3. 安全基线标准：CIS Docker Benchmark、NIST SP 800-190、Dockerfile最佳实践、常见安全配置项
容器镜像安全并非孤立存在，而是建立在业界公认的安全基线标准之上。本章将深入解析四大核心安全标准与最佳实践体系，帮助你在构建、分发和运行容器镜像时，拥有可量化的安全核验依据。
3.1 核心安全基线标准概览
下表对比了当前容器安全领域最具影响力的四类标准，它们分别从不同维度定义了“安全”的边界。
| 标准/实践 | 发布机构 | 核心关注点 | 适用阶段 |
|---|---|---|---|
| CIS Docker Benchmark | CIS (Center for Internet Security) | Docker守护进程、主机配置、镜像/容器运行时安全 | 构建 & 运行 |
| NIST SP 800-190 | NIST (National Institute of Standards and Technology) | 容器全生命周期威胁建模与安全控制 | 规划 & 设计 |
| Dockerfile 最佳实践 | Docker 社区 & 安全厂商 | 镜像层优化、最小权限、减少攻击面 | 构建 |
| 常见安全配置项 | 行业共识 | Seccomp、AppArmor、只读根文件系统、非root用户 | 运行 |
核验策略提示： 在DevSecOps流水线中，建议将CIS Benchmark作为自动化扫描的基线，将NIST SP 800-190作为威胁建模的输入，将Dockerfile最佳实践作为代码审查的规则，将常见安全配置项作为运行时策略的强制约束。
3.2 CIS Docker Benchmark：可量化的安全基线
CIS Docker Benchmark 是目前业界应用最广泛的容器安全基线，它提供了超过100项具体的检查项，分为以下几个关键章节：
- 主机配置： 审计Docker守护进程的安装、更新与网络隔离。
- Docker守护进程配置： 检查TLS认证、日志级别、默认cgroup等。
- Docker守护进程配置文件： 确保
daemon.json权限正确且未被篡改。 - 容器镜像与构建文件： 关注镜像层数、敏感信息泄露、HEALTHCHECK指令。
- 容器运行时： 限制特权容器、内存/CPU限额、挂载传播模式。
- Docker安全操作： 网络策略、Swarm模式安全、密钥管理。
镜像核验关键项（CIS 4.x 系列）：
- 4.1： 确保容器使用非root用户运行（
USER指令）。 - 4.5： 确保敏感文件系统挂载为只读（
--read-only）。 - 4.8： 确保不使用特权容器（
--privileged=false）。 - 4.11： 确保容器的root文件系统以只读方式挂载。
3.3 NIST SP 800-190：全生命周期威胁建模框架
NIST SP 800-190 提供了容器化环境的安全威胁分类与控制建议。它不提供具体的配置命令，而是从架构层面指导安全策略的制定。其核心威胁模型包括：
- 镜像仓库威胁： 镜像被篡改、过时镜像被拉取、私有仓库认证薄弱。
- 镜像构建威胁： 基础镜像包含漏洞、构建过程中注入恶意代码、构建缓存污染。
- 镜像部署威胁： 使用含漏洞镜像、配置不当导致权限提升、密钥硬编码。
- 容器运行时威胁： 逃逸攻击、资源耗尽、网络侧信道攻击。
- 编排平台威胁： API Server未授权访问、Pod安全策略缺失、网络策略配置错误。
下图展示了NIST框架下，安全基线如何与容器生命周期各阶段对应：
3.4 Dockerfile 最佳实践：从源头减少攻击面
Dockerfile 是镜像安全的“第一道防线”。以下是最关键的几条安全实践：
| 实践项 | 说明 | 示例 |
|---|---|---|
| 使用特定基础镜像标签 | 避免使用 latest 标签，确保可复现性 |
FROM python:3.11-slim-bookworm |
| 最小化镜像层数 | 合并 RUN 指令，减少历史记录暴露风险 |
RUN apt-get update && apt-get install -y curl |
| 显式设置非root用户 | 创建专用用户并切换，避免容器以root运行 | RUN useradd -m appuser && USER appuser |
| 清理构建缓存与临时文件 | 删除包管理器缓存、临时下载文件 | RUN apt-get clean && rm -rf /var/lib/apt/lists/* |
| 避免硬编码密钥 | 使用构建参数或挂载密钥，而非写入镜像层 | ARG (构建时传入) |
常见陷阱： 许多团队在Dockerfile中执行
COPY . . 后忘记添加 .dockerignore 文件，导致将 .env、.git 目录或本地密钥文件打包进镜像。务必在项目根目录创建 .dockerignore 并排除敏感文件。
3.5 常见安全配置项：运行时加固
即使镜像本身安全，运行时配置不当仍可能导致容器逃逸或权限提升。以下配置项是OPA Gatekeeper策略集成的重点目标：
- Seccomp（安全计算模式）： 限制容器可执行的系统调用。默认配置已禁用约44个危险系统调用。
- AppArmor / SELinux： 强制访问控制（MAC）策略，限制容器对文件系统、网络和进程的访问。
- 只读根文件系统（
--read-only）： 防止容器在运行时写入恶意文件或篡改系统文件。 - Capabilities 降权： 移除
NET_RAW、SYS_ADMIN等危险capability。 - 资源限制： 设置
--memory、--cpus防止DoS攻击。
下图展示了从Dockerfile构建到运行时配置的完整安全基线核验流程：
3.6 标准集成与OPA Gatekeeper策略映射
将上述安全基线转化为OPA Gatekeeper策略时，需要建立清晰的映射关系。以下是一个简化的映射示例：
| 安全基线项 | 来源标准 | OPA Gatekeeper 策略类型 | 约束示例 |
|---|---|---|---|
| 禁止特权容器 | CIS 4.8 | K8sPodSecurityPolicy | privileged: false |
| 必须使用非root用户 | CIS 4.1 / Dockerfile最佳实践 | K8sRequiredLabels | 检查 securityContext.runAsNonRoot: true |
| 只读根文件系统 | CIS 4.11 | K8sRequiredAnnotations | 检查 readOnlyRootFilesystem: true |
| 禁止挂载Docker Socket | NIST SP 800-190 运行时威胁 | K8sBlockNodeLocalStorage | 拒绝 hostPath: /var/run/docker.sock |
| 限制capability | 常见安全配置项 | K8sCapabilities | 移除 NET_RAW、SYS_ADMIN |
实践建议： 在编写OPA Gatekeeper策略时，不要试图一次性覆盖所有CIS检查项。建议从 高危项（如特权容器、Docker Socket挂载）开始，逐步扩展到中危项（如资源限制、readOnlyRootFilesystem）。每增加一条策略，都应在测试环境中验证其对现有工作负载的影响，避免过度阻断。