随着Docker部署的增长需要确保应用正确的企业安全策略

CloudPassage正在扩展其Halo安全平台，以帮助保护Docker容器部署。开源Docker容器虚拟化技术已在构建，打包和部署应用程序中变得越来越流行。随着Docker部署的增长，需要确保应用正确的企业安全策略，并且CloudPassage Halo系统旨在解决这一挑战。

尽管Docker容器相对于其他形式的虚拟化减少了攻击面，但仍然存在风险。Docker 在2014年11月和2014年12月进行了补丁修复，以解决可能导致漏洞利用的安全问题。

我们相信您可以安全地运行Docker，但仍然需要用户负责配置和安全性，” CloudPassage的CTO Amrit Williams向eWEEK解释。

Williams说，尽管用户可以信任Docker容器，但企业需要了解应用程序在做什么，并且必须遵守公司数据合规性政策。这就是CloudPassage Halo技术发挥作用的地方，它提供了一个轻量级代理，可实现对Docker的可见性和控制。Halo是CloudPassage的核心产品平台，以软件即服务(SaaS)模型提供，具有企业策略，安全性和管理功能。

有了新的Docker支持，Halo可以查看部署Docker引擎的主机服务器以及运行应用程序的Docker容器。此外，CloudPassage还为其Halo客户提供了Docker加固的最佳实践，以提高主机服务器的安全性。

威廉姆斯说：“我们正在做的是应用现有的传统和虚拟数据中心已经需要和要求的一些安全功能，并将其应用到Docker容器中。”

从安装的角度来看，Halo代理的工作方式是作为轻量级代理，可以将其集成为业务流程系统的一部分，以进行大规模Docker部署。流行的编排系统支持包括Puppet，Chef和Ansible。Williams解释说，Halo代理收集信息并等待来自后端Halo云服务的命令。

威廉姆斯说：“无论环境是实时运行的，无论是Docker容器还是虚拟服务器，Halo代理都会自动执行多项操作，包括确保应用了防火墙规则并查找任何新漏洞。”

从Halo代理返回到云分析后端的数据也用于漏洞评估和文件完整性监控。

Williams说，CloudPassage拥有自己的安全研究团队，该团队正在研究Docker安全性以帮助保护客户。

Halo的基于日志的入侵检测系统(LIDS)功能可监视日志中的可疑事件。

Williams说，CloudPassage还与主要的安全信息和事件管理(SIEM)产品集成，包括Splunk，HP ArcSight和IBM qRadar。他说：“由于LIDS位于公司部署到的每个系统的本地，因此我们可以在大海捞针中找到要害。”

当前，该系统尚未提供对LIDS识别的安全事件的自动响应，但是该功能将在将来的版本中提供。总体而言，CloudPassage的Docker对Halo的新支持的目标是验证和提高安全性。

威廉姆斯说：“这全都归结为'信任，但要核实'的概念。” “客户可以做很多事情来安全地部署Docker，但这是确保它保持安全性并且每个人都遵守规则的问题。”