[发明专利]容器安全管理方法、系统、终端及存储介质

权利要求书

1.一种容器安全管理方法，其特征在于，包括：

创建自定义规则库，并基于自定义规则库的特征提取规则对容器库中的容器进行静态漏洞扫描检测，所述自定义规则库包括用户自定义规则和从规则源获取的规则；

在预部署阶段将用户自定义容器镜像部署为独立容器，并限制所述独立容器的网络通信，利用基线核查工具及端口扫描工具对所述独立容器进行动态漏洞扫描检测；

将静态漏洞扫描检测或动态漏洞扫描检测得到的扫描结果输出至镜像漏洞库；

创建自定义规则库，并基于自定义规则库的特征提取规则对容器库中的容器进行静态漏洞扫描检测，包括：

基于开源的企业容器镜像仓库构建容器库，并为所述容器库设置对外接口，所述对外接口连接上传/下载容器的WEB界面；

定期从漏洞源获取漏洞匹配规则，并将所述漏洞匹配规则保存至漏洞库；

向自定义规则库导入安全软件的特征提取规则和用户自定义的特征提取规则，根据自定义规则库中的特征提取规则对容器库中的容器进行特征扫描，并将扫描结果输出至镜像特征库；

利用安全软件对镜像特征库中的特征与漏洞库中的漏洞匹配规则进行匹配，获取容器漏洞匹配结果。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

监控漏洞库和自定义规则库的更新情况，如果监控到漏洞库或自定义规则库更新，则触发静态漏洞扫描监测程序。

3.根据权利要求1所述的方法，其特征在于，向自定义规则库导入安全软件的特征提取规则和用户自定义的特征提取规则，包括：

从安全软件的规则源获取安全软件的特征提取规则；

对用户自定义的特征提取规则进行格式校验，用户自定义的特征提取规则由字符串和布尔型表达式构成。

4.根据权利要求1所述的方法，其特征在于，利用基线核查工具及端口扫描工具对所述独立容器进行动态漏洞扫描检测，包括：

通过安全外壳协议将基线核查工具集成到所述独立容器的内部，并利用所述基线核查工具扫描所述独立容器的配置信息；

利用端口扫描工具对所述独立容器的开放端口进行安全扫描；

将基线核查工具和端口扫描工具的扫描结果输出至镜像漏洞库。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据镜像漏洞库存储的漏洞信息，将存在漏洞的容器及相关镜像文件销毁。

6.一种容器安全管理系统，其特征在于，包括：

静态扫描单元，用于创建自定义规则库，并基于自定义规则库的特征提取规则对容器库中的容器进行静态漏洞扫描检测，所述自定义规则库包括用户自定义规则和从规则源获取的规则；

动态扫描单元，用于在预部署阶段将用户自定义容器镜像部署为独立容器，并限制所述独立容器的网络通信，利用基线核查工具及端口扫描工具对所述独立容器进行动态漏洞扫描检测；

结果输出单元，用于将静态漏洞扫描检测或动态漏洞扫描检测得到的扫描结果输出至镜像漏洞库；

所述静态扫描单元用于：

基于开源的企业容器镜像仓库构建容器库，并为所述容器库设置对外接口，所述对外接口连接上传/下载容器的WEB界面；

定期从漏洞源获取漏洞匹配规则，并将所述漏洞匹配规则保存至漏洞库；

向自定义规则库导入安全软件的特征提取规则和用户自定义的特征提取规则，根据自定义规则库中的特征提取规则对容器库中的容器进行特征扫描，并将扫描结果输出至镜像特征库；

利用安全软件对镜像特征库中的特征与漏洞库中的漏洞匹配规则进行匹配，获取容器漏洞匹配结果。

7.一种终端，其特征在于，包括：

处理器；

用于存储处理器的执行指令的存储器；

其中，所述处理器被配置为执行权利要求1-5任一项所述的方法。

8.一种存储有计算机程序的计算机可读存储介质，其特征在于，该程序被处理器执行时实现如权利要求1-5中任一项所述的方法。