崔 轲，燕 玮，刘子健，张慕榕，贾星威，许凤凯

(华北计算机系统工程研究所，北京100083)

0 引言

随着虚拟化技术的兴起，Docker 容器技术凭借自身资源占用低、不易受环境因素影响等特点被各大企业广泛使用。 例如京东、天猫等电商企业在大型销售活动中均采用Docker 作为关键业务的支撑，招行、浦发和法国兴业等国内外银行通过Docker 搭建容器及服务的金融云架构平台，为千万级用户提供个人理财、快速交付等服务。 但是，在容器技术被各大企业广泛使用的同时，容器逃逸、资源非法占用、容器 DoS 攻击等安全问题也愈演愈烈，容器本身及其运行环境的安全问题亟待解决。目前针对容器安全监测的方法很多，例如Zabbix、Scout 插件等，但是，Zabbix 脱离集中数据存储且复杂度较高，Scout监控起来要收取大量的费用，并且存在监控不全面，易产生监控黑洞等问题，因此，针对容器安全监测问题，本文提出了一种新型的安全监测方法，该方法可对容器的整个生命周期进行监控，并且对容器遭受逃逸和DoS 攻击等可以进行有效监测[1]。

1 理论基础

1.1 轻量级容器引擎

轻量级容器引擎是一款自动化的管理系统，主要包括镜像、镜像仓库和容器三个部分[2]。 其中镜像是用来构建容器的基础，镜像仓库是用来存储镜像和分发镜像，容器是由镜像生成的，是镜像运行的实际表现。

轻量级容器引擎可对少量的Docker 容器进行创建、删除和管理。 针对构建的 Docker 容器网络集群进行统一视图管理则需要通过专用的容器管理平台。……