Microsoft 用于保护容器的框架简介
Microsoft 的容器安全供应链（CSSC）框架是一个无缝、敏捷的工具和流程生态系统，旨在在整个容器生命周期内集成和执行安全控制。 容器安全供应链策略是考虑到容器应用程序的所有安全需求而构建的。 目标是防止使用易受攻击的容器映像，并使用标准安全组合创建容器基础结构。
CSSC 框架是使用以下步骤生成的：
- 确定容器化应用程序的供应链阶段
- 概述每个阶段的风险和所需的安全控制
- 介绍每个阶段的安全目标和目标
- 确定每个阶段的安全工具、流程和最佳做法
- 在每个阶段使用元数据、日志记录和报告维护安全态势
容器供应链中的阶段
容器的供应链分阶段构建，与容器生命周期保持一致。 管道中的每个阶段都标识了不同的目标、安全风险和流程。 Microsoft 在容器供应链中确定了以下五个阶段。
| 阶段 | 详细信息 |
|---|---|
| 获取 | 从外部源或第三方供应商获取容器映像。 |
| 目录 | 提供批准的容器映像供内部使用，包括生成和部署。 |
| 生成 | 生成合规服务和应用程序映像和部署项目。 |
| 部署 | 安全地将容器化服务和应用程序部署到托管环境。 |
| 运行 | 运行从应用程序执行业务逻辑的合规、最新和安全容器映像创建的容器。 |
在供应链的所有五个阶段实施安全流程需要一致的可观测性和监视做法。 不断演变的安全做法更新容器映像、发现漏洞、触发内部流程的更改、业务需求，并进一步要求监视以在每个阶段添加透明度。
常见的供应链威胁
当我们谈到 CSSC 时，我们谈论的是软件供应商、外部源、开发人员、服务和运营提供商之间的持续软件事务，分发渠道，最重要的是我们的客户群。 我们的目标是实现容器软件的安全交易，并为客户提供有效的容器基础结构。 任何轻微的妥协、漏洞或攻击都可能导致直接的逆境、严重损失我们的受信任合作伙伴、客户和 Microsoft 的声誉。 在供应链中解决这些安全泄露和可能的威胁，以确保容器化应用程序的安全性和完整性至关重要。
Microsoft 识别并深入探讨整个供应链的安全泄露和可能威胁：
不受信任的源
使用来自不受信任的源的容器映像可能会带来重大安全风险。 这些不受信任的源可能包含包含恶意软件、漏洞或后门的容器映像。
Microsoft 通过以下做法解决这些安全泄露问题：
- 验证容器映像的真实性和完整性，然后将其纳入其供应链，以缓解这些风险。
- 使用来自受信任源的容器映像。 使用图像扫描和验证工具来帮助确保映像来自信誉良好的存储库，并且未被篡改。
已泄露的注册表
未正确保护的注册表可以托管遭到入侵或过时的容器映像。 定期审核和保护注册表以防止分发不安全的容器映像至关重要。 这包括确保映像符合许可要求和企业最佳做法。
Microsoft 通过以下做法解决这些安全泄露问题：
- 定期审核和保护容器映像注册表。
- 使用访问控制、身份验证控件和图像扫描来检测和防止使用不安全或过时的映像。
泄露的依赖项
将恶意代码注入基映像或使用恶意库可能会危及容器应用程序的安全性。
Microsoft 通过以下做法解决这些安全泄露问题：
- 对容器映像中使用的依赖项实施严格的控制。
- 定期更新基础映像和库以修补已知漏洞。
- 利用容器映像扫描来识别和修正任何恶意或易受攻击的依赖项。
已泄露的生成环境
不安全的生成环境可能导致包含易受攻击、过时或不符合的容器映像。
Microsoft 通过以下做法解决这些安全泄露问题：
- 使用受信任且定期更新的工具和容器来保护生成环境。
- 实现删除过时或易受攻击的容器映像的过程，以确保在生成过程中使用最新版本。
未验证的部署
部署不受信任的或恶意容器映像可能会使组织面临各种安全漏洞。 应实施访问控制和可靠的验证过程，以确保仅部署经过授权和已验证的容器映像。
Microsoft 通过以下做法解决这些安全泄露问题：
- 在部署期间强制实施严格的访问控制和映像验证过程。
- 利用基于角色的访问控制（RBAC）来限制谁可以部署容器映像。
- 确保仅在生产环境中部署受信任的和经过彻底测试的映像。
缺乏可观测性
监视和可观测性对于检测安全问题至关重要。 企业必须投资提供整个供应链可见性的工具和流程，从而实时跟踪容器映像和检测安全攻击。
Microsoft 通过以下做法解决这些安全泄露问题：
- 在容器化环境中实现监视和可观测性解决方案。
- 使用日志记录、跟踪和监视工具跟踪供应链中的容器映像更改、安全事件和异常。
- 为可疑活动设置警报和通知。
除了这些措施外，必须建立明确的安全策略和做法，教育团队了解安全最佳做法，并定期对容器供应链进行安全评估和审核。 持续更新与容器相关的安全威胁和漏洞，并相应地调整安全措施。 容器安全性是一个持续的过程，需要警惕和主动风险管理。
后续步骤
有关 CSSC 框架的每个阶段的详细信息，请参阅：