知防懂防：容器在野安全与经典攻击手法原创

各位腾讯安全视频号的读者朋友，大家晚上好，欢迎大家来到我们今天的公开课，呃，今天我们的分享主题是容器安全典型的攻击手法和应对措施，呃，大家都知道像容器它有很多很受欢迎的特性，它非常灵活，然后量可以在不同的平台之间快速的迁移，它因为这些特性呢，所以在应应用开发或者说运维的效率方面得到了很大的提升，所以也受到我们的开发者很普遍的欢迎。但是呢，容器的应用。随着它的数量数量的增加，它的安全复杂性也相应的也有机的增加。它跟虚拟机相比，容器的抽象程度更高，变化程度更快，因为在云端一个容器的用到，它的消亡，它的速度可能在毫秒时间的范围之内，所以我们的一些传统的安全手法也好，运营的理念，还有一些方式可能在容器的安全环境下面都是不太适用的。

那么在以上背景下呢？容器安全现在也成为了当下企业和开发者非常关注的一个热点的问题，呃，在三月初我们云顶安全实验室发布了一个。容器安全在攻击调查的报告对市面上一些容器攻击手法和特点做了一个比较全面的复盘和介绍，那这个报告也引起了业内很多的开发者和呃。同仁的关注，今天我们也请来了这个调查报告的两位主要的编成成员，可能跟大家做一个进一步的解和交流。这两位老师都来自云顶实验室，一位是高级研究员张壮，我们也叫他Murphy，然后另外一另外一位是研究员，他们两位在容器安全的领域有很多的积累，相信今天也会会给大家带来一些他们的经验分享。呃，今天我们整个直播大概一个小时的时间。主要的内容是由两位讲师的分享，在他们讲完之后，我们也会留一些QA时间，所以如果大家对于他们分享内容一些呃观点想要交流，也欢迎大家随时在评论区留言，我们在这个分享之后呢，会请两位讲师来做一些做一些解答，如果大家还有进一步沟通的需要，也可以扫描我们屏幕右下方的一个二维码，可以加入我们的群去做进一步的沟通，我们后续除了今天之外，后续可能针对于大家呃比较感兴趣的一些点，也会去组织我们实验室的专家也好，我们腾讯安全的一些专家给大家去来做进一步的沟通，那么我的介绍就先到这里，今天先把时间留给两位讲师，有请。

大家好，呃，我是来自腾讯安全云顶实验室的张壮，今天呢，给大家呃分享一些这个容器在野安全的一些一些实际的案例。呃，那么在我开讲之前呢，相信大家对呃，容器安全有着一个同样的三个问题，其实也是零分三问。

容器，容器攻击从哪里来？容器攻击是什么，然后呢，呃，容器攻击会造成哪些损失，这个也是我们通常呃这个面临的三个问题，所以说呢。接下来我们会通过四个方面来给大家解决这三个基本问题，呃，第一个呢，就是说我们会介绍一些呃，容器安全的一些现状和一些相关案例。第二个呢，因为容器使用了很多镜像，所以说呢，呃，容器与供应链的相关的安全问题也会介绍一部分。第三个呢，呃，容器的运行式安全与典型的一些攻击手法也会跟大家分享一下，呃，第四步呢，我们就也会介绍一下我们腾讯安全这边针对容器的这种场景的一些解决方案。

嗯，这个我相信大家都会有个疑问呢，因为这个容器大家都用的很多，因为又好用又又方便，但呢，呃，这但是有一个疑问，就是说现在容器攻击的真实情况多不多，到底多不多，是不是，是不是有攻攻击，是不是因为容器也才刚刚刚普及起来，但是呢，这个攻攻击是不是很多，答案是还是蛮多的，其实。呃，这里你看我们在这个这个PPT的左边那张，呃，这张图呢。呃，这个是我们统计的，客户呢，实际的容器安全的需求来源，大约呢，有58%的客户真实是经历过容器和K8S的相关安全事件的。然后呢，呃，除除此之外呢，就是这个。有77.2%的客户需要做一些呃，容器安全的需求。用于提前规避业务风险。然后51.3%呢，是用来是有这个等保合规需求。

但实际这个实际在那实际环境中呢，就是说客户其实并不是说武装到牙齿，每个人都已经把这个容器安全落落实的很好了，其实在落实这个容器安全的这个过程中呢，有很多障碍。呃，这个跟我们打疫苗一样的。总觉得是很觉得很麻烦，对吧，因为觉得这个这个东西。呃，这个最近我们这个有这个疫情嘛，所以说其实是这个道理是一样的，所以说总觉得会麻烦，69%的人会觉得这个技术操作门槛高增加。增加了学习，呃，业务侧的学习成本。呃，第二个点呢，其实。也是说对风险不清不清楚。所以说价值不明显，投入产出比也不明确，这一块呢，我们后面的这个介绍呢，也会把这块的问题说明清楚，呃，第三个问题呢，就是说。

