第3章 容器运行时安全与镜像扫描
容器安全是 Kubernetes 安全的关键环节，涵盖镜像构建、安全配置、运行时防护三个维度。面试中常围绕「镜像漏洞扫描策略」「容器安全配置基线」「运行时异常检测机制」三大方向展开提问。掌握系统化的回答框架，是获得面试官认可的核心能力。
容器安全三大维度对比
| 维度 | 核心目标 | 关键措施 | 常用工具 |
|---|---|---|---|
| 安全配置 | 减少攻击面 | 最小权限、只读根文件系统、禁用特权 | PodSecurityPolicy / OPA Gatekeeper |
| 镜像扫描 | 阻断漏洞入口 | 全链路 CVE 扫描、基础镜像溯源 | Trivy / Clair / Anchore |
| 运行时检测 | 实时威胁响应 | 异常进程、文件篡改、网络连接监控 | Falco / Sysdig / Tracee |
容器安全建设三步走
- 基础加固：配置 Pod 安全上下文，实施最小权限策略，启用只读文件系统与 seccomp。
- 入口管控：在 CI/CD 中集成镜像扫描，对高危漏洞自动阻断，建立基础镜像可信列表。
- 动态防御：部署运行时检测引擎（Falco），配置异常行为规则，实现实时告警与自动隔离。
📌 面试问题
请描述如何为 Kubernetes 集群配置容器运行时安全策略？
🔍 面试官考察点
- 安全基线理解（PodSecurityPolicy / OPA）
- 最小权限原则的实际落地经验
- 策略变更的渐进式推行意识
🧩 回答框架
- 原则先行：最小权限 + 只读文件系统 + 禁用特权容器
- 配置落地：通过 securityContext、OPA Gatekeeper 实施策略即代码
- 验证迭代：先用审计模式收集违规事件，再逐步切换为强制模式
💡 简短示例回答
“我遵循最小权限原则：设置 runAsNonRoot=true、readOnlyRootFilesystem=true，禁用特权模式。通过 OPA Gatekeeper 强制所有 Pod 合规，先在审计模式运行两周确认无影响后再强制。每月用 kube-bench 进行配置基线检查。”
❓ 可能追问
如何在不中断业务的前提下逐步收紧安全策略？
📌 面试问题
你在项目中如何实施镜像漏洞扫描？扫描出高危漏洞如何处理？
🔍 面试官考察点
- 扫描工具选型与流水线集成能力
- 漏洞分级与阻断策略
- 修复流程与基础镜像治理
🧩 回答框架
- 扫描时机：构建时预扫描 + 部署前准入扫描 + 定期全量扫描
- 漏洞分级：CVSS ≥ 7 阻塞部署，4-6 分告警并排期修复
- 修复闭环：升级基础镜像 → 应用补丁 → 重建镜像 → 重新扫描
💡 简短示例回答
“我使用 Trivy 在 CI/CD 中集成镜像扫描，构建阶段自动检测，CVSS ≥ 7 的漏洞直接阻塞部署。扫描结果同步至漏洞管理平台，由安全团队评估。修复方式以升级基础镜像版本为主，修复后重建镜像并重新扫描验证。”
❓ 可能追问
如何处理基础镜像中存在已知漏洞但尚无修复版本的情况？
📌 面试问题
如何检测和应对容器运行时的异常行为？
🔍 面试官考察点
- 运行时监控维度与工具链认知
- 检测规则配置与误报管理
- 告警响应与事件溯源能力
🧩 回答框架
- 监控维度：进程启动、文件写入、网络连接、系统调用
- 检测规则：Falco 规则 + 应用行为基线白名单
- 响应处置：实时告警 → 自动隔离 Pod → 事件溯源与规则优化
💡 简短示例回答
“我部署 Falco 监控容器进程、文件与网络异常。规则覆盖‘容器内启动 shell’‘敏感目录写入’等场景。告警接入 Prometheus AlertManager，高风险事件自动隔离 Pod 并通知安全团队。每月更新基线降低误报。”
❓ 可能追问
如何区分正常业务行为与异常攻击行为，有效降低误报率？
🚀 项目案例：容器全生命周期安全平台
项目名称：基于 Trivy + Falco 的容器全生命周期安全平台
业务背景：某金融科技公司 Kubernetes 集群承载 200+ 微服务，面临镜像漏洞不可控、运行时安全事件无法追溯的问题，需建设从构建到运行的容器安全防护体系。
规模指标：200+ 微服务 · 日均镜像构建 500+ 次 · 集群节点 50+ · 运行时事件日均 10 万+
技术栈：Trivy（镜像扫描）· Falco（运行时检测）· OPA Gatekeeper（策略引擎）· Harbor（镜像仓库）· Prometheus + AlertManager（监控告警）· ELK（日志分析）