第1章：容器安全威胁模型
I’m happy to translate the article for you, but I need the actual text you’d like translated. Could you please paste the content (or the portion you want translated) here? I’ll keep the source line and all formatting exactly as you specify.
引言
本文是 Ultimate Container Security Series 系列的一部分，该系列是一个结构化的多章节指南，涵盖从基础概念到运行时防护的容器安全。有关系列结构、范围和更新计划的概览，请参阅系列介绍帖子此处。
在讨论工具、配置或最佳实践之前，首先要明确 我们到底在保护什么以及要防御谁。这正是 威胁模型 的作用——一种结构化的方式，用于分析安全风险。
关键概念
| 概念 | 定义 |
|---|---|
| Risk | 潜在的问题以及如果发生时的影响。 |
| Threat | 可能导致该风险实现的路径。 |
| Mitigation | 降低威胁成功概率或限制其影响的对策。 |
简单示例
想象你在家工作，依赖一台包含敏感工作数据的笔记本电脑。
- Risk: 数据可能被盗。
- Threats:
- 有人闯入你的住宅
- 笔记本从车里被盗
- 被欺骗安装恶意软件
- Mitigations:
- 锁好门
- 对磁盘进行加密
- 使用强身份验证
关键点: 单一风险可能对应多种不同的威胁，每个威胁可能需要不同的缓解措施。
与上下文相关的风险
- 银行业 – 重点在于防止金融盗窃。
- 电子商务 – 优先考虑欺诈检测和服务可用性。
- 个人博客 – 主要关注账户被接管或网站被篡改。
监管环境也会影响风险。例如，个人数据泄露在某些地区可能主要是声誉问题，而在 欧盟，GDPR 则可能导致巨额经济处罚。
由于风险各不相同，特定威胁的重要性和相应的缓解措施也会不同。因此，威胁建模 不是寻找唯一“正确”的威胁列表，而是系统性地识别并优先处理在特定环境中重要的威胁。
什么是威胁建模？
Threat modeling 是通过检查系统的组件、接口和运行模式来识别和列举潜在威胁的过程。做好后，它能够突出系统最易受攻击的地方以及安全工作最能产生效果的区域。
本章的目标是建立一个共享的思维模型，供本系列其余章节使用。我们将查看容器威胁常见的不同结构方式，并说明本系列将采用哪种方法。
常见容器安全威胁建模方法
没有一种单一的完整威胁模型能够适用于所有环境，但有几种成熟的做法被广泛使用。每种方法侧重点不同。
1. 基于组件的模型
Source: NIST Special Publication 800‑190 – Application Container Security Guide (2017)
| 组件 | 常见风险 |
|---|---|
| 镜像 | 漏洞、恶意层、过期的软件包 |
| 镜像仓库 | 未授权访问、篡改、凭证泄露 |
| 编排器 | 配置错误、特权提升、API 滥用 |
| 容器 | 运行时逃逸、不安全的默认设置、特权误用 |
| 宿主操作系统 | 内核漏洞、不安全的宿主配置、资源滥用 |
- 重要性：每个组件都是独立的攻击面。通过分别审视它们，架构师和运维人员可以了解哪些地方必须有控制措施，以及某一环节的失效如何影响系统的其他部分。
- 系列说明：我们采用 NIST 确认的相同风险，但 按照容器生命周期重新组织，以便更容易学习和实际应用。
2. 以攻击者为中心的模型
Source: Container Security by Liz Rice
| 行为者 | 描述 |
|---|---|
| 外部攻击者 | 试图从环境外部访问部署。 |
| 内部攻击者 | 已获得一定程度的内部访问权限。 |
| 恶意内部人员 | 拥有合法权限但行为恶意的开发者或管理员。 |