就跟我们打疫苗一样，也怕有，也怕有副作用，刚开始所以说呢，容器安全，到底会不会对这个。容器安全的部署会不会对现场的这个业务稳定运行是不是有影响？64.3%的人对这在这方面有考虑。然后呢，剩余的就是说有28.1%的人对在容器安全上面没有相关的规划或者预算。下面呢，我们通过三个案例来给大家介绍一下，攻击从哪里来，为什么有攻击容器，攻击容器有哪容器攻击有哪些影响，我们看这个，呃，这个PPT的左边这一部分，这张图下面蓝色的这一部，这个箭头的部分呢，其实和我们通常的这个呃传统的网络攻击是一样的，其实呃容器安全并不是很很特殊。

呃，它也是主要是通过呃蠕虫式形式的传播进行攻击的，另外一个呢，比较这个容器安全相相比来说，呃。特殊的点呢，就是。安全左移一般呢，就是说黑产镜像呢，会通过这个黑产组织呢，会通过制作黑产镜像进行供应链攻击。那么呃后后面的文章中，后面的这个介我们会介绍，单独介绍这两种攻击模式啊，但是说黑产团伙为什么会不遗余力的去攻击我们的这个呃容器呢？原因呢，其实很简单，就是因为钱。呃，攻击容器，呃，就是攻击可以赚很多钱，我们知道这个现在黑产有两大赚钱的途径，一个是挖矿，一个是勒索。

但相比来说呢，在呃容器环境中勒索很很非常少见，这挖框就是非常多，我们从右边的这个图来中图三个截图可以看得看得出来。呃，这个容器场景下，我们分析过很多这个，这这是我们实际分析的一些样例。大概是100万的感染量的，这个这种感染的样本呢。一年的这个佣金大概可以赚六六至7万美金。也是一个发财的门，所以说呢，这个大家不用太心动，因为这个毕竟挖矿是。利用别人的机器挖矿，呃，不合法，用自己的挖矿也不环保，也很费电。刚刚说到挖矿，就是说大家可能对现有的这个呃，挖矿的黑产团伙的规模。不太了解。然后我们现在看一看现在的黑产团伙，专业的黑产团伙有到底有，到底有多大。呃，这个比较大的黑产团伙呢，有多大的下载量级？

我们是通过呢，这个对于dog dog Hu上面那个下载镜像进行分析的，刚才我们分析了100多万个镜像。然后呢？我挖掘出来一些比较大的团伙，这个这个是其中之一，我们发现最大的一个团伙。这大概这个团伙呢，下载次数大概有多少呢？1.8亿次。呃，可能大家对这个，呃，然后这个超过千万次的下载量的镜像都有五个。可能这是什么概念呢？就是说呃，Java这个这种，比方说在上Java这个环境，这个我们知道这个最大的一个编程语言了，算是的下载量大概是100个M令。就跟咱们这个黑产的这个下载镜像的总总体数量差不多一个量级的。然后呢，要是如果论单个的镜像的下载数量呢，比如说这个前前几个这种，呃，这个镜像呢。这个RUST1种编程语言，它在加它的这个在do的下载量呢，大概是千万左右。

那么我们这边这个其实已经黑产的这个规模已经赶超了一些常用的工具和软件，这个其实很难以想象的。那么呃，这个这么大规模的这个呃，这个黑产攻击呢，是如何不被发现的呢？呃，因为它1.8亿次下载对吧，肯定是有人会发现他，然后去打击他，然后怎么着，对不对。然后呢，这里我简单的介绍一下，呃，后面我们也会在这个镜像的对抗的这个部分中呢，详细说明。嗯。嗯，第一个呢，就是说，呃，我们看左边那张图，这个它使用一张一一个这个该这个镜像之后呢，呃，它的挖矿程序呢，其实是下载后再编译的。然后呢？

第二部分呢，就是说，呃，这个它使用了这个套网络。进行通讯，这样的话。也是匿名性比较好，通常我们知道我们要去检测挖矿，这这这种呃，过程呢，其实。也是有三个方法，第一个是比方说我们去检测挖矿，挖矿程序是不是或者或者相关的挖矿木嘛。这样子的话，其实是通常呃，检测挖矿的最常见的方法，也是各个沙软最常用的常常用的手手段，这样子呢很很精准，但是呢，这个挖矿经常会变文件级的变化，其实漏报也很正常。然后第二部分呢，就是说我们通过网络检测挖网络挖矿的这个网络访问。比如说他有哪些访问哪些矿池啊，或者什么一些网络上的命令啊。然后呢，或者说我们通过这个机器负载是不是能发现它，但是呢，可以采用的这这这几种方式呢，就可以导致这个。

