[发明专利]一种容器安全保护方法和电子设备

权利要求书

1.一种容器安全保护方法，其特征在于，应用于容器安全保护装置中，所述方法包括：

在基本输入输出系统BIOS上电启动后，启动操作系统及启动所述容器安全保护装置，所述容器安全保护装置至少包括用于对应用容器引擎进行度量的文件系统度量模块；

在应用容器引擎首次启动时，所述文件系统度量模块对所述应用容器引擎的可执行文件和配置文件进行度量，获得第一度量结果；

间隔预设时长后，所述文件系统度量模块再次对所述应用容器引擎的可执行文件和配置文件进行度量，获得第二度量结果；

比较所述第一度量结果和所述第二度量结果是否一致，根据比较结果确定所述应用容器引擎是否被篡改。

2.根据权利要求1所述的方法，其特征在于，对所述应用容器引擎的可执行文件和配置文件进行度量，包括：

获取所述应用容器引擎的可执行文件和配置文件的以下信息的至少之一：版本信息、开启的服务、开放的端口；

基于所述版本信息、开启的服务和开放的端口中的至少一种信息确定哈希值，基于所述哈希值获得所述第一度量结果或所述第二度量结果。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

启动所述容器安全保护装置后，启动应用容器引擎，获取镜像文件；

所述文件系统度量模块基于所述镜像文件确定度量值，以及获得基准测量值；所述基准度量值基于来自本地的初始镜像文件确定；

比较所述度量值和基准度量值是否一致，根据比较结果确定所述镜像文件是否被篡改。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在所述初始镜像文件来自本地的情况下，所述文件系统度量模块对所述初始镜像文件进行度量，获得基准度量值；

发送所述初始镜像文件至镜像服务器；

相应的，所述获取镜像文件，包括：从所述镜像服务器获取所述镜像文件。

5.根据权利要求3所述的方法，其特征在于，在所述镜像文件来自公共镜像服务器、私有镜像服务器或者来自本地的情况下，所述方法还包括：

基于所述镜像文件启动容器；

在所述容器运行的过程中，所述容器安全保护装置中的进程监控模块对所述容器对应的进程进行监控，拦截满足预设条件的进程；

其中，所述拦截满足预设条件的进程，包括以下其中之一：拦截未出现在预设白名单中的进程；拦截出现在预设黑名单中的进程；拦截满足设置的拦截策略的进程。

6.根据权利要求3所述的方法，其特征在于，在所述镜像文件来自公共镜像服务器、私有镜像服务器或者来自本地的情况下，所述方法还包括：

基于所述镜像文件启动容器；

在所述容器运行的过程中，所述容器安全保护装置中的网络监控模块基于预先配置的网络地址集合和/或端口集合、以及配置的网络监控策略对所述容器的网络访问状态进行监控。

7.一种电子设备，其特征在于，所述电子设备包括：处理组件和容器安全保护装置；其中，所述容器安全保护装置至少包括文件系统度量模块；其中，

所述处理组件，用于在BIOS上电启动后，启动操作系统及启动所述容器安全保护装置；

所述文件系统度量模块，用于在应用容器引擎首次启动时，对所述应用容器引擎的可执行文件和配置文件进行度量，获得第一度量结果；间隔预设时长后，再次对所述应用容器引擎的可执行文件和配置文件进行度量，获得第二度量结果；比较所述第一度量结果和所述第二度量结果是否一致，根据比较结果确定所述应用容器引擎是否被篡改。

8.根据权利要求7所述的电子设备，其特征在于，所述文件系统度量模块，用于获取所述应用容器引擎的可执行文件和配置文件的以下信息的至少之一：版本信息、开启的服务、开放的端口；基于所述版本信息、开启的服务和开放的端口中的至少一种信息确定哈希值，基于所述哈希值获得所述第一度量结果或所述第二度量结果。