| 无意的内部人员 | 意外引入安全问题（例如误配置）。 |
| 应用进程 | 可能滥用其编程访问权限（例如滥用 API）。 |
- 重要性：此方法帮助理解 意图、特权级别和真实的攻击路径。常用于事件响应、威胁狩猎和安全评审。
3. 基于技术的模型
Source: MITRE ATT&CK for Containers
| ATT&CK 战术 | 示例技术 |
|---|---|
| 初始访问 | 利用有漏洞的镜像、凭证窃取 |
| 执行 | 运行恶意容器、滥用入口点 |
| 持久化 | 部署隐藏 sidecar、修改 daemon 配置 |
| 特权提升 | 逃逸到宿主、在容器内获取 root |
| 防御规避 | 隐藏进程、篡改日志 |
| 凭证获取 | 导出密钥、拦截 API 令牌 |
| 发现 | 枚举容器、探测网络 |
| 横向移动 | 在 pod 之间移动、攻陷其他服务 |
| 影响 | 数据外泄、服务中断 |
Image source: MITRE ATT&CK for Containers
- 重要性：对检测和响应非常有用，因为它将对手行为映射到时间线上。不过，单独使用时可能过于细节，难以作为入门级威胁模型。
4. 基于生命周期的模型
关注点：威胁何时发生，而不是发生在何处或由谁。它与容器化系统的实际构建和运营方式高度吻合。
在本系列中，我们采用 基于生命周期的方式，使用以下阶段：
| 生命周期阶段 | 系列对应章节 |
|---|---|
| 构建 | PART 2: Secure Container Image Building |
| 分发 | PART 3: Registries & Supply Chain Security |
| 运行时 | PART 4: Runtime Protection & Monitoring |
| 退役 | PART 5: Secure Teardown & Data Sanitization |
通过将威胁映射到每个阶段，读者可以更容易地在最相关的环节实施相应的缓解措施。
摘要
- 威胁建模为在容器环境中识别、优先排序和缓解安全风险提供了结构化方法。
- 存在多种建模方法——基于组件、以攻击者为中心、基于技术和基于生命周期——每种方法提供不同的视角。
- 本系列采用基于生命周期的模型，并结合 NIST 的组件列表及其他成熟框架的洞见，为读者提供一个实用的、分阶段的容器安全路线图。
部署 – 第 4 部分：主机与容器平台安全
Source: …
运行时 – 第 5 部分：容器运行时安全
这种方法使我们能够按照容器在系统中流动的顺序来分析威胁，同时仍然结合基于组件和以攻击者为中心的模型的洞见。
注意： 没有单一的威胁模型能适用于所有环境，但本系列讨论的许多威胁在大多数容器部署中都是共同的，无论规模或平台如何。
从威胁模型到攻击向量
一旦定义了威胁模型，下一步就是识别 攻击向量——攻击者可能用来利用系统的具体入口点。
在容器化环境中，攻击向量可能出现在 容器生命周期的每个阶段，并跨越多个组件。常见示例包括：
- 运行在容器内部的易受攻击的应用代码
- 不安全的容器镜像构建配置
- 被破坏或不可信的容器镜像供应链
- 不安全的镜像存储和获取机制
- 主机机器和内核安全性薄弱
- 暴露或权限过大的凭证和令牌
- 平坦或分段不良的容器网络
- 容器逃逸漏洞
核心安全原则
无论具体的威胁模型或部署架构如何，某些安全原则始终能够降低容器化环境的风险。这些原则 并不取代威胁模型；相反，它们指导如何选择和应用缓解措施，并将在本系列的其余部分反复出现：
- 定期审计和及时更新
- 遵循最小权限原则
- 网络分段和隔离
- 运行时可视化与强制执行
- 持续的镜像扫描
- 深度防御而非单一控制
- 减少暴露的攻击面
- 限制妥协的冲击范围
- 明确划分角色和系统之间的职责
关于本文
本文是 终极容器安全系列 的一部分，这是一个持续的工作，旨在以实用的方式组织和解释容器安全概念。
如果您想了解相关主题或查看后续内容，请参阅 系列介绍帖子，其中提供了完整的路线图。