不太容易被发现。首先呢，这个呃，这个这个样本呢，它通过了这个呃下载八方程序后再编译的，所以说呢，其实可能我们静态扫描就就就就难去发现这个呃这个挖矿样本，第二个呢，使用套做我们这个其实也是觉得还是蛮蛮新的，因为对于一一提到套的话，我们就想到的暗网是吧，然后就是这种黑产交易，但实际上这里也是用了它的匿名化的一个规则，我们在这个最下面这张图中可以看到。啊，它的矿石也是在洋葱网络中的。然后第三个呢，其实是用了UUU，呃，U啊这个。这个新的这种，呃，挖矿概念，这个是个新概念，其实是是用来代替套的，也是一种匿名技术啊。呃，也是很难去发现。但是它的优点是啥呢？其实呃，它是不需要，它是一种p two p的这种挖矿，它是不需要大大规模占用算力的，其实你呃算力比较差也能挖，呃，所以说呢，它可以限制CPU的使用率。

所以说。这一块的话，它的隐蔽性会更高。那么那个我们刚刚说的，除了挖矿这么赚钱的。这个途径以外以以外是不是还有新的赚钱途径呢？呃，答案是是的。这个我这个我们自己的计算机系统啊，其实或者说云上的这些计算资源啊。除了算力，算力是有价值的，所以说挖矿都去占用我们算力是吧，网络流量其实也是很有价值。然后我们经过我们这个，我们是这个腾讯呢，这个云顶实验室，这边是其实我们做了一个叫哨兵的密罐系统，我们捕获了很多实际的案例，这里呢是一个其中的案例。就是说会会有人呢，就是。呃，利用容器攻击装一个这个peer to perfect这个工具。

这个工这个工具呢，是来自俄罗斯的这个呃，流量的挂机平台。这个peer to profit呢，其实它有了几个优点，它其实不占用CPU和内存，其实我们平常去运营的话，其实很明确发现。就是安全人员去运营的。然后他只是卖是卖那个流量，卖给这广告商，广告商之后再分成。这样子的话，而且它那个流量的卖的这个价格其实也比较贵，也比较高呃。这个就是大概1GB的话，三毛美金大概两块钱人民币左右，未来呢，我觉得这个有可能也是一个工地上的趋势。那么呃，就是盈利趋势吧，因为毕竟黑产都是呃独立的。呃，那么除了这个刚刚说的黑产薅羊毛是吧，这个算耗的算力，耗我们的流量的这些情况，是不是还有其他的影响。如果我们。

这个。工期安全没有做好的话，其实也是有。就比如说最新的这个热点。这个俄乌战争，就是我们也是通过我们的这个系统捕获到一些攻击。然后这这个攻击呢，其实。是来自乌克兰的一个攻击组织。这个叫阿巴嘎耶夫的一个。作者这个乌克兰的作者呢，他来自基辅，他在这个do哈上传了一个。恶意。镜像名字叫stop Russia。呃，仅仅三天的时间。呃，它的下载价格达到了5万。呃，5万级别。呃，这个它的目标呢，其实是就是控制我们的机器，俄罗斯的网站。呃，是这样，所以说呢，其实对于我们呃，这个普通企业或者说用户来说，这个其实也挺挺讨厌的，会被别人劫持，因为它它的它的传播手段其实是利用了蠕虫的方法，然后蠕虫式病毒式传播，然后呢，控制了其他的别人的机器进行地道次攻击的。

所以说而且被攻击的人，被攻击的人来看的话，其实他没办法是分别哪些是肉鸡是吧，相当于哪些是主动攻击的。呃，上文中我们提到的就是，呃，实际攻击中有两种方式，一种是供应链攻击，一种是运行式攻击。我们通过这个呃，Do HUB的100万级的这个dob的这个镜像的分析呢，对这个供应链安全有一个比较好的研究，接下来呢，由我们的这个严寒同学来具体介绍一下相关的这个供应供应链供具的内容啊。

啊，好的好的，谢谢Mary。这边OK了吗？嗯。大家好，我是严寒。呃，这一部分我想跟大家讨论的是。供应链给容器带来的安全问题，以及我们云实验室在动态威胁分析方面做出了实践。嗯，首先我们来明确一下什么是供应链安全。在云原生的时代，嗯，开发测试啊，运维人员，他们通过CCD框架来更加敏捷的交付应用。这就给攻击者黑客。提供了一条途径来进入我们的生产环境。其中一条就是，呃，攻击者将恶意代码直接放入基础镜像中，这样的话，如果内部人员使用到这个景象，就会造成生产环境被入侵。另一个。

