# **镜像不干净，容器跑得再稳也白搭：我在生产环境踩过的镜像安全那些坑**

大家好，我是 **Echo_Wish**。
这些年在运维和云原生一线混，容器、K8s、CI/CD 基本是天天见。说句掏心窝子的：

> **现在很多“安全事故”，不是被黑客多牛逼，而是我们自己把后门打包进了镜像。**

今天就聊一个**特别容易被忽视、但又特别致命的话题**：

> **容器镜像安全：构建时静态分析 + 运行时防护（cosign + runtime）**

不讲安全术语轰炸，也不搞 PPT 风格，就按“咱平时干活”的视角，把这套东西讲明白。

---

## 一、先泼盆冷水：镜像一旦进仓库，基本就是“带毒传播”

很多团队的镜像流程是这样的：

```text
写 Dockerfile → build → push → deploy
```

看着很丝滑，但我问你几个问题：

* 这个镜像里有没有高危漏洞？
* 这个镜像是不是被人偷偷替换过？
* 这个容器运行后干了什么，你知道吗？

如果你的答案是：

> “呃……没出过事，应该没问题吧？”

那我只能说一句老运维名言：

> **没出事 ≠ 没问题，只是还没轮到你。**

---

## 二、镜像安全不是一个点，而是一条链

我个人把容器镜像安全拆成两句话：

> **构建时，别把脏东西打进去
> 运行时，别让它乱来**

今天重点就放在这两个阶段：

1️⃣ 构建时：**静态分析 + 镜像签名（cosign）**
2️⃣ 运行时：**容器行为防护（runtime）**

---

## 三、构建时静态分析：别等上线了才查漏洞

### 1️⃣ 静态分析到底在查什么？

说白了就是三件事：

* 基础镜像漏洞（glibc、openssl 那些老熟人）
* Dockerfile 不规范（root 运行、ADD 滥用）
* 应用依赖漏洞（Log4j 这种）

### 示例：在 CI 里加一道“安检”

```bash
trivy image myapp:1.0.0
```

输出如果是这样：

```text
CRITICAL: glibc CVE-2023-XXXX
HIGH: openssl CVE-2024-YYYY
```

我的建议很简单：

> **CI 直接 fail，别心软。**

你现在不拦，后面出事就是运维背锅。

---

### 2️⃣ 我的真实感受

很多人嫌静态扫描“慢”“烦”“经常误报”。

但你换个角度想：

> **你愿不愿意为了省 2 分钟构建时间，去换一次凌晨三点的电话？**

我反正不愿意。

---

## 四、cosign：给镜像上个“身份证”

这是我近两年**最推荐**的一个工具。

### 1️⃣ 镜像最大的问题是什么？

不是漏洞，而是：

> **你根本不知道现在跑的，是不是你当初 build 的那个镜像。**

### 2️⃣ cosign 是干嘛的？

一句话解释：

> **给镜像做签名，部署时只认“亲笔签名”的镜像。**

### 示例：给镜像签名

```bash
cosign sign myrepo/myapp:1.0.0
```

### 验证签名

```bash
cosign verify myrepo/myapp:1.0.0
```

只要镜像被篡改过，校验直接失败。

---

### 3️⃣ 配合 K8s 使用（非常关键）

```yaml
apiVersion: policy.sigstore.dev/v1beta1
kind: ClusterImagePolicy
spec:
  images:
  - glob: "myrepo/*"
  authorities:
  - key:
      secretRef:
        name: cosign-public-key
```

这意味着一句话：

> **没签名的镜像，连 Pod 都起不来。**

---

## 五、运行时防护：镜像再干净，也怕“变坏”

这是很多团队最容易忽略的一环。

现实是：

> **镜像上线后，才是真正危险的开始。**

### 1️⃣ 运行时主要防什么？

* 容器里突然执行 `bash`
* 访问不该访问的文件
* 连不该连的 IP
* 提权、挖矿、反弹 shell

### 2️⃣ 一个典型的“事故现场”

我见过真实案例：

* 镜像本身没问题
* 但应用被打了 RCE
* 攻击者在容器里直接 `curl | sh`

如果你没有 runtime 防护——
**你连发生过什么都不知道。**

---

## 六、Runtime 防护怎么做才不“折磨人”？

我个人不太喜欢“规则写到手抽筋”的方案。

### 推荐思路：行为基线

> **容器平时只干这几件事，其他一律算异常。**

### 示例：限制容器执行 shell

```yaml
securityContext:
  allowPrivilegeEscalation: false
  readOnlyRootFilesystem: true
```

再配合 runtime 工具（Falco / Tetragon 等）：

```yaml
- rule: Unexpected Shell
  condition: proc.name in (bash, sh)
  output: "Shell spawned in container"
```

效果就一句话：

> **不该发生的行为，一发生就报警。**

---

## 七、把三件事串起来，才叫“闭环”

我自己在项目里的推荐组合是：

```text
CI：
  Dockerfile 检查
  ↓
  镜像漏洞扫描
  ↓
  cosign 签名

CD：
  K8s 校验签名
  ↓
  Runtime 行为防护
```

不是为了“安全评级”，
而是为了一个目标：

> **让问题尽量死在上线之前。**

---

## 八、我自己的几点真实感悟

说点不太好听的：

* 安全不是工具问题，是态度问题
* 镜像安全不是“安全团队的事”，而是**运维底线**

很多事故复盘到最后，结论都很像：

> “如果当初多加一步，其实是能拦住的。”

那一步，往往就是：

* 一个扫描
* 一个签名
* 一个 runtime 规则

---

## 九、写在最后

如果你现在只能做一件事，我的建议是：

> **先上 cosign。**

它是投入产出比最高的一步。

如果你能再往前走一步：

> **构建时静态分析 + 运行时防护，一起上。**



大家好，我是 Echo_Wish。这些年在运维和云原生一线混，容器、K8s、CI/CD 基本是天天见。说句掏心窝子的：

镜像不干净，容器跑得再稳也白搭：我在生产环境踩过的镜像安全那些坑

安全

运维

云计算

镜像漏洞扫描

漏洞扫描

云原生

容器

AI驱动 智领未来

tcss

文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

镜像不干净，容器跑得再稳也白搭：我在生产环境踩过的镜像安全那些坑-腾讯云开发者社区-腾讯云

镜像不干净，容器跑得再稳也白搭：我在生产环境踩过的镜像安全那些坑

镜像不干净，容器跑得再稳也白搭：我在生产环境踩过的镜像安全那些坑

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