防止 Docker “容器逃逸（Container Escape）” 是容器安全领域的核心任务。容器逃逸通常发生在容器配置不当（如特权模式）、内核漏洞、Docker 守护进程（Daemon）漏洞或挂载敏感目录时。

要有效防止容器逃逸，需要采取多层防御（Defense in Depth）策略。以下是具体的防护方案和最佳实践：

一、 遵循“最小特权原则”（最重要）

大多数容器逃逸都源于给予了容器过多的权限。

1. 绝对不要使用 --privileged（特权）模式

   • 危害：--privileged 会将宿主机的几乎所有内核能力（Capabilities）和设备访问权限开放给容器。容器内的 root 用户等同于宿主机的 root 用户。
   • 对策：如果容器需要特定权限，使用 --cap-add 仅授予所需的最小权限。例如，只需要网络管理权限：
     bash

     docker run --cap-add=NET_ADMIN my-image

2. 非 Root 用户运行容器（Non-root User）

   • 危害：默认情况下，容器内运行的用户是 root（UID 0）。一旦发生逃逸，攻击者直接获得宿主机的 root 权限。
   • 对策：
     • 在 Dockerfile 中创建并指定非 root 用户：
       plaintext

       RUN groupadd -r myuser && useradd -r -g myuser myuser
       USER myuser

     • 或者在启动时通过 -u 参数指定 UID/GID：
       bash

       docker run -u 10001:10001 my-image

3. 只读根文件系统（Read-Only Root Filesystem）

   • 作用：防止攻击者在容器内下载、编译或运行恶意逃逸脚本。
   • 对策：
     bash

     docker run --read-only my-image

     （如果需要写临时数据，可以使用 --tmpfs 挂载内存目录）。

二、 严格限制敏感目录挂载

1. 禁止挂载 Docker Socket (/var/run/docker.sock)

   • 危害：挂载此文件等于把宿主机的 Docker 控制权完全交给容器。容器内可以通过向该 Socket 发送指令，启动一个挂载了宿主机根目录的特权容器，从而瞬间完成逃逸。
   • 对策：除非是 Jenkins、Portainer 等必须管理 Docker 的工具，否则绝对不要挂载它。

2. 禁止挂载宿主机敏感系统目录

   • 避免挂载：/（根目录）、/boot、/etc、/proc、/sys、/dev、/var/log 等。
   • 如果必须挂载宿主机目录，尽量使用只读模式 (:ro)：
     bash

     docker run -v /host/path:/container/path:ro my-image

三、 启用安全沙箱与隔离机制（OS 级别防护）

1. 启用 User Namespace（用户命名空间重映射）

   • 作用：将容器内的 root 用户（UID 0）映射为宿主机上的一个普通无权限用户（如 UID 1000000）。即使容器逃逸成功，攻击者在宿主机上也只是一个无权限的普通用户。
   • 配置方法：在 /etc/docker/daemon.json 中添加：
     json

     {
       "userns-remap": "default"
     }

     然后重启 Docker 服务。

2. 使用 Seccomp（安全计算模式）限制系统调用

   • 作用：限制容器可以向宿主机内核发起的系统调用（Syscalls）。Docker 默认有一个 Seccomp 配置文件，禁用了大约 44 个危险的系统调用（如 keyctl、reboot 等）。
   • 对策：确保未禁用默认的 Seccomp。如果安全要求极高，可以编写自定义的 Seccomp 配置文件。

3. 启用 AppArmor 或 SELinux

   • 作用：强制访问控制（MAC）。限制容器对宿主机文件系统、网络等资源的访问。
   • 对策：在启动时加载安全策略：
     bash

     docker run --security-opt apparmor=docker-default my-image

四、 保持系统、内核及 Docker 版本的更新

1. 及时修复宿主机内核漏洞

   • 危害：著名的逃逸漏洞（如 Dirty COW 脏牛漏洞、Dirty Pipe 漏洞）都是利用了 Linux 内核的 Bug。
   • 对策：定期更新宿主机操作系统内核，及时打补丁。

2. 更新 Docker Engine 和容器运行时

   • 及时修复 Docker 自身的漏洞（如 CVE-2019-5736 runc 逃逸漏洞，CVE-2024-21626 runc 路径遍历逃逸漏洞）。

五、 使用更安全的容器运行时（沙箱容器）

传统的 Docker 容器共享宿主机内核。如果需要运行未经信任的代码（如多租户云平台、用户提交的代码），建议使用沙箱容器运行时，它们为每个容器提供独立的内核或强隔离屏障：

1. gVisor (Google)：在用户空间实现了一个新型内核，拦截并处理容器的系统调用，彻底隔离宿主机内核。
2. Kata Containers：使用轻量级虚拟机（MicroVM）作为容器边界，每个容器都有独立的内核，隔离性等同于虚拟机。

在 Docker 中使用 Kata 的示例：

docker run --runtime=kata-qemu -d my-image

六、 镜像安全与持续监控

1. 扫描镜像漏洞：使用工具（如 Trivy, Clair, Anchore）在 CI/CD 阶段扫描镜像中的已知漏洞，防止攻击者利用镜像内的软件漏洞获取 Shell。
2. 运行时监控：使用运行时安全监控工具（如 Falco）。Falco 可以监控容器内的异常行为（如：容器内启动了 bash、修改了敏感系统文件、发起了异常网络连接），并在发生疑似逃逸行为时立即报警。

总结：防逃逸黄金法则

不给特权 (--privileged)，不用 root (-u)，不挂 socket (docker.sock)，保持内核更新。