安全加固与逃逸防护专题

专题说明

分析容器逃逸攻击向量、Rootless模式部署、镜像供应链安全与运行时安全监控体系构建。

学习目标

掌握容器逃逸攻击向量
掌握Rootless 模式运行
掌握镜像供应链安全
掌握运行时安全监控
掌握网络安全策略
掌握合规性与审计
能够独立完成安全加固与逃逸防护相关实际场景的操作与排错

学习内容

容器逃逸攻击向量
Rootless 模式运行
镜像供应链安全
运行时安全监控
网络安全策略
合规性与审计

学习建议

按照知识点排列顺序循序渐进，先理解概念再动手实践
每学完一个知识点后完成对应的配套练习题巩固
遇到问题时优先查阅官方文档，结合容器日志排查

📝 配套习题（10 题）

💡 参考答案在文末

判断题

Rootless Docker 模式下，容器仍然可以使用 --network host 网络模式。

对

错

单选题

以下哪个 Docker 运行参数最大的安全风险，可能导致容器逃逸？

--network host

--privileged

--memory 512m

--restart always

Rootless Docker 模式的核心原理是什么？

在容器内使用独立的内核

利用 USER Namespace 将 Docker Daemon 和容器以非 root 用户运行

通过虚拟机隔离容器

禁用所有特权操作

Falco 作为容器运行时安全监控工具，主要通过什么方式检测异常行为？

扫描镜像中的漏洞

监控系统调用并根据规则匹配异常行为

分析网络流量特征

检查容器的 CPU 使用率

CIS Docker Benchmark 是什么？

Docker 官方发布的性能测试工具

互联网安全中心制定的 Docker 安全基线标准

容器网络通信的测试标准

Docker 镜像格式的规范文档

mTLS（Mutual TLS）在容器网络中的作用是什么？

加速容器间的网络通信

双向验证通信双方的身份，确保服务间通信安全

限制容器的网络带宽

防止容器访问外部网络

多选题

以下哪些情况可能导致容器逃逸攻击？

挂载 Docker Socket（/var/run/docker.sock）到容器内

使用 --privileged 参数启动容器

以非 root 用户运行容器

容器内运行存在内核漏洞的驱动程序

挂载宿主机根目录（-v /:/host-root）到容器

以下哪些措施可以有效保护 Docker 镜像的供应链安全？

使用 Docker Content Trust 对镜像签名

配置准入策略阻止未签名镜像运行

只使用官方基础镜像

扫描镜像漏洞并修复

追踪镜像的来源和构建过程（SBOM）

以下哪些方法可以用于记录 Docker 容器操作的审计日志？

启用 Docker 守护进程的审计功能

使用 systemd journal 记录 dockerd 日志

部署 Falco 监控运行时事件

使用第三方审计工具如 Auditd

在容器内安装日志收集代理

填空题

在镜像供应链安全中，____________（Software Bill of Materials）是描述镜像包含的所有组件和依赖的清单。