云原生容器资产动态镜像增量漏洞扫描方法及系统与流程

本发明涉及云原生安全漏洞检测，具体而言，涉及云原生容器资产动态镜像增量漏洞扫描方法及系统。

背景技术：

1、目前云原生k8s（容器编排平台）集群安全防护领域存在两条完全割裂的技术路线，分别为容器资产伪装防护技术、传统容器全量漏洞扫描技术，两类现有技术均存在无法适配微服务动态迭代场景的固有缺陷。其一，现有技术仅聚焦容器资产隐身、反探测伪装功能，核心目标为隐藏集群资产拓扑信息，整套方案未搭载任何漏洞检测、风险识别相关技术逻辑，无法识别镜像文件、第三方依赖包中存在的安全漏洞，不能满足集群常态化漏洞巡检需求，与本发明技术解决目标完全不重叠。

2、其二，行业通用传统容器漏洞扫描方案统一采用全镜像周期性扫描模式，适配性与检测精度存在多重短板：第一，不存在镜像分层量化差分判别逻辑，无法区分无安全风险的微小配置改动、存在高危隐患的底层系统文件/依赖包变更，镜像任意改动均触发完整镜像扫描，重复计算量大、算力资源损耗严重；第二，无镜像时序基准特征库与存量漏洞持久存储复用机制，每次镜像版本迭代均重新扫描全部镜像分层，无法复用历史无变更组件的漏洞检测结果，单次扫描耗时久，业务集群高频迭代场景下巡检效率极低；第三，缺少集群动态变更事件过滤逻辑，无法区分生命周期300秒以内的临时测试pod（容器运行单元）、短期测试镜像，大量无效变更会持续下发扫描任务，进一步浪费集群算力。

技术实现思路

1、本发明的目的在于：解决当前行业不具备融合分层量化差分、事件过滤、存量漏洞复用、运行态漏洞校正的完整增量扫描技术方案的问题。

2、为了实现上述发明目的，改善上述问题，本发明提供了云原生容器资产动态镜像增量漏洞扫描方法，包括以下操作步骤：

3、s1：对接容器镜像仓库与k8s集群，采集多维度镜像原始数据并构建带时序索引的容器镜像基准特征库；

4、s2：持续监听集群动态变更事件，过滤无效变更后下发镜像分层差分对比触发指令；

5、s3：调取镜像基准特征库历史数据，代入分层变更权重公式量化判别增量分层，提取纯增量待扫描数据集，分层变更权重公式为：

6、；

7、其中为单层镜像综合变更权重；=0.6为文件哈希变更固定系数；为分层哈希匹配差值，分层完全不同赋值1、完全一致赋值0；=0.3为依赖包变更系数；为本层新增/删除依赖包数量；=0.1为配置变更系数；为本层修改配置条目数量；单层权重判定阈值固定为0.2；

8、s4：仅针对轻量化增量数据集执行漏洞匹配扫描，复用基准库无变更组件历史检测结果，通过扫描算力节约效率核算公式量化资源节约比例，扫描算力节约效率核算公式为：

9、；

10、其中为单次扫描算力节约效率；为完整镜像全量扫描标准耗时；为增量数据集扫描实际耗时；

11、s5：实时拉取容器运行单元运行时动态参数，二元区分静态镜像漏洞与运行态动态漏洞，修正原始扫描漏洞风险等级；

12、s6：时序聚合存量漏洞、增量漏洞、经属性划分后的漏洞数据，按多维度分类生成完整容器资产动态巡检报告。

13、作为本技术优选的技术方案，所述s1中，具体包括：

14、s101：建立双向长连接通信通道，调用镜像仓库应用程序接口、k8s集群应用程序接口服务端同步拉取全部业务镜像数据，过滤生命周期小于300秒的临时测试镜像、一次性销毁临时容器运行单元资产，留存长期稳定运行业务容器对应的镜像；

15、s102：对每版镜像执行分层拆解操作，逐层提取四类基准数据：镜像分层文件哈希校验值、系统内置组件完整清单、第三方依赖包精确版本号、容器静态部署配置参数，同步绑定镜像唯一版本id、集群命名空间标签、镜像构建时间，从而构建成带时序索引的容器镜像基准特征库；

