[发明专利]容器环境的入侵防御方法及装置、电子设备、存储介质

权利要求书

1.一种容器环境的入侵防御方法，应用于宿主机，所述宿主机运行若干容器，其特征在于，包括：

当获得目标容器对应的目标数据包，所述目标容器的命名空间内数据接收线程，将所述目标数据包放入数据接收队列；

所述宿主机的默认命名空间的入侵防御系统，从所述数据接收队列获取所述目标数据包并进行检测；

所述入侵防御系统基于检测结果，确定所述目标数据包的处理信息，并将所述目标数据包的处理信息放入所述目标容器对应的数据发送队列；

所述目标容器的命名空间内的数据发送线程，从所述数据发送队列获取对应于所述目标数据包的处理信息。

2.根据权利要求1所述的方法，其特征在于，所述将所述目标数据包的处理信息放入所述目标容器对应的数据发送队列，包括：

所述入侵防御系统获取添加于所述目标数据包的标识码，并依据所述标识码查找对应的数据发送队列；

若查到对应于标识码的数据发送队列，所述入侵防御系统将所述目标数据包的处理信息放入所述数据发送队列。

3.根据权利要求2所述的方法，其特征在于，所述目标容器的命名空间内数据接收线程，将所述目标数据包放入数据接收队列，包括：

所述数据接收线程为所述目标数据包添加标识码；其中，所述标识码对应于所述目标容器；

所述数据接收线程将已添加标识码的目标数据包，放入所述数据接收队列。

4.根据权利要求1或2或3所述的方法，其特征在于，在所述目标容器的命名空间内数据接收线程，将所述目标数据包放入数据接收队列之前，所述方法还包括：

所述入侵防御系统创建所述数据接收队列；其中，所述数据接收队列用于接收所述宿主机内各容器上报的数据包；

所述入侵防御系统在所述目标容器的命名空间创建数据处理进程；

所述数据处理进程在所述目标容器的命名空间，创建所述数据接收线程和所述数据发送线程；

所述数据处理进程创建对应于所述目标容器的数据发送队列。

5.根据权利要求4所述的方法，其特征在于，所述入侵防御系统在所述目标容器的命名空间创建数据处理进程，包括：

所述入侵防御系统为所述目标容器的命名空间生成标识码；

所述入侵防御系统创建所述数据处理进程，并将所述标识码传递至所述数据处理进程。

6.根据权利要求5所述的方法，其特征在于，所述数据处理进程创建对应于所述目标容器的数据发送队列，包括：

所述数据处理进程依据所述目标容器的标识码，创建对应于所述标识码的数据发送队列。

7.根据权利要求4所述的方法，其特征在于，所述方法还包括：

当监听到所述目标容器的停止运行事件/删除事件，所述入侵防御系统删除所述目标容器对应的数据处理进程和数据发送队列。

8.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述数据发送线程将所述处理信息发送至所述宿主机的Linux内核，使得所述Linux内核依据所述处理信息处理所述目标数据包。

9.根据权利要求8所述的方法，其特征在于，在所述目标容器的命名空间内数据接收线程，将所述目标数据包放入数据接收队列之前，所述方法还包括：

所述目标容器的命名空间内的数据处理进程，向所述Linux内核下发nfqueue的引流规则；其中，所述引流规则指示将所述目标容器对应的数据包重定向至所述数据接收线程。

10.根据权利要求9所述的方法，其特征在于，所述方法还包括：

若所述数据处理进程结束运行，删除所述引流规则。