全防護方法

在審

• 申請號: 202111059623.2
• 申請日: 2021-09-10
• 公開（公告）號: CN114265663A
• 公開（公告）日: 2022-04-01
• 發明（設計）人: 郭威;謝林江;杭菲璐;呂垚;羅震宇;陳何雄;毛正雄;和悅;張振紅;何映軍
• 申請（專利權）人: 云南電網有限責任公司信息中心
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/51;G06F21/62;G06F21/60
• 代理公司: 北京正華智誠專利代理事務所(普通合伙) 11870
• 代理人: 李林合

1.一種用于docker全生命周期的內生安全防護方法，其特征在于，包括以下步驟：

S1、將安全策略封裝到原始docker鏡像中，得到攜帶安全策略的docker鏡像；

S2、通過Docker宿主機安全程序監控攜帶安全策略的docker鏡像的啟動行為，并執行安全策略，完成對docker全生命周期的安全防護。

2.根據權利要求1所述的用于docker全生命周期的內生安全防護方法，其特征在于，所述步驟S1包括以下分步驟：

S11A、選定原始docker鏡像；

S12A、在原始docker鏡像中部署安全策略對應的原始代碼；

S13A、采用Docker策略封裝工具掃描攜帶原始代碼的docker鏡像，生成安全策略；

S14A、采用docket commit命令將安全策略封裝到原始docker鏡像中，得到攜帶安全策略的docker鏡像。

3.根據權利要求1所述的用于docker全生命周期的內生安全防護方法，其特征在于，所述步驟S1包括以下分步驟：

S11B、建立dockerfile文件；

S12B、在dockerfile文件中添加并調用docker策略封裝工具，生成安全策略；

S13B、采用docker build命令重新封裝鏡像，得到攜帶安全策略的docker鏡像。

4.根據權利要求1所述的用于docker全生命周期的內生安全防護方法，其特征在于，所述步驟S1中安全策略包括：對執行程序進行可信度量和對敏感文件進行訪問控制。

5.根據權利要求4所述的用于docker全生命周期的內生安全防護方法，其特征在于，所述對執行程序進行可信度量的方法為：

A1、采用docker策略封裝工具對docker鏡像中所有執行程序進行掃描，得到每個執行程序的hash值；

A2、將每個執行程序的hash值保存到可信程序策略文件中；

A3、通過Docker宿主機安全程序獲取docker鏡像中所有執行程序啟動時的hash值，并與可信程序策略文件中的hash值進行比對，阻值未知hash值對應的執行程序啟動，完成對執行程序的可信度量。

6.根據權利要求4所述的用于docker全生命周期的內生安全防護方法，其特征在于，所述對敏感文件進行訪問控制的方法為：

B1、采用docker策略封裝工具，建立docker鏡像中敏感文件的訪問控制策略文件；

B2、通過Docker宿主機安全程序獲取docker鏡像運行時的敏感文件的進程信息，并與訪問控制策略文件中的可信進程進行對比，阻值非授權進程的訪問行為，完成對敏感文件的訪問控制。

7.根據權利要求1所述的用于docker全生命周期的內生安全防護方法，其特征在于，所述步驟S2包括以下分步驟：

S21、通過Docker宿主機安全程序監控所有docker鏡像的啟動行為，識別docker鏡像中的安全策略，并攔截內部不含安全策略的docker鏡像的啟動行為，得到含安全策略的docker鏡像；

S22、通過Docker宿主機安全程序加載可信程序策略文件，執行對執行程序進行可信度量的方法，攔截含安全策略的docker鏡像中未知hash值對應的執行程序的啟動；

S23、再通過Docker宿主機安全程序加載敏感文件的訪問控制策略文件，執行對敏感文件進行訪問控制方法，攔截含安全策略的docker鏡像中非授權進程的訪問行為，實現安全策略執行，完成對docker全生命周期的安全防護。