CN117040762A - 一种镜像全周期安全方法及系统 - Google Patents

Abstract

本发明涉及计算机安全技术领域，具体地说，是一种镜像全周期安全方法及系统。所述方法包括：生成密钥对并写入数据库；在流水线中使用构建工具对镜像生成数字签名并写入数据库；将镜像上传至镜像仓库并查验是否签名成功；配置上线策略，校验镜像是否为可信镜像，对非可信镜像进行处理。本发明的安全方法贯穿镜像的全周期，从镜像构建、储存、分发到部署各个阶段均可保证镜像的安全可信，构建阶段为每个镜像进行独立签名，储存至镜像库后校验是否签名成功，用户下载镜像进行部署前对签名进行二次校验，确认可信后才可允许部署，解决了现有技术使用镜像仓库仅能对镜像存储阶段进行签名与验证的弊端，实现了镜像全周期的安全保证。

Description

一种镜像全周期安全方法及系统

技术领域

本发明涉及计算机安全技术领域，具体地说，是一种镜像全周期安全方法及系统。

背景技术

“云原生”可以概括为充分利用原生云能力(自动扩展、无中断部署、自动化管理、弹性等)来进行应用设计、部署和智能化运维的方法，云原生技术主要指以容器、持续交付、DevOps(一组过程、方法与系统的统称，用于促进开发、技术运营和质量保障部门之间的沟通、协作与整合)、微服务、Service Mesh(服务网络)和声明API(应用程序编程接口)为代表的技术体系。云原生技术的出现，是为了让当前基于容器的大规模分布式系统管理拥有更高的自动化、更低的成本与更低的复杂性，使得互联网系统相比以前更容易管理、容错性更好、更便于可视化。

传统环境下的安全问题在云原生环境下仍然存在，比如DOS攻击、内部越权、数据泄露、数据篡改、漏洞攻击等，但由于云原生架构的多租户、虚拟化、快速弹性伸缩等特点，云原生安全更重视持续安全。目前云原生安全常用的方法是使用镜像扫描工具扫描并检测容器镜像中的相关风险，但是现有技术并不能对有风险的容器镜像进行拦截，有问题的镜像依旧能够上线运行，给容器环境造成安全隐患。

容器镜像构成了云原生环境中的标准应用交付格式，基于容器镜像广泛分布和部署的特性，需要一套对容器镜像进行签名和验证的机制来确保镜像在分发过程中的完整性，容器镜像通过构建工具构建完成后会同时生成一个基于SHA256算法的镜像ID，如：ef538eae80f40015736f1ee308d74b4f38f74e978c65522ce64abdf8c8c5e0d6，容器镜像技术广泛应用于各类软件的分发，如软件下载、光碟镜像下载等，用户下载容器镜像后，通过对镜像ID的比对，能够得知镜像文件是否被修改，但通常情况下，普通用户并不知道如何进行比对，如果下载了被添加了黑客程序或恶意程序的软件，再由管理员部署到企业内网，后果不堪设想。容器镜像通常是开发者进行构建，构建完毕后虽然提供了镜像ID，但在实际应用场景中，由于经过下载、复制、上传等一系列操作，最终获取容器镜像的管理员并不知道拿到的容器镜像是否已被篡改，因此解决容器镜像安全的问题刻不容缓。

发明内容

本发明的目的在于提供一种镜像全周期安全方法及系统，确保镜像从构建到在集群中启动为容器的全周期内的安全可信。

为实现以上目的，本发明的技术方案如下：

一种镜像全周期安全方法，包括：

S1，管理员在控制台生成密钥对，所述密钥对包括公钥和私钥，通过扫描器将密钥写入数据库。

S2，管理员在流水线中使用构建工具对镜像生成数字签名，使用公钥对镜像进行加密，通过扫描器将加密的镜像元数据和数字签名写入数据库；

优选的，所述构建工具包括Jenkins或Jflog；

进一步的，所述Jenkins构建工具通过

./cicd-tools-k＝xxx-i＝app：v1-c＝https：//test.cn-r＝test.cn-p＝cicd.pem

命令生成数字签名。

S3，将镜像上传至镜像仓库，管理员在控制台查验镜像是否签名成功。

S4，在控制台配置部署上线策略并下发给处理器，部署镜像、创建或更新POD资源时，通过扫描器扫描并与数据库中存储的密钥进行比对，校验镜像是否为可信镜像，对非可信镜像发出告警或阻断的处理。

