Docker等保测评全流程解析：从检查项到合规实践指南

一、Docker等保测评的核心检查维度

等保测评（网络安全等级保护测评）对Docker容器的检查覆盖物理安全、网络安全、数据安全、应用安全及管理安全五大维度，其中Docker特有的检查项集中在容器运行环境、镜像管理、网络隔离及日志审计四个方面。

1.1 容器运行环境安全

• 基础环境检查：需验证宿主机操作系统是否满足等保三级要求（如CentOS 7/8或Ubuntu 20.04 LTS），重点检查内核参数配置（如net.ipv4.conf.all.rp_filter、kernel.dmesg_restrict）是否限制了容器逃逸风险。
• 资源隔离验证：通过docker stats命令检查CPU/内存限制是否生效，例如：

  docker run -it --cpu-shares=512 --memory=512m alpine

  需确保资源配额未被突破，且Cgroups配置未被篡改。

1.2 镜像安全管控

• 镜像来源审计：要求所有镜像必须来自官方仓库（如Docker Hub官方镜像）或私有认证仓库，禁止使用未签名的第三方镜像。通过docker inspect检查镜像的RepoDigests字段：

  docker inspect nginx:latest | grep RepoDigests

• 漏洞扫描集成：需部署Clair、Trivy等工具定期扫描镜像漏洞，示例Trivy扫描命令：

  trivy image --severity CRITICAL,HIGH nginx:latest

  测评中要求高危漏洞（CVSS≥7.0）修复率达100%。

1.3 网络隔离与通信安全

• 网络模式合规性：禁止使用host网络模式，强制要求通过bridge或overlay网络实现隔离。检查命令：

  docker network inspect bridge | grep "Name"

• TLS加密验证：若使用Docker API远程管理，必须启用TLS认证。检查/etc/docker/daemon.json中的TLS配置：

  {
    "tls": true,
    "tlscacert": "/path/to/ca.pem",
    "tlscert": "/path/to/server-cert.pem",
    "tlskey": "/path/to/server-key.pem"
  }

二、Docker等保自查工具与方法论

2.1 自动化检查工具

• Docker Bench for Security：开源工具自动检测CIS Docker基准，运行命令：

  git clone https://github.com/docker/docker-bench-security.git
  cd docker-bench-security
  sh docker-bench-security.sh

  输出报告会标记WARN（需整改）和PASS（合规）项。

• OpenSCAP容器配置扫描：通过SCAP内容库检查容器配置，示例命令：

  oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_stig \
  --results results.xml /usr/share/xml/scap/ssg/content/ssg-rhel7-ds.xml

2.2 手动核查关键点

• 特权容器检查：禁止使用--privileged标志，通过以下命令排查：

  docker ps --filter "privileged=true"

• 敏感目录挂载：检查是否挂载了宿主机的/etc、/var等目录，示例：

  docker inspect <container_id> | grep -A 10 "Mounts"

三、等保测评常见问题与整改方案

3.1 典型不合规场景

• 场景1：容器以root用户运行
  整改：创建非root用户并修改Dockerfile：

  RUN groupadd -r appuser && useradd -r -g appuser appuser
  USER appuser

• 场景2：未限制容器日志大小
  整改：在/etc/docker/daemon.json中配置日志驱动：

  {
    "log-driver": "json-file",
    "log-opts": {
      "max-size": "10m",
      "max-file": "3"
    }
  }

3.2 持续监控方案

• 日志集中管理：部署ELK或Fluentd收集容器日志，示例Fluentd配置：

  <source>
    @type tail
    path /var/lib/docker/containers/*/*-json.log
    pos_file /var/log/td-agent/docker.log.pos
    tag docker.*
    format json
  </source>

• 异常行为检测：通过Falco规则监控容器内敏感操作，示例规则：

  - rule: Detect Privileged Container
    desc: Alert when a container is run with privileged flag
    condition: container.privileged = true
    output: Privileged container started (user=%user.name container=%container.id image=%container.image.repository)
    priority: WARNING

四、等保三级Docker环境配置示例

4.1 安全加固的daemon.json配置

{
  "icc": false,
  "userns-remap": "default",
  "no-new-privileges": true,
  "live-restore": true,
  "default-ulimits": {
    "nproc": 65535,
    "nofile": {
      "Soft": 20000,
      "Hard": 40000
    }
  },
  "bip": "172.18.0.1/16",
  "default-address-pools": [
    {
      "base": "172.19.0.0/16",
      "size": 24
    }
  ]
}

4.2 容器启动安全参数

docker run -d \
  --name secure_app \
  --read-only \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges \
  --security-opt apparmor=docker-default \
  nginx:latest

五、测评文档准备要点

1. 容器清单表：记录所有容器名称、镜像版本、运行用户及网络模式。
2. 网络拓扑图：标注容器间通信路径及安全组规则。
3. 应急预案：包含容器逃逸、镜像篡改等场景的处置流程。
4. 第三方审计报告：提供镜像扫描、渗透测试等第三方报告作为佐证。

通过系统化的自查工具、配置加固及文档管理，企业可高效通过Docker环境的等保测评。实际测评中，建议结合自动化工具与人工核查，重点关注特权容器、未加密通信及日志留存等高频问题点。