微隔离（MSG）参考文章：用"微隔离"实现零信任、什么是微隔离？当下哪家微隔离最靠谱? 参考视频：不仅是防火墙！用微隔离实现零信任定义微隔离（Micro Segmentation），微隔离是一种网络安全技术，其核心的能力要求是聚焦在东西向流量的隔离上。微隔离的实现方式是将数据中心内部所有的业务按照特定的原则划分为数个微小的网络节点，根据动态策略分析对这些节点执行访问控制，在逻辑上将这些节点隔离开，
转载
2023-11-06 19:00:48
6阅读
Docker 是如何实现隔离的在学习Docker 是时候, 了解到Docker 容器隔离,觉得很神奇,但是Docker 到底是如何实现隔离的 自己并不了解.从运行一个容器开始我们开始运行一个简单的容器，这里以busybox镜像为例，它是一个常用的Linux工具箱，可以用来执行很多Linux命令，我们以它为镜像启动容器方便来查看容器内部环境。 执行命令：docker run -it --name d
转载
2023-07-25 16:39:58
95阅读
微隔离与 Docker 的实施是当今安全策略中很重要的一部分。微隔离技术通过细粒度的网络安全策略为每个Docker容器创建一个独立的安全区域，从而能有效地保护应用程序。下面将详细记录如何解决微隔离与 Docker 的问题，包括环境准备、分步指南、配置详解、验证测试、优化技巧和扩展应用。
## 环境准备
在搭建微隔离与Docker的系统之前，确保以下环境准备就绪。首先需要安装所需的前置依赖，比如
该模型围绕一个应用程序或一组应用程序创建基于身份和上下文的逻辑访问边界。这种情况下，应用程序隐藏起来无法发现，并且通过受信任的代理限制对一组命名实体的访问。这会将应用程序资产从公共可见性中移除并减少攻击面。 云安全联盟 (CSA) 在其 2020 年报告《软件定义边界》 (SDP) 和《零信任》 中也支持这一演变，将 SDP 视为“网络层零信任”。网络分段尽管软件定义边界（SDP）提供了一种实现零
转载
2024-01-18 21:17:18
7阅读
Docker作为最重视安全的容器技术之一，在很多方面都提供了强安全性的默认配置，其中包括：容器root用户的Capability能力限制、Seccomp系统调用过滤、Apparmor的 MAC 访问控制、ulimit限制、pid-limits的支持，镜像签名机制等。这篇文章我们就带大家详细了解一下。Docker利用Namespace实现了6项隔离，看似完整，实际上依旧没有完全隔离Linux资源，比
转载
2024-03-14 21:19:24
13阅读
Docker的隔离性主要运用Namespace 技术。传统上Linux中的PID是唯一且独立的，在正常情况下，用户不会看见重复的PID。然而在Docker采用了Namespace，从而令相同的PID可于不同的Namespace中独立存在。如，A Container 之中PID=1是A程序，而B Container之中的PID=1同样可以是A程序。虽然Docker可透过Namespace的方式分隔出
转载
2024-01-24 09:44:02
25阅读
一、什么情况下会发生栈内存溢出？1、栈是线程私有的，栈的生命周期和线程一样，每个方法在执行的时候就会创建一个栈帧，它包含局部变量表、操作数栈、动态链接、方法出口等信息，局部变量表又包括基本数据类型和对象的引用； 2、当线程请求的栈深度超过了虚拟机允许的最大深度时，会抛出StackOverFlowError异常，方法递归调用肯可能会出现该问题；3、调整参数-xss去调整jvm栈的大小二、详解JVM内
转载
2024-08-16 11:05:34
33阅读
Docker具有隔离性、可配额、安全性、便携性的特点，此篇博客将从资源隔离、资源配额控制、存储、网络四个方面来认识docker。在了解隔离实现原理前，先了解Docker中容器的定义，基于Linux内核的Cgroup，Namespace，以及Union FS等技术，对进程进行封装隔离，属于操作系统层面的虚拟化技术，由于隔离的进程独立于宿主和其它的隔离进程，因此也称其为容器。Docker在容器的基础上
转载
2023-08-18 11:58:38
111阅读
关于docker的核心技术，就是以下的三大技术：1.namespaces 【命名空间】使用linux的命名空间实现的进程间隔离。Docker 容器内部的任意进程都对宿主机器的进程一无所知。
除了进程相关的命名空间，还会设置与用户、网络、IPC 以及 UTS 相关的命名空间。
Docker 通过命名空间成功完成了与宿主机进程和网络的隔离。
虽然docker通过命名空间创建了网络隔离，但依旧需要与
转载
2023-09-20 16:15:36
101阅读
这个链接主要介绍了cgroup中使用的三种cpu资源限制方式cpuset隔离方式是以分配核心的方式进行资源隔离，可以提供的资源分配最小粒度是核心，不能提供更细粒度的资源隔离，但是隔离之后运算的相互影响最低。需要注意的是在服务器开启了超线程的情况下，要小心选择分配的核心，否则不同cgroup间的性能差距会比较大。cpuquota给我们提供了一种比cpuset可以更细粒度的分配资源的方式，
转载
