[发明专利]一种容器内进程、文件和网络访问控制方法

说明书

本发明提供一种容器内进程、文件和网络访问控制方法，包括：在宿主机上创建动态共享库程序；在宿主机上安装探针容器，通过探针容器将动态共享库程序放入宿主机上需要监控的业务容器中；部署安全运营平台，并使安全运营平台与探针容器保持通信，通过安全运营平台动态配置安全策略，并且下发到探针容器；探针容器根据安全策略，配置动态共享库文件、安全规则文件并监控回执管道文件；业务容器内的行为触发安全策略后，把事件记录写入管道，探针容器监听到事件发生，向安全运营平台上报容器安全事件，安全运营平台显示告警。本发明对程序性能损耗低；可实时动态配置安全策略；可实时接收触发安全策略的行为；控制范围粒度更细；风险更低。

技术领域

本发明涉及到信息安全技术领域，尤其涉及到一种容器内进程、文件和网络访问控制方法。

背景技术

随着容器技术的迅速发展，企业服务器的整个基础设施模式也随之产生了巨大的变化，由原来的程序代码直接运行在物理机或者虚拟机上的形式转变为基于容器的方式部署在传统物理机或者是虚拟机上。因此，原来的物理服务器变成了一个大的物理资源池，所有的业务都迁入容器内，容器之间相互隔离，从而实现共享计算资源，大大优化了资源的利用率，但与此同时，安全场景也随之发生改变，容器内的安全问题也随之整个部署模式的变更变得越来越凸显，如何管理和控制容器内的行为成为安全从业人员一个重要的研究课题。

发明内容

本发明的目的是为了克服现有技术的不足，提供了一种容器内进程、文件和网络访问控制方法。

本发明是通过以下技术方案实现：

本发明提供了一种容器内进程、文件和网络访问控制方法，该容器内进程、文件和网络访问控制方法包括以下步骤：

S1：在宿主机上创建动态共享库程序；

S2：在所述宿主机上安装探针容器，并通过所述探针容器将所述动态共享库程序放入所述宿主机上需要监控的业务容器中；

S3：部署安全运营平台，并使所述安全运营平台与所述探针容器保持通信，安全运营人员通过所述安全运营平台动态配置安全策略，将需要阻断的进程名、文件访问、网络连接下发到所述探针容器；

S4：所述探针容器根据所述安全运营平台下发的安全策略，进行配置动态共享库文件、安全规则文件并监控回执管道文件；

S5：所述宿主机上需要监控的业务容器内的行为触发所述安全策略后，把事件记录写入管道，所述探针容器监听到事件发生，向所述安全运营平台上报容器安全事件，所述安全运营平台显示告警。

在步骤S1中，所述动态共享库程序为通过C语言编写的一个动态库文件，该动态库文件记为lib.so，该动态库文件HOOK了libc库的函数。

在步骤S1中，所述宿主机的数量可以为多台，在每台所述宿主机上均创建所述动态共享库程序。

在步骤S2中，在每台所述宿主机上均安装所述探针容器，且每台所述宿主机上创建的所述动态共享库程序和安装的所述探针容器同时发布。

在步骤S3中，所述安全运营平台为所述探针容器的管理系统，安全运营人员可以通过浏览器访问所述安全运营平台，然后通过与所述浏览器交互的方式配置所述安全策略。

在步骤S3中，所述安全运营平台可以以部署在容器的方式部署在集群内，也可以直接部署在物理服务器上。

本发明的有益效果是：本发明通过Preload Hook系统函数，对程序性能损耗低，无依赖；可实时动态配置安全策略，配置即生效；可实时接收触发安全策略的行为，上报安全运营平台；基于容器维度进行配置，控制范围粒度更细；风险更低，只会影响容器，对宿主机无影响，保证宿主机的可用性。

附图说明

图1是本发明实施例提供的容器内进程、文件和网络访问控制方法的流程图；