近日，由中國信通院主辦的安全運營發(fā)展論壇在北京召開，會上公布了“安全守衛(wèi)者計劃——安全運營專題”優(yōu)秀案例征選結(jié)果。北京火山引擎科技有限公司攜手金拱門（中國）有限公司共同申報的《容器安全全生命周期建設(shè)》項目案例成功入選優(yōu)秀案例名單。

“安全守衛(wèi)者計劃——安全運營專題”是由中國信通院發(fā)起的優(yōu)秀案例征集活動。目的是引導安全領(lǐng)域產(chǎn)品的發(fā)展方向，選拔出一批成熟度高、具有示范作用的優(yōu)秀安全案例。經(jīng)過多輪嚴格評審，火山引擎申報的容器安全實踐案例成功脫穎而出，充分體現(xiàn)了火山引擎在云原生安全領(lǐng)域的競爭實力。

《容器安全全生命周期建設(shè)》項目從金拱門實際容器平臺業(yè)務(wù)場景出發(fā)，與業(yè)務(wù)端DevOps模式轉(zhuǎn)型深度融合，有效解決了用戶在鏡像安全掃描分析、運行時安全、容器基礎(chǔ)設(shè)施環(huán)境安全等方面實際的需求痛點，保障了金拱門數(shù)字化業(yè)務(wù)安全穩(wěn)定的運行。

火山引擎在云原生領(lǐng)域有著豐富的技術(shù)實踐經(jīng)驗，通過將安全原生的理念融入金拱門容器云業(yè)務(wù)架構(gòu)建設(shè)中，為客戶的數(shù)字化轉(zhuǎn)型提供了堅實的安全保障，并帶來以下效益：

安全易用，能效提升

鏡像供應(yīng)鏈的安全保障是容器安全運行的基礎(chǔ)，除了基礎(chǔ)的安全掃描分析加固之外，火山引擎通過自定義基礎(chǔ)鏡像、精細化的漏洞風險分析以及多樣化的鏡像阻斷手段，來幫助用戶提升鏡像安全運營效率。

運維部門通常會將獲取的源鏡像，進行安全掃描修復后，放入鏡像倉庫作為基礎(chǔ)鏡像，同時所有的業(yè)務(wù)鏡像都是由開發(fā)部門提供應(yīng)用代碼，在基礎(chǔ)鏡像上構(gòu)建而成的。火山引擎容器安全產(chǎn)品在后續(xù)的安全掃描中，能夠自動化識別出脆弱性是否屬于基礎(chǔ)鏡像引入，按照責任歸屬提交運維部門或者開發(fā)部門進行修復。修復過程中，會優(yōu)先修復基礎(chǔ)鏡像存在的問題，以提升修復效率。

另外，火山引擎容器安全產(chǎn)品對鏡像漏洞風險引入智能化分析評分機制，不僅基于CVE本身的風險要素，還結(jié)合容器運行的環(huán)境要素進行綜合評定（如特權(quán)容器、端口監(jiān)聽、異常事件等要素），給出最適合實際場景的修復優(yōu)先級建議。

在最后環(huán)節(jié)中，鏡像在生產(chǎn)環(huán)境中啟動成容器時，產(chǎn)品會幫助設(shè)置合理的安全卡點，并依據(jù)鏡像的脆弱性風險進行自動化鏡像啟動阻斷，防止鏡像帶病上線。

技術(shù)領(lǐng)先，全面防治

火山引擎以容器原生特性為基礎(chǔ)創(chuàng)新技術(shù)路線，以業(yè)內(nèi)領(lǐng)先的行為建模分析技術(shù)為基礎(chǔ)，全面覆蓋容器運行時遇到的各類已知和未知威脅。

如圖，產(chǎn)品客戶端組件會進行廣泛的容器資產(chǎn)行為收集，可收集各類資產(chǎn)靜態(tài)特征和動態(tài)行為。進一步利用容器的不變性和單一性，通過行為基線、廣譜規(guī)則對異常行為進行檢測，多維度數(shù)據(jù)關(guān)聯(lián)分析，提升未知威脅檢測的準確性。從而全面覆蓋各類高級入侵行為，如容器逃逸、反彈shell、遠程控制、挖礦等威脅。

原生部署，安全穩(wěn)定

火山引擎提供的所有產(chǎn)品組件全部以云原生化的方式進行部署，以非特權(quán)平行容器的方式運行，可自主設(shè)置資源消耗上限，對業(yè)務(wù)運行“0”影響，深得用戶信賴。

在未來，火山引擎會不斷加大對云原生安全領(lǐng)域的探索，深度洞察技術(shù)發(fā)展趨勢，輸出更多的內(nèi)部技術(shù)實踐經(jīng)驗，不斷加深和專業(yè)客戶的合作，共創(chuàng)共建出更多的優(yōu)秀實踐案例。