途径就是攻击者。直接攻击构建系统。那么开发人员他们在构建系统的时候。就有可能引引入额外的一代嘛。举一个现实的例子，就是呃之前的315呃的时候，出现了这个手脚踩的那个酸菜，然后造成了很多供应链上的问题。嗯，那么总结一下，供应链攻击的问题和挑战在于。引入的恶意代码对于对于这个构建系统来说是可信的，而且构建出来的应用也会通过合法可信的工具进行交付。所以攻击者的恶意代码就会直接绕过我们的安全防御，获得在生产环境下运行的权限。那么实际情况是。呃，刚刚M也提到了我们过去一年对。呃，多克上的镜像进行了大规模检查，发现确实存在有不少的恶意镜像。

那么左边这张图横坐标是它的上线时间。纵坐标是它的下载数量。可以看到，他们的命名会伪装成用户常用的技术镜像。嗯，这里主要有三类。一个是编程开发环境，比如说Python Java之类的，二是基础应用环境，比如说word press之类的，然后第三种就是机器学习相关环境。那么这种。恶意的镜像。它的隐蔽性。比较好，很有可能造成用户的错误下载和部署。那么现在可以看到问题是在发生的，我们怎么才能解决？其实现在的常用的针对镜像的呃，静态扫描方法。呃，是没办法应对这种供应链攻击的。原因就在于这个静态扫描，它的通常只会检查我们镜像中的已知漏洞、木马病毒、敏感信息和不安全配置。

那么对于供应链攻击来说，恶意代码它通常是呃，会隐藏在受信任的迹象中。比如说。嗯，他在容器运行时才会去下载。又或者？恶意的命令被混淆或者加密，又或者是出现了新的恶意代码和漏洞。这对于。静态扫描来说都是盲点，呃，因此静态扫描通常会通过这些恶意带恶意镜像的检查，然后这些镜像也就顺理成章的就进入了我们的生产环境。一旦这个CC服务器向它发送命令之后，恶意代码就会被激活，然后造成我们生产环境的一些呃，危险。嗯，在去年我们的蜜罐系统。

就捕获了相应的攻击。然后他确实对云上造成了很大的威胁。我们分别在呃，去年8月和十月份在云顶的公众号发表了类似的这个文章。既然这个静态扫描没办法解决问题。所以我们提出了动态威胁分析的方案来解决静态扫描无法覆盖问题。用户他可以把容器镜像上传到我们的下乡中。我们会在隔离的砂降环境中去运行待分析镜像，而且我们会全程的记录容器在执行时。他的所有动作。从而通过我们如果观察到恶意行为的话，就会去告诉用户。嗯，你的容器虽然没虽然没有漏洞，但它实际上就是一个危险的镜像。

呃，刚刚只是从理论方面去介绍了我们是如何防范的。这里我们也介绍一些在此期间观察到的案例，来帮助大家更好理解我们在云顶实验室公众号。呃，发表的详更详细的文章，大家可以再去去浏览一下，然后第一个案例是。我们在野外观察到的攻击者如何混淆和隐藏恶意命令的？攻击者，他是使用的干净的技术镜像。然后加我们的payload。进行了这个BASE64编码。嗯，在运行的时候才会去进行解码和执行。同样的还有攻击者。他将恶意命令隐藏在二进制代码中。这对于。静态上面来说都是不可观测到的。第二个案例是我们观察到的。与知名的黑客团伙team相关联的一个形象。

啊，它是一个来自于多克的公开定向。嗯，它在容器启动后才会去访问黑客站点下载，还有执行恶意文件，我们用了多个开源的静态扫描去检查。也只发现了组件中存在一个中微漏洞，并没有检出呃，木马病毒上的问题，或者是配置上问题。嗯，而使用我们使用这个动态分析，动态威胁分析就可以很清楚的看到该镜像确实存在恶意行为。然后他访问了，呃，ttnt.red。以及从上面呃下载的脚本。嗯，第三个案例。也是在容器运行后才会去本地编译和执行挖矿重器。嗯，但是他还通过随机化的。

进程名呃以及网络通信来隐藏自身，并且它还修改了启动项来持球化。啊，虽然说。静态扫描。对于其中的这个漏洞问题，呃，发现的很及时啊，然后爆出来，呃爆出来很多漏洞，但是在木马病毒方面，它依然是没有办法识别的。而我们通过呃，动态分析，动态的威胁分析能够还原进程中的。进程的这个启动过程可以明显看到。进程列表里面存在这个错，还有一个可疑的随机的进程名。第四个案例是关于容器运行后才下载恶意挖矿的程序。然后这是一个也是来自多的这个公开镜像。他通过了静态扫描的所有检查。

