安全狗云原生安全-云甲·云原生容器安全管理系统

　　随着云计算的快速发展，容器技术逐渐成为主流。然而，随着容器的普及，安全问题也日益突出。为了解决这一问题，安全狗推出了云原生容器安全管理系统——云甲。

　　云甲是安全狗云原生安全的重要组成部分，它采用了先进的云原生技术，为容器提供了全面的安全保障。

　　基于云原生安全(CNAPP)的概念，在整个云原生容器的安全生命周期中，采用自动检测、自动分析、自动处理的方式防御安全威胁。在防护技术上使用漏洞运营、智能检测、机器学习与威胁预测等先进的方法来确保基于DevOps生命周期的容器应用安全。云甲支持主机安全Agent以及安全容器两种部署方式，既能做到对云原生容器的全面保护又能灵活地跟容器编排体系相结合。

产品优势

覆盖容器安全生命周期安全

　　透明化全面化采集镜像容器资产，在镜像构建阶段引入病毒检测、异常监测和合规扫描，截断恶意代码代入到运行环境，在运行环境中实时监测容器运行时和部署环境安全以及监控POD、容器流量访问并支持配置阻断和隔离的响应策略，全方位保障容器云安全。全面兼容信创环境

　　服务端和Agent兼容ARM、X86芯片架构以及主流的信创操作系统。

精细化资产管理

　　资产一键搜可进行关键字全文检索，快速定位资产;当某一类型资产出现0Day安全漏洞时，可以快速查找全网包含该类风险资产的容器及其关联的POD、集群、节点等信息。帮助用户快速确定漏洞影响范围，为进一步风险处置提供决策依据。此外，资产画像可聚合容器分散孤立的各类静态、动态和关联媒介类数据。从资产基础信息、漏洞风险和安全事件三维度构建画像标签算法，整体资产状态做到“底数清、信息全、状态明、响应快”，一目了然。多维度云原生高级威胁检测技术

　　云甲可进行全面的云原生高级威胁检测。通过人工智能技术、云原生运行时自保护技术、机器学习技术，可以高准确率地识别出未知、混淆、加密的webshell、内存马、容器逃逸、系统高危命令等威胁，具备对识别结果的解释性。

完整可视化的软件供应链图谱

　　云甲通过绘制覆盖Java、 Python、Go、C/C++、nodejs主流开源组件依赖关系链图谱，完整可视化的展示云原生镜像软件供应链，帮助开发人员快速发现和解决因使用开源代码组件而产生的漏洞和许可合规性问题。产品功能

　　云甲由仪表盘、资产管理、镜像安全、容器安全、网络安全、服务应用安全、基础设施安全、合规基线等模块组成，各模块联动形成云原生容器全生命周期的安全防护。

镜像扫描：

　　支持在构建阶段、分发阶段、运行前对主机和仓库镜像进行安全扫描和配置阻断策略。避免带有病毒木马、高危漏洞、敏感信息等不安全的镜像被实例化成“容器”，将安全风险带到生产环境，实现“安全左移”。资产采集：

　　全面细粒度的采集镜像、容器、仓库、主机上的动、静态资产信息，建立IT资产台账。通过一键搜、变更分析、资产画像等功能，帮忙用户实现精细化的资产管理。

**　　网络安全：**

　　采集集群、命名空间、POD、容器、进程不同细粒度对象间的之间的网络流量，以可视化展示网络访问关系，实现根据业务需求设置访问控制策略。

运行时安全：

　　具备运行时全面的威胁监测能力。支持实时监测内存马、病毒木马、反弹shell、进程行为、实时逃逸等安全事件，可通过定期更新检测规则以及提供自定义功能持续完善检测能力，并支持自学习一段时间内容器的进程、文件、网络访问行为生成模型。当发生模型外的行为时，支持告警或阻断，帮助用户快速发现未知威胁。

应用场景

安全左移

　　云甲可解决镜像中被植入webshell、病毒，敏感信息泄露、有可疑的历史记录，以及包含已知漏洞的第三方组件、聚焦解决高风险漏洞等系列影响到镜像准时上线的问题。通过践行“安全左移”，阻止安全风险进入生产环境中。

**　检测容器运行时的高级威胁入侵**

　　云甲可有效地检测容器WEB RCE攻击、内存马攻击、容器逃逸攻击、病毒植入、Webshell植入等容器运行时的高级威胁入侵。

**　检测容器运行时的未知风险**

　　通过对容器的进程事件、文件事件、网络事件、进行一定周期的自学习，构建容器行为模型，对模型外的行为产生告警;可以对模型内外的行为进行手动调整，让模型更准确，以此发现容器运行中可能发生的异常行为并发送报警。

**　实现容器环境下的微隔离**

　　针对容器集群的东西向流量不可见、攻击者进行内网渗透等问题，云甲可通过实现K8s环境下的微隔离，有效阻断安全风险。

容器防篡改

　　支持禁止创建、删除、执行、读取、写入文件/文件夹等多种配置;在文件被篡改情况下，恢复文件并返回未被篡改数据;在网站被篡改情况下，返回被篡改提示界面;统一创建适用于容器不同场景的防篡改策略。

**　助力基础设施安全**

　　云甲在编排及运行时环境常有不安全配置以及漏洞为攻击者提供入侵条件，云甲构建基于CIS的Docker、Kubernetes、OpenShift、操作系统、中间件、数据库等全栈运行环境的合规基线，支持常见PCI、等保法律法规等合规要求;构建云原生漏洞库，构建针对K8s yaml文件、Dockerfile等编排文件的IaC扫描能力;通过⼀键自动化检测并提供检查结果和代码级的修复建议帮助企业及时发现并修复脆弱点。

　　总之，安全狗云原生容器安全管理系统——云甲具备实时监控、入侵检测、漏洞扫描、身份认证和访问控制、日志和告警以及自动化运维等功能，可以为容器提供全面的安全保障。同时，云甲还支持跨平台部署和使用，可以满足不同用户的需求。