容器环境的安全威胁
容器技术基于容器主机操作系统的内核，通过对CPU、内存和文件系统等资源的隔离、划分和控制，实现进程之间透明的资源使用。因此，容器主机的安全性对整个容器环境的安全有着重要的影响。那么对于容器环境来说，都有什么样的安全威胁呢？
01 基础设施/运行环境是否安全
基础设施/运行环境是否安全的。容器技术是基于容器主机操作系统内核实现的资源隔离，相比较vm来讲，容器对主机的操作系统有了更多的权限，因此诸如OS的安全补丁、API、权限、认证、隔离等问题对容器的安全性有着很大的影响。
02 容器的镜像是否安全
关于容器镜像的安全性，比如像镜像的漏洞、恶意程序等问题。
03 容器运行时是否安全
比如容器中是否运行了非法的进程、是否遭到了DDoS攻击、是否发生了逃逸等。
]容器环境脆弱性分析
01 容器逃逸
容器逃逸攻击与虚拟机逃逸攻击相似，利用虚拟化软件存在的漏洞，通过容器获取主机权限入侵主机，以达到攻击主机的目的。这里通过容器入侵主机的逃逸，一方面包括在容器中获取到更多的主机权限；另一方面包括不完善的隔离存储。
02 容器网络
Docker默认采用预设的桥接网络驱动，一个docker0的网桥将所有容器连接该网桥，docker0网桥扮演着路由和NAT的角色，容器间通信都会经过容器主机。
默认情况下，这种桥接采用黑名单的方式，即同一主机上的容器之间是允许所有通信的，用户根据业务需求添加访问控制规则。如果各容器之间没有防火墙保护，攻击者就可以利用主机内部网络进行容器间的ARP欺骗、嗅探、广播风暴等攻击。
03 拒绝服务
默认情况下容器可以使用主机上的所有资源，如果某个容器以独占方式访问或消耗主机的大量资源，则该主机上的其它容器就会因为缺乏资源而无法正常运行。DoS攻击可针对任何资源，例如计算资源、存储资源、网络资源等，下面分别以这三种资源进行说明。
1.计算资源。ForkBomb是一个很典型的计算型DoS攻击场景，主机内核正常情况下只能支持一定数量的进程，如果某个容器内的进程组新建过多进程，消耗了主机上的所有进程资源，那其它的容器就没有资源来创建新的进程，甚至会危及主机的正常工作。
ForkBomb也是自2015年到现在Docker社区一直讨论的问题，目前最好的方法是限制内存的使用（--kernel-memory=#M），但是，当在与加密文件一起使用时可能会偶尔出现问题。
2.存储资源。在容器技术的实现中，通过mount命名空间实现了文件系统的隔离。但是文件系统隔离仅仅是一个非常基本的要求。不建议使用AUFS做存储驱动，虽然AUFS创建出的容器文件系统互相隔离，但是在存储空间方面却没有任何限制。换言之，一个容器如果不断写文件，将会写满存储介质，其它容器将无法执行写操作，导致拒绝服务攻击。
3.网络资源。DoS攻击层出不穷，容器内网络带宽耗尽也是其中一种，攻击者使用大量的受控主机向被攻击目标（容器）发送大量的网络数据包，以占满容器的网络宽带，并消耗容器主机的网络数据处理能力，达到拒绝服务的目的。