不管是漏洞配置还是呃木马病毒。看它看起来非常干净，但是呢，它的镜像入口点去运行的一个脚本。当容器启动的时候，它会从给他上面去拉取挖矿项目。啊，并且在本地进行编译。然后执行挖矿动作。我们的动态威胁分析系统也对这一连串的恶意动作进行了记录和识别。呃，像是容器，它访问的可疑的无误端口，然后对get up和矿车域名进行了解析，并且启动了挖矿程序，然后我们进了这些，也提供了这些证据，可以说明它是一个恶意的进项。好，这里我们介绍了四个案例。好，接下来的话。呃，这一部分。我们会演示我们这个dta系统，也就是容器沙箱，呃，我们对案例四的分析过程，然后给大家更好的展示我们是怎么用动态威胁分析来保护野生环境的。

首先我们打开浏览器，进入的是这个d ta系统控制台。然后这里可以看到系统运行情况。并且上传你需要分析的镜像。然后在报告部分。嗯，你可以看到我们最近分析过的这个镜像列表。这里给出了每个镜像的打分情况，然后分数越高，它的颜色也会越深，然后说明它的这个出现的恶意行为也就越多。嗯，具体来说在四分以上的进项。嗯，就是我们会识别它是一个恶意镜像。然后我们点击第一个分析的镜像。可以看到它。

可以看到详细的这个分析分析报告，首先它的得分是呃05:02，然后。在它的签名部分，我们提供了打分的一些。嗯，我们提供了答辩的一些依据。嗯，比如说它和特殊的TCP端口通信，然后DNS解析，呃，包括get up和矿池域名，然后最后在程序执行部分。呃，还发现了与挖矿相关的程序，然后在后面的话，我们还给出了与该镜像进行通信的主机所在的地理位置。嗯，基于这些数证据，我们认定它是一个恶意进项，然后点击侧边呢，可以看到各部分的详细结果，然后尤其是在进程列表部分，我们给出了这个复制进程的一个关系图，可以看到它确实存在挖矿行为。

哦，在这一部分的结尾，呃，我来稍微总结一下。嗯，首先供应链攻击在云原生环境中确实是极具威胁性。但是现有的一些静态扫描方法，因为我没办法完全的去应对这种情况，这也是我们提出动态威胁分析的原因。然后它可以帮助用户去识别诸如嗯，流量劫持、拒绝服务嗯窃取凭证、挖矿这些场景下的威胁。所以说我们希望用户在使用第三方镜像。或者是发布镜像之前，能够通过我们的动态威胁分析来解决一部分的安全问题。好的，我我的这一部分的。呃，介绍就到这里。接下来还是交给。Murphy，他会给我们去呃分享容器运行安全和典型的攻击手法。

马。OK。好嘞，呃，刚刚那个安同学说到这个，我们这个容器镜像的一些安全的隐患。呃，这里呢，我们说一些这个如果我们使用了正常的镜像，已经做得很好了，然后。然后运行过程中。有哪些安全的问题？其实呢，这个，呃，我们对这个网络的这个运行，这个安全环境，呃，其实也是有两个基本问题，第一个问题是说这个病毒到底多不多。第二个问题，呃，我们中了病毒容易容易好是吧，这个病毒持久持久有多持久，所以说呢，我们这两边呢，我们来回答这两个问题。第一个这个我们这个所有的数据呢，其实依据于我们，呃，大概是在2021年的年年中到到年底大概是半年的数据，然后我们的密蜜罐总结，就是捕获了上上千万次的一个攻击进行总结的。

然后呢？呃，我们这个。这张PPT的左边那部分的这张图呢，我们可以发现呢，呃，这个。年终的时候是攻击还好，但是到年底的时候，其实攻击量大概翻了三。有显著的一个增增长趋势，所以说呢，这个攻击的这个次数。是越来越多的增长很快，因为这个这个其实也很简单，因为容器应用越来越多了。然后呢，黑产也发现了这块方面的市场，所以说呢，他们也会不遗余力的啊，就是这种。越来越越来越越多的黑产组织也会慢慢去尝试各种各样的方法，去利用漏洞，漏容器的漏洞进行攻击啊，然后进行挖矿，或者说卖流量也好。

然后呢，呃，但实际上我们这块的攻防是不是就好做呢，其实也并不是，就是通常来说呢，比如说攻击流程是这样，就是说呃，运行时的时候，然后攻击者会通通过这个呃，一个漏洞植入一个全新的刀，然后执行起来。然后呢，然他他他通过这个全新的docker，呃，运行恶意指令。嗯。相比于传统安全来说，这块其实更难检测，因为呃，对于传统安全来说，我们就放放一个病毒到你系统里来，我们就目标我们的任务其实就是检测病毒，但是现在呢，可能我们这个多了一个镜像的这个环境，Docker的这个环境。嗯，但实际上也是相通的，就是说通常来说，呃，这个攻击的过程中啊，释放的镜像大概是有52%的攻击，其实是是使用的是正常镜像，就是完全是白镜像。

