安全加固与逃逸防护专题测试

--network host

--privileged

--memory 512m

--restart always

挂载 Docker Socket（/var/run/docker.sock）到容器内

使用 --privileged 参数启动容器

以非 root 用户运行容器

容器内运行存在内核漏洞的驱动程序

挂载宿主机根目录（-v /:/host-root）到容器

在容器内使用独立的内核

利用 USER Namespace 将 Docker Daemon 和容器以非 root 用户运行

通过虚拟机隔离容器

禁用所有特权操作

对

错

使用 Docker Content Trust 对镜像签名

配置准入策略阻止未签名镜像运行

只使用官方基础镜像

扫描镜像漏洞并修复

追踪镜像的来源和构建过程（SBOM）

扫描镜像中的漏洞

监控系统调用并根据规则匹配异常行为

分析网络流量特征

检查容器的 CPU 使用率

Docker 官方发布的性能测试工具

互联网安全中心制定的 Docker 安全基线标准

容器网络通信的测试标准

Docker 镜像格式的规范文档

启用 Docker 守护进程的审计功能

使用 systemd journal 记录 dockerd 日志

部署 Falco 监控运行时事件

使用第三方审计工具如 Auditd

在容器内安装日志收集代理

加速容器间的网络通信

双向验证通信双方的身份，确保服务间通信安全

限制容器的网络带宽

防止容器访问外部网络