16、s103：将全部分层特征数据以分层哈希值为主索引存入带时序索引的容器镜像基准特征库，生成不可篡改的镜像基准特征集；

17、s104：针对首次入库的全新镜像执行全量漏洞扫描，匹配通用漏洞披露编号漏洞库获取初始漏洞清单，将每条漏洞与对应镜像分层、组件、依赖包绑定关联，存入构建的镜像基准特征库内，形成可调取的历史存量漏洞数据集。

18、作为本技术优选的技术方案，所述s2中，具体包括：

19、s201：在集群内部署事件拦截链路，持续监听四类专属变更事件：镜像仓库新版本推送事件、k8s容器运行单元新建与销毁启停事件、配置映射资源配置文件更新事件、无状态应用控制器镜像版本替换事件；

20、s202：设定资产存活时长固定阈值300秒，自动过滤生命周期未达阈值的临时资产变更事件，校验通过后携带镜像新版本id向s3输出差分对比执行指令。

21、作为本技术优选的技术方案，所述s3中，具体包括：

22、s301：基于s202下发的差分对比执行指令携带的镜像版本id，从s1构建的时序基准特征库调取该镜像上一完整版本分层特征数据；

23、s302：将新版本镜像每一分层数据逐一代入镜像分层变更权重判别公式计算权重数值，区分新增分层、修改分层、替换分层、删除分层四类变更结构，仅保留权重w≥0.2的变更分层；

24、s303：从筛选后的变更分层中提取新增系统文件、第三方依赖包、修改配置条目，舍弃无变更分层全部数据，生成轻量化增量数据集，传输至s4执行定向漏洞扫描。

25、作为本技术优选的技术方案，所述s4中，具体包括：

26、s401：将s3输出的轻量化增量数据集输入漏洞匹配引擎，对增量内容匹配通用漏洞披露编号官方漏洞库、企业自定义业务风险规则，不执行全镜像遍历扫描；

27、s402：直接调取s1基准特征库内无变更分层的历史漏洞检测记录，代入扫描算力节约效率核算公式计算本次扫描资源节约比例，将增量漏洞原始检测结果同步传输至s5完成环境校验修正。

28、作为本技术优选的技术方案，所述s5中，具体包括：

29、s501：实时查询对应容器运行单元运行原生参数；

30、s502：对s4输出的增量漏洞原始检测结果做属性划分，输出校验完成的精准漏洞数据至s6。

31、作为本技术优选的技术方案，所述s6中，具体包括：

32、s601：聚合三类漏洞数据：

33、s1的基准库留存历史存量漏洞、s4的新增增量漏洞、s5经属性划分后的漏洞数据；

34、s602：双层联动规则判定高危、中危、低危漏洞，其中：

35、第一层判定依据：基于计算得到的判定，越高代表漏洞原生潜在危害越大；

36、第二层判定依据：基于s5采集的容器运行单元运行原生参数提取其运行可利用条件，分为三类：完全可利用、有限可利用、不可利用；

37、s603：整合漏洞信息，在报告中附的计算结果，输出完整闭环的容器资产动态漏洞巡检报告。

38、作为本技术优选的技术方案，所述高危漏洞：≥0.3，且运行状态为完全可利用；

39、中危漏洞：其一为≥0.3但运行条件仅有限可利用/不可利用；其二为0.2≤＜0.3且运行状态完全可利用。

40、云原生容器资产动态镜像增量漏洞扫描系统，采用如上述权利要求1-8任意一项所述的云原生容器资产动态镜像增量漏洞扫描方法，包括镜像基准特征库构建模块、动态事件监听触发模块、镜像分层差分识别模块、增量定向漏洞扫描模块、运行态漏洞甄别修正模块、资产漏洞报告生成模块，所述镜像基准特征库构建模块具体包括：

41、数据源对接子模块建立与镜像仓库、k8s集群的双向通信链路，过滤短期临时测试资产；分层特征提取子模块对镜像分层解析，采集文件、组件、依赖包、配置四类特征；时序持久存储子模块以分层哈希为索引存储基准数据；存量漏洞绑定子模块对首次入库镜像执行完整扫描，将漏洞与对应镜像分层关联存入基准库，为后续差分比对、报告汇总提供基础参照数据；

42、所述动态事件监听触发模块具体包括：

43、集群事件捕获子模块持续采集镜像推送、容器运行单元启停、配置更新、镜像版本替换四类事件；无效变更过滤子模块依据资产存活时长阈值剔除临时变更行为；差分指令下发子模块向差分识别模块推送携带镜像标识的差分比对执行指令；

