7.3. 中性安全策略

Build

Docker CIS 4.4：确保镜像被扫描并重新构建，使其包含安全补丁

当镜像没有被扫描并重新构建来包括安全补丁时的警报。扫描镜像通常要查找漏洞，重新构建镜像使其包含安全补丁，然后实例化镜像的容器。

Disabled

部署

30 天扫描期限

当部署在 30 天内没有扫描时发出警报。

Enabled

部署

添加了 CAP_SYS_ADMIN 功能

当部署包含使用 CAP_SYS_ADMIN 扩展的容器时发出警报。

Enabled

部署

使用读写根文件系统的容器

当部署包含具有读写根文件系统的容器时发出警报。

Disabled

部署

允许权限升级的容器

当容器可能会以意外的特权运行时发出警报，从而造成安全风险。当容器进程具有超过其父进程超过其父进程时，可能会发生这种情况。容器可以使用意外的特权运行。

Enabled

部署

部署应该至少有一个 Ingress 网络策略

如果部署缺少 Ingress 网络策略，则发出警报。

Disabled

部署

使用外部公开端点部署

检测部署是否有任何通过任何方法进行外部公开的服务。具有集群外公开的服务的部署会带来更高遭受入侵的风险，因为它们可以在集群外访问。此策略提供了一个警报，以便您可以验证在集群外的服务暴露。如果服务只需要集群内通信，请使用 service type ClusterIP。

Disabled

部署

Docker CIS 5.1：确保如果适用，启用了 AppArmor 配置集

使用 AppArmor 通过强制一个称为 AppArmor 配置集的安全策略来保护 Linux 操作系统和应用程序。Apparmor 是一个 Linux 应用程序安全系统，默认在某些 Linux 发行版上提供，如 Debian 和 Ubuntu。

Enabled

部署

Docker CIS 5.15：确保主机的进程命名空间没有共享

在容器和主机之间创建进程级别的隔离。进程 ID (PID)命名空间隔离进程 ID 空间，这意味着不同 PID 命名空间中的进程可以具有相同的 PID。

Enabled

部署

Docker CIS 5.16：确保主机的 IPC 命名空间没有共享

当主机上的 IPC 命名空间与容器共享时发出警报。IPC (POSIX/SysV IPC)命名空间分隔命名的共享内存段、semaphores 和消息队列。

Enabled

部署

Docker CIS 5.19 ：确保挂载传播模式没有启用

启用挂载传播模式时的警报。启用挂载传播模式时，您可以使用双向、主机到容器以及 None 模式挂载容器卷。除非明确需要，否则不要使用双向挂载传播模式。

Enabled

部署

Docker CIS 5.21 ：确保默认 seccomp 配置集没有被禁用

当 seccomp 配置集被禁用时发出警报。seccomp 配置集使用允许列表来允许常见的系统调用和阻止所有其他系统调用。

Disabled

部署

Docker CIS 5.7：确保特权端口没有在容器中映射

当特权端口在容器中映射时发出警报。低于 1024 的 TCP/IP 端口号是特权端口。出于安全原因，普通用户和进程无法使用它们，但容器可能会将其端口映射到特权端口。

Enabled

部署

Docker CIS 5.9 和 5.20 ：确保主机的网络命名空间没有共享

共享主机的网络命名空间时的警报。启用 HostNetwork 时，容器不会放置在单独的网络堆栈中，容器的网络不会被容器化。因此，容器可以完全访问主机的网络接口，并启用了共享 UTS 命名空间。UTS 命名空间提供主机名和 NIS 域名之间的隔离，并且它设置主机名和域，这些主机名和域对在该命名空间中运行进程可见。在容器内运行的进程通常需要知道主机名或域名，因此 UTS 命名空间不应与主机共享。

Enabled

部署

没有扫描的镜像

当部署包含未扫描的镜像时发出警报。

Disabled

Runtime

Kubernetes Actions: 端口转发到 Pod

Kubernetes API 收到端口转发请求时的警报。

Enabled

部署

挂载容器运行时套接字

当部署在容器运行时套接字上挂载了卷挂载时，会发出警报。

Enabled

部署

挂载敏感主机目录

当部署挂载敏感主机目录时发出警报。

Enabled

部署

没有指定资源请求或限制

当部署包含没有资源请求和限值的容器时发出警报。

Enabled

部署

Pod 服务帐户令牌自动挂载

通过将默认服务帐户令牌挂载到应用需要与 Kubernetes API 交互的 pod，以保护 pod 默认服务帐户令牌受到攻击。

Enabled

部署

特权容器

当部署包含以特权模式运行的容器时发出警报。

Enabled

Runtime

crontab 执行

检测 crontab 调度的作业编辑器的使用。

Enabled

Runtime

检测到 netcat 执行

检测 netcat 在容器中运行的时间。

Enabled

Runtime

OpenShift: Advanced Cluster Security Central Admin Secret Accessed

当某人访问 Red Hat Advanced Cluster Security Central secret 时发出警报。

Enabled

Runtime

OpenShift：由 Impersonated User 访问的 Kubernetes Secret

当某人模拟用户访问集群中的 secret 时发出警报。

Enabled

Runtime

远程文件复制二进制执行

当部署运行远程文件复制工具时发出警报。

Enabled