3. 配置漂移分类：文件系统漂移、进程漂移、网络配置漂移、挂载点漂移

在容器运行时环境中，配置漂移并非单一维度的异常行为，而是涉及容器内部多个资源维度的状态偏离。为了在自动化流水线中实现精准检测与高效恢复，必须首先对漂移类型进行系统化分类。根据容器运行时（如 Docker、containerd）的底层隔离机制，配置漂移可归纳为以下四大类：文件系统漂移、进程漂移、网络配置漂移和挂载点漂移。

3.1 四类漂移核心特征对比

下表从影响范围、典型触发场景、检测难度和恢复代价四个维度，对四类漂移进行横向对比，帮助团队快速建立优先级判断框架。

3.2 文件系统漂移

文件系统漂移是指容器内文件系统内容、权限或元数据与预期基线发生偏离。由于容器镜像采用分层只读层 + 可写层的 OverlayFS 结构，任何对可写层的非预期写入、修改或删除都属于文件系统漂移。

• 常见表现： 配置文件被篡改（如 /etc/nginx/nginx.conf）、恶意脚本写入（如 /tmp/.cron）、日志文件异常增长撑满可写层。
• 检测方法： 基于文件哈希校验（SHA-256）或文件属性（inode、权限、大小）的周期性基线比对。
• 恢复策略： 从镜像层重新提取原始文件覆盖，或直接重建容器实例。

3.3 进程漂移

进程漂移指容器内运行的进程集合与预期进程列表不一致。容器通常只运行单一主进程（如 java -jar app.jar），任何额外产生的子进程或后台进程都可能是漂移信号。

• 常见表现： 挖矿进程（如 xmrig）、反向 Shell 进程、异常子进程（如 sh -c "curl ..."）。
• 检测方法： 通过 /proc 文件系统或 ps 命令获取进程列表，与白名单进程树进行比对。
• 恢复策略： 终止异常进程（kill -9），若主进程被替换则需重建容器。

3.4 网络配置漂移

网络配置漂移涉及容器网络命名空间内的网络栈配置变更，包括 IP 地址、路由表、iptables 规则、DNS 解析等。由于容器网络通常由 CNI 插件统一管理，任何手动或非 CNI 触发的变更都属于漂移。

• 常见表现： 新增 iptables 转发规则导致流量劫持、DNS 服务器被篡改为恶意地址、容器 IP 地址被手动修改。
• 检测方法： 定期导出网络命名空间配置（iptables-save、ip route show、resolv.conf）并与基线对比。
• 恢复策略： 重置网络命名空间（ip netns exec 恢复配置），或重启容器重建网络栈。

3.5 挂载点漂移

挂载点漂移指容器内挂载点列表或挂载参数与预期不符。挂载点是容器与宿主机共享文件系统的关键通道，也是逃逸攻击的高发区。

• 常见表现： 新增宿主机敏感目录挂载（如 /etc、/var/run/docker.sock）、挂载参数从 ro 变为 rw、挂载点被卸载导致数据不可用。
• 检测方法： 通过 /proc/mounts 或 mount 命令获取挂载点列表，与安全策略定义的允许挂载列表进行比对。
• 恢复策略： 卸载非法挂载点（umount），重新挂载合规目录；若挂载点被卸载则重新执行 mount 操作。

3.6 配置漂移分类全景图

下图以容器运行时内核隔离边界为视角，展示四类漂移在容器内部的作用位置与相互关系。图中使用不同颜色区分漂移类型，并标注了每类漂移的典型检测入口。

3.7 漂移检测优先级矩阵

在实际流水线设计中，并非所有漂移都需要立即响应。建议根据安全影响和业务连续性两个维度，对四类漂移设置不同的检测频率与恢复策略。