或者是一个迷你镜像，所以说呢，可能就是对于这些，对于呃，非常多的我们这个后台的这种安管人员，其实。是很难发现异常。可能就是说他名字啊，或者其他东西啊，其实都很难去发现，尤其是一些小企业。啊，然后呢。呃，这个他用了白镜像之后，之后再在我们再再在白镜像中执行命令也好，或者说我们提全是吧，容容器，呃，这个这个穿透也好，对吧，这个容器逃逸也好，其实在进行后面的动作，其实。这个正向镜像就相当于传统安全中的白加黑。啊，其实是相当相当相对来说，对于我们做容器安全来说，是比较难对抗检测的一个部分。嗯，当然只有7%的镜像，攻击的过程中是使用了完全恶意镜像，比较容易发现的。

然后呢，攻，攻击过程中会使用各种各样的镜像啊，也是代表它一个流派，或者说不同的组织使用的方法也不一样，因为使用镜像当然也不同。所以说我们这里对每日公鸡中的进项的数量也做了一个平均一个统计，我们发现呢。每个月。攻击受到的攻击，呃，这个镜像的种类。都在稳步增长，所以说这一块的的这个参与进来的攻击组织，或者参与进来的这个攻击手法会越来越多。未来这个可能容器的这个攻击是会越来越多的。那么第二个问题，我们就是在在说这个持久攻击持久化问题，就是说我们中了病毒之后，是不是呃，就过几天就自己就没了，还是说一直中，还是说我们其实是有一些很多厂商，或者说很多用户自己会发现它是吧，或者把容器把它就这个把这个病毒删掉它，嗯，这块呢，我们也做了统计，我们大概是统计了130天的数据。

然后呢，一共呃，这个9687次的这个蠕虫攻击的IP个的这个蠕蠕虫攻击IP，我们这块这块的统计原理呢，其实是这样，就是说一般来说呢，我们统计的是都是蠕虫攻击。啊，被感被蠕虫感染的机器会自动的向外发起蠕虫攻击。啊，如果呢，我们这里定的规则呢，就是说如果在攻击，一直还在对外发起攻击呢，说明他还依然是被被被被感染。这个病毒没有被清除，如果呢，这个攻击结束了，我们可能认为是我们安全人员把它这个病毒清除了，然后呢。这个机器是安全状态的，所以说呢，我们通过左边这个饼图呢，我们可以发现。超过一这个攻击成功后，这个这这个这个机器嗯，连续被感染超过一周的比例。

有38%的机器。啊，超过两周的呢，有28.5%。超过一个月的呢，有17.8%。然后呢，比方说我们持续一个季度，因为我们不可能就是弄一年，这个其实意思意义不大，所以说我们就是持续一个季度，长期不会发现的。的可能性，就是完全没有运安全运营能力的大概有有5%。所以说呢，哪怕是这种农呃蠕虫性的攻击，它的持久化，它的这个留存时间相对还是蛮长的。然后呢，右边这张图呢，呃，是这个刚刚我们说说说到的这个攻击手法中使用的镜像数量。从右边这个蓝色的线呢，其实是呃，这个工期中使用的镜像总总的数量，红色的线呢，是新增的这种，呃，镜像的这种数量。绿色的线呢，就是这些哪些。

因为我们客横坐标是按月来统计的，所以说呢，每个月这个可能有一些定向之后不出现了，就是消叫消防的一些数量，我们发现呢，这个。呃，这个总的数量在增加，然后新增的这个，呃，进项数量也在增加。然后消失的也在增加。但是。他们是这个新增的和消失的呈现一个，呃，此涨彼伏的一个。吧，其实可能就是说我们的这个安全软件也在做对抗，现在的对抗其实相当相对来说还是蛮激烈的。嗯，然后呢，呃，刚刚说了一些攻击手法，现在我们大概介绍呃这个呃这个攻，攻击中的这种黑产使用的常用手法和典型手法。呃，大概分四步。第一步呢，就是说，呃。漏洞利用漏洞漏洞利用我们都知道这个我们攻做网络攻击第一步骤就是漏洞利用，然后呢，其实最流行呃又又好用的这些漏洞呢，反而是最常见的就是就是最简单的，就是最常见的漏洞呢，就是这个docker remote API呃，未授权访问的这个漏洞。

然后呢，一般来说他们会呃。这个各个黑产家族啊，他们都会使用这种呃，扫描扫描器max啊，这这这些扫描器去扫你的这个API的。版本，如果版本合适，然后呢，他就开始利用这个漏洞。嗯。利用了漏洞之后也好呢，就是可能之后下一步骤就开始执行命令。执行的命令的话，其实这一块有两种比较经典的手段。第一种手段就是说，诶，我可以通过下载脚脚本的方式，这个也是其实是我们最最常见的方式，因为这个。