本发明还提供一种镜像全周期安全系统，包括：

控制台，用于生成密钥对、校验镜像是否为可信镜像、配置镜像阻断策略和镜像部署上线策略；

扫描器，用于检查容器镜像是否符合管理员策略要求，对符合管理员策略的容器镜像，将密钥、数字签名和镜像元数据写入数据库；

数据库，存储密钥和镜像元数据；

处理器，对非可信镜像进行处理，根据不同的部署上线策略进行告警或阻断。

进一步的，所述系统还包括：

镜像仓库，所述镜像仓库包括自建仓库或使用外部公共的镜像仓库。

与现有技术相比，本发明具有如下优点：

本发明提供的安全方法贯穿镜像的全周期，从镜像构建、储存、分发到部署各个阶段均可保证镜像的安全可信，构建阶段为每个镜像进行独立签名，储存至镜像库后校验是否签名成功，用户下载镜像进行部署前对签名进行二次校验，确认可信后才可允许上线，解决了现有技术使用镜像仓库仅能对镜像存储阶段进行签名与验证的弊端，实现了镜像全周期的安全保证。

解决了现有技术只扫描不拦截的技术问题，阻断非可信镜像的上线，仅允许可信镜像上线部署，使得镜像生成的容器环境安全可信，不仅保证了镜像的安全，同时还保证了运行环境的可靠。

附图说明

图1是本发明方法的流程图；

图2是本发明系统的架构图。

具体实施方式

下面将结合具体实施例对本发明的技术方案进行详细描述，但是本领域技术人员将会理解，下列实施例仅用于说明本发明，而不应视为限制本发明的范围。

实施例1

如图1所示，一种镜像全周期安全方法，包括：

S1，管理员在控制台生成密钥对，并设置“密钥名称”、“密钥描述”、“生效仓库”和“镜像规则”，密钥对包括公钥和私钥，通过扫描器将密钥写入数据库，管理员可以通过控制台查看公钥，管理员将公钥复制到需要验证镜像签名的组件中，本实施例使用K8s的ConfigMap组件，同时，管理员在控制台配置镜像阻断策略。

S2，管理员在流水线中使用Jenkins构建工具进行构建时，在构建任务中加入以下命令调用扫描器对构建任务进行安全扫描，

./cicd-tools-k＝xxx-i＝app：v1-c＝https：//test.cn-r＝test.cn-p＝cicd.pem

根据管理员预设的镜像阻断策略，基于构建任务中涉及到的安全风险，包括漏洞、恶意软件、敏感文件、不合规的软件和不允许的开源许可，结合扫描器输出的结果进行判定，符合阻断策略的构建被终止；扫描安全的镜像将完成构建任务，生成容器镜像文件，并对镜像进行数字签名，通过扫描器将加密的镜像元数据及其对应的数字签名写入数据库；

S3，将镜像上传至镜像仓库，管理员此时可以在控制台中查验镜像是否签名成功。

S4，管理员在控制台配置镜像部署上线的阻断策略，将镜像部署到K8s集群时，使用K8s的Validating Webhook组件对K8s Configmap组件中存储的公钥和镜像中的数字签名进行校验，确认镜像的数字签名是否合法，对不包含合法签名的镜像进行阻断，包含合法签名的镜像进行上线部署。

如图2所示，提供一种镜像全周期安全系统，包括：

控制台，用于生成密钥对、校验镜像是否为可信镜像、配置镜像阻断策略和镜像部署上线策略；

扫描器，用于检查容器镜像是否符合管理员的策略要求，对符合管理员策略的容器镜像，将密钥和镜像元数据写入数据库；

数据库，存储密钥和镜像元数据；

处理器，对非可信镜像进行告警或阻断。

镜像仓库，本实施例使用的镜像仓库为企业自建容器镜像仓库。

最后应说明的是，以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在上面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。公开于该背景技术部分的信息仅仅旨在加深对本发明的总体背景技术的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域技术人员所公知的现有技术。

Claims (7)

1.一种镜像全周期安全方法，其特征在于，包括：

S1，生成密钥对并写入数据库；

S2，在流水线中使用构建工具对镜像生成数字签名并写入数据库；

S3，将镜像上传至镜像仓库并查验是否签名成功；

S4，配置部署上线策略，部署镜像时进行校验，对非可信镜像进行处理。

2.根据权利要求1所述的方法，其特征在于，所述写入数据库为通过扫描器写入数据库。

3.根据权利要求1所述的方法，其特征在于，所述构建工具包括Jenkins或Jflog。

4.根据权利要求3所述的方法，其特征在于，所述Jenkins通过

./cicd-tools-k＝xxx-i＝app：v1-c＝https：//test.cn-r＝test.cn-p＝cicd.pem

命令生成数字签名。

5.根据权利要求1所述的方法，其特征在于，所述部署上线策略包括告警和阻断。

6.一种镜像全周期安全系统，其特征在于，包括：

控制台，用于生成密钥对、校验镜像是否为可信镜像、配置镜像阻断策略和镜像部署上线策略；

扫描器，用于检查容器镜像是否符合管理员策略要求，将符合管理员策略的容器镜像的密钥和镜像元数据写入数据库；

数据库，存储密钥和镜像元数据；

处理器，对非可信镜像进行告警或阻断。

7.根据权利要求6所述的系统，其特征在于，所述系统还包括：

镜像仓库，所述镜像仓库包括自建仓库或外部公共镜像仓库。