容器逃逸攻击可通过异常进程、命名空间操作、敏感目录挂载、系统调用异常等迹象识别，防范需结合最小权限配置、用户命名空间启用、能力限制、只读文件系统、安全策略引擎及运行时监控，使用Falco、auditd等工具实现检测与响应，持续保障容器环境安全。
容器逃逸攻击是指攻击者通过利用容器运行时或宿主机系统的漏洞，从隔离的容器环境中突破限制，获取宿主机或其他容器的访问权限。由于容器共享宿主内核，一旦发生逃逸，整个系统都可能被控制。防范此类攻击需要从配置、监控和运行时防护多方面入手。
检测容器逃逸的迹象
及时发现异常行为是阻止攻击扩大的关键。以下是一些常见的逃逸攻击痕迹：
- 异常进程或服务启动：在宿主机上发现来自容器内部启动的进程，尤其是尝试访问 /proc、/sys 或加载内核模块的行为。
- 非预期的命名空间操作：使用 nsenter 或 unshare 等工具进入宿主机命名空间的操作应引起警惕。
- 挂载敏感目录：容器启动时挂载了 /、/proc、/dev 或 /var/run/docker.sock 等路径，可能是为逃逸做准备。
- 系统调用异常：通过 eBPF 或 auditd 监控到大量 ptrace、capset、mount 等敏感系统调用。
- 容器以 root 权限运行且未启用用户命名空间：这会显著增加逃逸风险。
可借助工具如 auditd、Falco 或 Tracee 实时监控系统行为，设置规则对可疑活动发出告警。
强化容器运行时安全配置
合理的配置能大幅降低逃逸可能性。重点在于最小化权限和增强隔离：
- 避免使用 --privileged 模式：该模式赋予容器几乎全部主机能力，等同于开放后门。如需特定能力，应显式添加，例如 --cap-add=NET_ADMIN。
- 禁用危险的能力（capabilities）：移除不必要的 capabilities，如 CAP_SYS_ADMIN、CAP_DAC_READ_SEARCH 等，可通过 --cap-drop=ALL 再按需添加。
- 启用用户命名空间（User Namespace）：将容器内的 root 用户映射到宿主机上的非特权用户，即使容器被突破，也无法获得宿主机 root 权限。
- 只读根文件系统：使用 --read-only 启动容器，防止恶意写入或持久化后门。
- 限制设备访问：默认不挂载任何设备，确有需要时再单独添加。
保护宿主机与容器编排平台
安全不仅是容器本身的问题，还涉及底层系统和管理平台：
- 保持系统和容器运行时更新：定期升级 kernel、containerd、runc 等组件，修复已知漏洞（如 CVE-2019-5736、CVE-2024-21626）。
- 最小化宿主机软件安装：减少攻击面，关闭不必要的服务和端口。
- 限制 Docker Socket 的暴露：避免将 /var/run/docker.sock 挂载进容器，否则攻击者可直接操控 Docker 守护进程创建高权限容器。
- 使用安全策略引擎：部署 AppArmor、SELinux 或 seccomp 配置文件，限制容器可执行的系统调用。Kubernetes 中可结合 PodSecurityPolicy 或 OPA Gatekeeper 强制执行安全策略。
- 运行非 root 用户容器：在 Dockerfile 中使用 USER 指令切换到非特权用户。
运行时监控与响应机制
即便有预防措施，仍需持续监控以应对未知威胁：
- 部署容器行为基线分析工具：如 Falco 可定义规则检测异常行为，例如容器内执行 shell、访问敏感路径或提权操作。
- 集中日志审计：收集容器、运行时和宿主机日志，便于事后溯源。
- 自动响应机制：当检测到逃逸迹象时，自动隔离容器、终止进程或通知管理员。
基本上就这些。容器逃逸虽难完全杜绝，但通过合理配置、持续监控和及时响应，可以极大提升攻击门槛并快速遏制风险。安全不是一次性的设置，而是持续的过程。
