九游老哥云
容器清静研究报告
2018-09-29
近年来，云盘算的模式逐渐被业界认可和接受 。但简朴地将主机、平台或应用转为虚拟化形态，并不可解决古板应用的升级缓慢、架构臃肿、无法快速迭代等问题，云原生（Cloud Native）的看法应运而生 。在云原生应用和服务平台构建历程中，近年兴起的容器手艺依附其弹性迅速的特征和活跃强盛的社区支持，成为了云原生等应用场景下的主要支持手艺 。
容器手艺被普遍接受和使用的同时，容器以及容器运行情形的清静成为了亟待研究息争决的问题 。为了使容器用户进一步相识容器以及容器情形的清静威胁，向其提供清静防护建议 。九游老哥科技携手硅谷着名容器清静公司NeuVector，团结宣布了《2018九游老哥科技容器清静手艺报告》 。
《报告》从容器清静危害入手，划分从软件懦弱性、清静威胁、应用清静威胁等方面，系统的先容了容器以及容器应用中所面临的清静问题 。针对这些清静问题，从主机清静、镜像清静、网络清静、应用清静等多个角度，提出了响应的检测与防护建议 。从开源社区和厂商两个层面，先容了目今关于容器清静的一些解决计划 。
从2008年LXC（Linux Containers）的泛起，到2013年DotCloud开源了其内部的容器项目Docker，再到2014年CoreOS宣布了其容器引擎Rocket（rkt），2015年微软宣布了Windows Containers，实现Docker容器在Windows上的原生运行，再到2017年阿里巴巴开源其容器手艺Pouch，容器手艺越来越多的引起各人的关注 。但其背后的清静问题禁止忽视 。
2018年5月-7月九游老哥威胁情报中心（NTI）对全网的Docker 2375端口举行检索，发明这段时间袒露在互联网上的2375端口地点达337个 。下图显示了袒露主机的漫衍情形，主机袒露数据笼罩多达29个国家，这个数据一方面说明晰Docker的受接待水平，另一方面也说明晰用户关于Docker的使用并不规范 。
图1.互联网袒露2375 端口主机全球漫衍图
图2. 2375 端口袒露地点海内漫衍图
前述袒露的337个Docker服务IP，我们对其域名服务漫衍情形举行了统计，其中不乏某些着名公有云厂商的IP地点 。
图3.袒露地点全网域名漫衍图
2018年7月，我们也剖析了Kubernetes的袒露服务情形，使用NTI对全网的6443端口（Kubernetes的API Server默认SSL端口）举行扫描剖析，发明这段时间袒露在互联网上的Kubernetes服务达12803个 。美国以4886个袒露的服务占比38%位居第一，中国以2582个袒露的服务占比20%位居第二，德国以1423个袒露的服务占比11%位居第三 。海内互联网上袒露的Kubernetes服务主机主要保存于北京、浙江以及广东等省市，这些服务大多安排在亚马逊、阿里云等公有云上 。其中的几百个甚至都没有设置登录密码，一旦被恶意操作，效果将不堪设想 。
图4.袒露的Kubernetes 服务的托管服务提供商海内漫衍
关于九游老哥科技
北京神州九游老哥信息清静科技股份有限公司（以下简称九游老哥科技），建设于2000年4月，总部位于北京 。在海内外设有40多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行 �；诙嗄甑那寰补シ姥芯�，九游老哥科技在检测防御类、清静评估类、清静平台类、远程清静运维服务、清静SaaS服务等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及清静运营等专业清静服务 。
北京神州九游老哥信息清静科技股份有限公司于2014年1月29日起在深圳证券生意所创业板上市生意，股票简称：九游老哥科技，股票代码：300369 。
关于NeuVector
NeuVector 是最早开发Docker/Kubernetes清静产品的公司，是Kubernetes网络清静的向导者，是第一也是现在唯一的多矢量容器清静平台发明者 。
NeuVector 致力于包管企业级容器平台清静，产品适用于种种云情形、跨云或者外地安排等容器生产情形 。NeuVector提供实时深入的容器网络可视化、工具向容器网络监控、自动隔离和�；ぁ⑷萜髦骰寰惨约叭萜髂诓壳寰� 。和容器治理平台无缝集成并且实现应用级容器清静的自动化 。
