基于Docker的可信容器

发布时间：2019-09-17 15:08

【摘要】：针对Docker目前存在的容器及镜像被篡改、容器的恶意进程及非授权通信问题,利用可信计算的相关技术如信任链、完整性度量以及实时监控等方法,设计并实现了一个可信增强的Docker容器-DockerGuard.DockerGuard构造了一条从硬件到容器内部进程和文件的信任链,同时增加了包括进程监控、文件系统度量、网络监控三大功能于一体的安全防护模块,从而全方位对Docker进行度量与细粒度的监控.基于Docker1.6.0实现了具备上述功能的安全增强系统DockerGuard,并对系统进行了性能评估.结果表明,DockerGuard可以保护容器及镜像不被篡改,同时限制容器网络通信行为并监控容器内部进程,极大地提高了Docker容器的安全性.
【图文】：

系统框架

的网络通信行为并监控容器内部进程．这样即可规避大部分安全风险，极大地提高Ｄｏｃｋｅｒ容器的安全性．２Ｄｏｃｋｅｒ可信容器方案设计２．１设计思路根据前文对Ｄｏｃｋｅｒ安全性风险的分析和结论，针对Ｄｏｃｋｅｒ中存在的容器及镜像被篡改、容器的恶意进程及非授权通信问题，设计了一个可信增强的Ｄｏｃｋｅｒ容器———ＤｏｃｋｅｒＧｕａｒｄ．２．２总体设计框架总体设计框架如图１所示，ＤｏｃｋｅｒＧｕａｒｄ分为客户端和管理端．管理端负责提供管理界面给管图１ＤｏｃｋｅｒＧｕａｒｄ系统框架Ｆｉｇ．１ＤｏｃｋｅｒＧｕａｒｄｆｒａｍｅｗｏｒｋ理员，管理界面包括定制进程监控和网络监控的白名单的接口以及每个客户端的可信状态的监视窗口．而客户端则包括由文件系统度量、进程监控、网络监控三大功能构成的安全防护模块，并采用信任链的思想，由ＴＰＭ芯片作为硬件支持，对Ｄｏｃｋｅｒ进行度量与细粒度的监控，构建一个安全加固的Ｄｏｃｋｅｒ可信容器．信任链结构如图２所示，以ＴＰＭ芯片为起点，利用ＴＧｒｕｂ实现安全启动，并在ＴＧｒｕｂ中实现对Ｄｏｃｋｅｒ可执行文件以及进程度量模块文件、文件度量模块的度量，，在Ｄｏｃｋｅｒ启动后，文件系统度量模块和进程监控模块相继启动，整个系统启动完毕，开始工作．１）文件系统监控模块文件系统监控模块包括镜像度量和容器度量两个部分．镜像度量：当Ｄｏｃｋｅｒ执行ｐｕｌｌ、ｃｏｍｍｉｔ、ｌｏａｄ以及ｉｍｐｏｒｔ操作中的任意一个，将触发文件度量模块图２信任链Ｆｉｇ．２ＥｘｔｅｎｄｔｈｅｔｒｕｓｔｅｄｃｈａｉｎｔｏＤ

信任链

ｏｃｋｅｒＧｕａｒｄ分为客户端和管理端．管理端负责提供管理界面给管图１ＤｏｃｋｅｒＧｕａｒｄ系统框架Ｆｉｇ．１ＤｏｃｋｅｒＧｕａｒｄｆｒａｍｅｗｏｒｋ理员，管理界面包括定制进程监控和网络监控的白名单的接口以及每个客户端的可信状态的监视窗口．而客户端则包括由文件系统度量、进程监控、网络监控三大功能构成的安全防护模块，并采用信任链的思想，由ＴＰＭ芯片作为硬件支持，对Ｄｏｃｋｅｒ进行度量与细粒度的监控，构建一个安全加固的Ｄｏｃｋｅｒ可信容器．信任链结构如图２所示，以ＴＰＭ芯片为起点，利用ＴＧｒｕｂ实现安全启动，并在ＴＧｒｕｂ中实现对Ｄｏｃｋｅｒ可执行文件以及进程度量模块文件、文件度量模块的度量，在Ｄｏｃｋｅｒ启动后，文件系统度量模块和进程监控模块相继启动，整个系统启动完毕，开始工作．１）文件系统监控模块文件系统监控模块包括镜像度量和容器度量两个部分．镜像度量：当Ｄｏｃｋｅｒ执行ｐｕｌｌ、ｃｏｍｍｉｔ、ｌｏａｄ以及ｉｍｐｏｒｔ操作中的任意一个，将触发文件度量模块图２信任链Ｆｉｇ．２ＥｘｔｅｎｄｔｈｅｔｒｕｓｔｅｄｃｈａｉｎｔｏＤｏｃｋｅｒ１０４
【作者单位】：武汉大学计算机学院;教育部空天信息安全与可信计算重点实验室;
【基金】：国家自然科学基金项目(61332019) 国家重点基础发展计划(973)(2014CB340600)资助项目
【分类号】：TP309

【相似文献】