2024-02-20 20:18:05
158阅读
介绍 相信很多开发者都默认Docker这样的容器是一种沙盒（sandbox）应用，也就是说他们可以用root权限在Docker中运行随便什么应用，而Docker有安全机制能保护宿主系统。比如，有些人觉得Docker容器里面的进程跟虚拟机里面的进程一样安全；还有的人随便找个源就下载没有验证过的Docker镜像，看都不看内容就
转载
2023-12-29 22:06:35
19阅读
在云环境中，通常用虚拟化服务器替代物理服务器集群，承载后台服务的运行，随着容器和微服务技术的发展，传统的单体应用被分解为多个微服务，分布于虚拟化服务器中，各服务之间协作互联，支撑完整的业务逻辑。这样的架构下，以虚拟化服务器为基础的云环境，存在大量东西向流量，一旦某一台虚拟机或者容器被攻破，极易造成恶意代码横向蔓延，影响云内业务的正常运行。由于虚拟化网络不可见，传统的防火墙设备无法部署到云环境中，需
转载
2024-10-10 22:53:48
38阅读
我们知道docker安装完之后，每个docker容器里面都有自己单独的网络，那么docker的网络是怎么工作的呢 ？ 首先我们需要了解的是Linux提供了基于NameSpace的隔离机制，主要包含如下NameSpace隔离：Mount Namespace隔离了一组进程所看到的文件系统挂载点的集合，因此，在不同Mount Namespace的进程看到的文件系统层次结构也不同。UTS Namespac
转载
2023-07-11 13:08:52
135阅读
2020年8月NIST正式发布《零信任架构标准》，其中总结了基于微隔离技术的零信任架构体系。结合微隔离控制中心+代理/虚墙的工作模式，通过对数据中心工作负载进行风险评估，控制中心可以动态的向代理/虚墙下发控制策略，限制各业务之间的访问权限。微隔离架构的明显优势在于能够实现网络流量的可视化，能自适应网络结构变化，当然，网络规模越大，控制中心策略分析就越复杂，其庞大的计算量，也注定了运维的高成本。那么
# Docker隔离：让应用安全可靠运行
在当今的互联网时代，随着软件开发的不断发展，容器技术也日益成熟。Docker作为容器技术的代表之一，被广泛应用于软件开发、测试和部署等各个阶段。其中，Docker的一个重要特性就是隔离性，它可以为每个容器提供独立的运行环境，确保单个应用之间互相独立、不会相互影响，从而保证了应用的安全性和可靠性。
## Docker隔离的实现
Docker的隔离性是通
原创
2024-07-01 05:20:34
30阅读
Docker网络配置网络模式Docker 使用了 Linux 的 Namespaces 技术来进行资源隔离，如 PID Namespace 隔离进程，Mount Namespace 隔离文件系统，Network Namespace 隔离网络等。一个 Network Namespace 提供了一份独立的网络环境，包括网卡、路由、Iptable 规则等都与其他的 Network Namespace 隔
转载
2024-06-12 22:23:28
85阅读
实现用户空间隔离的技术：名称空间（NameSpace），CGroup（控制组）什么是NameSpace：：简单的理解就是，每一个虚拟的用户空间可以基于名称空间实现进程pid号、用户名等相同的机制，且每一个虚拟的用户空间相互不受干扰什么是CGroup：控制资源使用率的机制Docker由GO语言研发，遵守Apache开源协议Docker由C/S架构实现，客户端称为：docker client、服务端称
转载
2024-03-11 09:21:12
25阅读
在了解底层原理之前：说几个名词：解耦状态： 所有东西都没有重复，任何东西都没有公用的地方。半解耦状态：有部分共同的一起用，其他的独立完全解耦状态： 就是各自都是独立没有重复。 kvm：完全解耦docker：半解耦#下面通过一张图片，来解释解耦与半解耦的区别： 通过部署nginx来说明：完全解耦：比如kvm，VMware就属于完全解耦，流程：硬件层肯定使用宿主机，虚拟内核，虚拟系
转载
2023-06-06 18:44:12
700阅读
默认情况下，一个容器没有资源限制，几乎可以使用宿主主机的所有资源。docker提供了控制内存、cpu、block io。但是实际上主要是namespace和cgroup控制资源的隔离。传统上Linux中的PID是唯一且独立的，在正常情况下，用户不会看见重复的PID。Docker采用了Namespace，从而不同的Namespace中独立存在相同的PID。如，A Container 之中PID=1是
转载
2023-07-18 19:48:29
14阅读
问题1：Docker （敏捷+高性能）比 虚拟机受欢迎的原因：linux用来实现容器隔离的手段是 NameSpace NameSpace实际上修改了应用进程看待宿主机的视图 应用进程的视线被操作系统 做了限制 应用进程仅仅能看到某些指定的内容 对于宿主机来说，被隔离的进程和其他的进程并没有区别受欢迎主要的原因：（1）虚拟化技术作为应用的沙盒，必须要由Hypervisor来负责创建虚拟机，这个虚拟机
转载
2023-07-18 16:27:50
47阅读