44、所述镜像分层差分识别模块具体包括：

45、基准数据调取子模块接收指令后读取镜像历史基准分层数据；分层变更判别子模块逐层判断分层是否产生具备安全风险的有效改动；增量数据提纯子模块剔除无改动分层全部数据，导出变更文件、依赖包、配置形成轻量化增量数据集，传输至扫描模块。

46、作为本技术优选的技术方案，所述增量定向漏洞扫描模块具体包括：

47、增量漏洞匹配子模块仅针对轻量化增量数据集匹配漏洞库获取原始漏洞信息；历史结果复用子模块直接调取基准库内无变更分层的历史漏洞记录，无需重复检测；扫描资源统计子模块对比全量扫描与增量扫描耗时，记录资源节约幅度；

48、所述运行态漏洞甄别修正模块具体包括：

49、运行参数采集子模块实时获取容器账户权限、开放端口、目录挂载的运行参数；漏洞类型划分子模块区分静态镜像漏洞与运行态动态漏洞；风险等级修正子模块结合运行环境利用条件剔除无实际威胁的虚假高危漏洞，输出校正后的漏洞数据；

50、所述资产漏洞报告生成模块具体包括：

51、多源漏洞聚合子模块汇总基准库存量漏洞、增量扫描漏洞、校正后漏洞并剔除重复、过期记录；漏洞分级排序子模块结合分层变更风险程度、容器运行可利用条件划分高危、中危、低危漏洞并完成排序；标准化报告输出子模块嵌入扫描资源节约信息，生成完整容器资产动态巡检报告。

52、与现有技术相比，本发明的有益效果：

53、在本技术的方案中：

54、1.通过镜像分层加权差分判别机制实现算力大幅节约、无风险改动自动过滤。通过分层变更权重量化区分有效风险变更与仅修改注释、空格的无风险配置微调，仅对权重达标的底层文件、第三方依赖包变更启动增量扫描，摒弃全镜像遍历运算；权重系数依据各类变更漏洞触发概率差异化分配，底层系统文件变更分配最高权重，保障高危改动不会被过滤，兼顾算力节约与漏洞全覆盖；

55、2.通过时序基准特征库搭配存量漏洞持久存储复用机制，消除重复扫描冗余计算。首次入库镜像完成一次全量扫描后，将存量漏洞与对应镜像分层绑定持久存入基准库，后续镜像迭代过程中无变更分层直接调取历史检测结果，无需重复漏洞匹配运算；同时自动过滤生命周期不足300秒的临时测试资产变更，杜绝无效扫描任务持续占用集群服务器资源；

56、3.通过全覆盖集群动态事件监听+前置过滤逻辑，实现漏洞主动实时巡检。完整监听镜像新版本推送、pod启停、配置映射更新、应用控制器镜像替换四类集群原生变更事件，镜像发生真实业务迭代时即时触发差分扫描，摆脱传统固定周期被动扫描的滞后性，可第一时间识别迭代新增组件携带的安全漏洞，大幅降低动态资产漏扫概率；

57、4.通过运行态漏洞二元甄别校正机制，同步降低漏洞误报、漏报两类问题。实时采集容器运行账户权限、开放网络端口、主机目录挂载权限等运行参数，将漏洞划分为静态镜像漏洞、运行态动态漏洞，剔除无运行利用条件的虚假高危漏洞，同时标记具备攻击条件的动态高危漏洞，精准修正原始扫描结果；

58、5.分层变更权重加运行条件双层联动分级规则，明确漏洞处置优先级。无需引入外部独立评分标准，仅依托方案内部生成的分层变更权重、容器运行可利用条件自动划分高、中、低危漏洞，高危漏洞优先展示，同一风险等级下可利用的运行态漏洞前置排列，每条漏洞附带变更分层溯源路径与攻击前置条件，输出的巡检报告可直接指导运维人员定向修复风险，落地实用性显著提升；

59、6.单独采用分层差分机制仅能提升扫描速度，单独采用运行态漏洞甄别仅能优化漏洞判定精度，本技术通过两套技术链路前后串联配合后，在实现算力损耗大幅降低的同时，大幅削减动态漏洞漏扫数量果。