载荷可以，这个命令可以比较好写。然后呢，就是左，我们左边最左边这张图，我们可以发现，其实它是通过远程执行命令下载脚本来执行的。那么另一种呢，其实就是可以直接执行命令，然后我们直接开到这个这个这个这个这个这个方块上面直接执行。也有呢，就是说呃，通过这个特权。特，特权指令不是这个特特，呃，启动特权镜像来进行这个。容器逃逸。那么其实就容器陶艺这一块呢，其实大家都各个大家都在说也方法也非常多，包括撞C啊什么的这种非常多的方法，但实际上据我们来观察呢，其实。呃，黑黑产最常用的这种攻击手段，容器逃逸呢，这块可能他们会用性价比比较高的方式，就是攻击成功率高，然后呢，简又简单又稳定的方式，那其实就是。

特权模式。呃，这个特权模式呢，是在这个6.0版本的时候被引入到docker里，其实呢，就是它核心作用呢，就是允许容器内的root拥有外部机器的root权限。然后呢？呃，这这样子的话，这个启动这个使用特权模式的容器之后呢，这个docker可以访问主机上的一些设备，然后还有一些文件的访问权限。然后呢，所以说呃，黑产也是利用这个方式，所以说他会呃，首先利用这刚刚刚刚那个漏洞，然后在这个一般的这个被攻攻被攻击的机器上面启动一个特权容器，比方说这个最左边的这个命令里这个alpa，这个是一个非常干净的一个容器本身。然后创建这个容器之后呢，它会执行一些命令，那比如说呢。它有两种逃逸方式，第一种是说SSH啊，我通过SSH方式，然后呢，我连接到这个呃入的这个速度机里进行逃逸，另外一种呢，就是挂载后的pass，我们可以呃防范外面的一些路径。

呃，再有呢，其实在攻这个黑产攻击中呢，其实呃，比较使用的一些手法呢，就是在伪装自己。匿名与隐藏，这最好的这个匿名方式呢，其实现在慢慢慢慢的，它不会说起一个呃，正常的名字，或者说起一个就是说恶意的名字，其实很难去，很容易被发现，那么其实很很多的时候呢，它会起起一个，它会侦测你的环境，比方说这个最左边第一张图。PPT中它起了一个名字叫K8S po。这个其实非常多的系统，这个这个K8S系统里头这个都叫这名。其实很难去发现的，就是异常的。第二个呢，就是说我说就是在网络上的自己隐藏，刚刚严涵也说过，这个有有些样本呢，他会会通过套啊，或者通通过一些其他方式来隐藏自己。

然后呢，再再有的就是进攻，攻击的进程，进程隐藏。进程隐藏呢，其实除了传统的一些呃手段以外，呃，越来越多的样本呢，也开始使用了root这些呃传统的一些高级的一些技术。啊，比方说呃，这个就是右下角这个这个这张图里发发发的这个。呃，这个工具呢，呃是也是我们在统计样本过程中经常发现的一些一个，呃，这个root。他们会经常会使用这个rootca进行进程进程隐藏，这个对于常见的这个应急响应的同学来说，这个发现这种恶意的进程其实也是会会增加一些难度。嗯，那么其实接下来介绍一下我们腾讯这边的这些，呃解决方案，刚刚除了我们刚刚说的这个动态沙箱以外，我们自己这边腾讯安全服务，呃，简称TCSS。

其实是提供了容器资产管理，镜像安全。呃，还有。运行时入侵检测等的全套服务，然后呢，保障容器从镜像生成。存储和运行时全生命周期的安全帮助可以帮助企业构建呃容器安全防护的整套体系。呃，我们那个管理平台呢，我们有有一些优势，就是说有腾讯安全的整整体的情报能力，加上我们的这个安全引擎，包括规则漏洞，还有AI。然后呢？构建的这个轻量化的A。然后呢？呃，完全是可以覆盖容器使用的三大关，呃，关键生命周期，第一个是构建，刚才说我们也听到了这个容器镜像安全。

存非常多的安全问题，有后门的问题，有漏洞的问题，所以说我们也支持对于这个漏漏洞扫描，并把并毒木马扫描。呃，还有敏感信息检测，包括黑产镜像情报检出，然后部署呢，呃。我们这个容器配置安全这块也做了非常多的工作，包括支持呃集群组件漏洞扫描，支持炮的启动风险，也支持容器配置的巡检。安全。啊，运行过程中呢，刚对刚刚我们说的这个，比如说容器逃逸，呃，这个高风险操作检测都都存在，包括这个病毒木马啊，还有这个。容器内的组件漏洞。去进行检测完。这个也结成了非常多我们腾讯这样的能力啊，包括bary AI TV、洋葱西b detect等这些引擎。

啊，我们有六大容器，陶艺检测的引擎，检控率还蛮高的，然后部署呢。也比较方便，一键启用，无需部署，一键开启云防护的相关的支持，混合云支持百万A的装机实践即占用。好，那我大概我们现在这个这次的分享大概。都结束了。那个主持人有什么？嗯，好的，感谢两位讲师，我们在评论区也搜集到了不少那个读者的提问，呃，我们挑了几个，看看两位讲师是否可以回答。呃，第一个问题是一个叫或许你喜欢油泼面的一位网友问，呃，沙箱支不支持的API？这个请严寒回答。好好。嗯，下箱刚才大家看到是这个外部的界面，然后我们也是，呃，API这个也是可以是可以提供的，但是现在我们的沙箱环境还没有对外，呃提供。

嗯。好的。另外一位叫TY的网友问，如何防止检测沙箱环境？这个哪位讲师来回答？回来，嗯，好好好好。呃，就是我们的上下环境，呃，一般来说的话就是比如说呃，恶意代码领域的那个上上，它是会通过检查一些CPU啊，内存这些的硬间的信息来识别沙箱，然后我们的容器在运行的时候，它的。呃，权限是被这个约束的，因此就是它在原理上不能检测。这个就是我要补充几句啊，因为这个就是我们病平常病毒如果在上腔中检测会检测，比方说检测它时间呢，或或者检测这个上腔环境对不对，比如说一些特特权的这个一些特殊的文件，是不是在某某某某些目录是吧，然后再检测这些沙箱环境，那实际上呢。

Docker这个环境其实是不太不太一样，因为呢，呃，我们运行这个恶意的docker的时候，它其实是在这个docker这个环境中啊，是这样，然后我们整整个外面一个虚拟机包包着它跑。所以说呃，从本质上来说呢，因为我们的云服务器也是虚拟机对外卖的这个这个所以说呢，呃这里的话检测其实就是黑产的，我们观测呢，其实现在还呃这块的，他们就是在虚拟机检测这块的对抗非常还是不是不是很多。不知道你们有没有回答这个这个问题啊。好的，感谢。呃，有一位叫小强的网友问，呃，动态检测特征都检测哪些条件？嗯，我们现在的这个下乡检测的一些内容是，呃，主要有呃，网络通信啊，内存进程啊，还有系统调用之类的一些。

呃，内容一些这个行为。呃，之后我们会开放我们这个API给对外，然后大家也是可以使用呃这个来使用或者测试这个平台的。嗯，好的，还有一个，原来微信上名字可以取这么长的。网友问，沙箱只能用于容器镜像吗？虚拟机镜像可不可以？嗯，我们我们现在是专注于这个容器的镜像，没有还没有去支持这个虚拟镜像，可能后面，呃，可能会支持。呃，一位叫叶峰的网友问，容器引擎和编排组件漏洞如何检测？

再说一遍。嗯。容器引擎和编排组件漏洞如何检测？江台路。啊，这个其实也是一些静态规则的检测，就是跟嗯，就是对一些T8S的版本啊，一些这些东西进行编排检测。嗯，好的，我们还留最后两个问题的额度吧。然后第一个问题是目前已有的容器安全检测，主要是在容器外检测容器内运行程序，容器自身是否保护对内部运行程序的动态检测。

嗯，这个这个问题有点长，你们再再再说一遍，这个再说一遍，呃。就是它的问题是目前已有的容器安全检测，主要是否是在容器外检测容器内运行程序，这第一第一部分啊，第二部分是问容器自身是否保护对内部运行程序的动态检测。要强。哎，这个我这个主要是镜像。就是目前的容器安全检测，主要是一部分是针对镜像的检测，对，因为整个容器运行态也是基于镜像的启动。然后第二部分的话就是。呃，针对容器运行时，对针对容器运行时的话，也会对容器运行时内的这种恶命令，然后或者是系统调用。

或者说一些木马的病毒会去做一个实时的监控。部分本身也是在。呃，代外啊，Agent的形式对内的这些进程数去进行检测。刚才是是我们旁边的这个，呃，这个我们TCSS产品经理，对对对，回答这个问题。呃，我估计那个可能不一定，呃，完全覆盖了这位网友的提问，所以后续如果大家还有问题，可以在我们群里做进一步沟通，那最后一个问题是问这个方案是一个产品还是一个公有云上才能使用的东西？嗯，对。嗯，得靠近一点，那个得靠近一点，OK，解决方案现在其实在公云上是一个呃产品的一个一个方案，然后整个产品实也是可以覆盖呃对整个上云这种场景的容器，安全场景下的一个完整的解决方案，包括呃也能够去支持混合云的场景啊，就是就是如果咱们啊有。

我在腾讯云上的这种容器的环境，实际上现在的解决方案能够去覆盖。哦，好的，我们看到评论区有很多新的问题出来，但是今天由于时间关系可能就没有办法一一的作答了，那大家还有呃，想要去了解的内容，可以在我们群里去，我们的嘉宾做进一步的沟通讨论，呃，今天的直播我们就先到这里结束了，感谢大家的关注。