背景
gVisor 的开源为安全容器的实现提供了一种新思路。所谓安全容器需要包含两个要点：安全隔离与 OCI 兼容。如今，共用内核的容器在安全隔离上还是比较弱。虽然内核在不断地增强自身的安全特性，但由于内核自身代码极端复杂，CVE 层出不穷。2018 年至今，已经公开了 63 个与内核相关的安全，而 2017 年全年则是 453 个 [
转载
2024-04-18 23:24:32
12阅读
docker的使用传统的容器技术：1.直接运行在操作系统内核之上的用户空间，可以让多个独立的用户空间运行在同一台宿主机上。2.由于客居操作系统，只能运行在操作系统相同或相似的操作系统上，虚拟的是一个完整的操作系统增大攻击范围，不安全。3.只能运行则安全性要求不是太高的隔离环境中，轻量级的沙盒，权限隔离监牢，权限隔离监牢：在一个隔离目录环境中运行进程，运行的进程被受到攻击，由于权限不足被困在所创建的
转载
2024-05-31 17:49:12
18阅读
网络安全公司Byos曾对100位企业网络安全领导者开展了一项关于微隔离策略的调查。调查结果显示，有83%的领导者通过某种形式的微隔离来增强其企业网络安全性。这也意味着超八成大型企业开始应用“微隔离”技术。企业网络安全领导者认为微隔离解决方案最有吸引力的功能是：实时威胁管理（76%）、安全远程访问（67%）和勒索软件终止开关（62%）等。关于“微隔离”，简单地理解，它就是指在数据中心和云环境中创建相
转载
2024-03-18 13:37:17
63阅读
该模型围绕一个应用程序或一组应用程序创建基于身份和上下文的逻辑访问边界。这种情况下，应用程序隐藏起来无法发现，并且通过受信任的代理限制对一组命名实体的访问。这会将应用程序资产从公共可见性中移除并减少攻击面。 云安全联盟 (CSA) 在其 2020 年报告《软件定义边界》 (SDP) 和《零信任》 中也支持这一演变，将 SDP 视为“网络层零信任”。网络分段尽管软件定义边界（SDP）提供了一种实现零
转载
2024-01-18 21:17:18
7阅读
像ARM7TDMI这样经典的ARM处理器会按照程序的顺序来执行指令或访问数据。而最新的ARM处理器会对执行指令和访问数据的顺序进行优化。举个例子，ARM v6/v7的处理器会对以下指令顺序进行优化。 LDR r0， [r1] ; 从普通/可Cache的内存中读取，并导致cache未命中
STR r2， [r3] ; 写入普通/不可Cache的内存假设第一条LDR指令导致Cache未命中
转载
2024-06-05 12:25:31
69阅读
# Docker容器隔离技术
Docker是一个开源的容器化平台，利用容器技术可以实现应用程序的快速部署和运行。其中最重要的特性之一就是容器的隔离性能。本文将介绍Docker容器隔离技术，并提供示例代码进行演示。
## 容器隔离性
Docker容器通过Linux内核的一些特性来实现隔离。这些特性包括：
- **命名空间（Namespace）**：命名空间将系统资源隔离到各自的域中，每个容器
原创
2023-07-14 16:46:07
167阅读
云原生场景下的容器网络隔离技术一、研究背景随着云计算时代的到来，尤其是容器化技术的飞速发展，云原生作为云计算的未来阶段，其安全势必成为云安全的主要战场。从目前的云原生环境来看，云原生网络安全问题层出不穷，威胁程度逐渐上升，从业人员面临着严峻的挑战。例如，此前Akamai公司进行了一项实验，将一个简单的Docker容器蜜罐用于攻击测试，结果显示该容器在24小时内被攻击者用于四起不同的犯罪活动，这些攻
转载
2024-02-28 19:54:14
53阅读
docker系列1—docker隔离和限制技术本篇文章主要回答了以下几个问题
Docker和进程的关系是什么Docker如何在各容器共享内核的情况下,拥有他自己的PID空间以及如何实现资源隔离docker 与进程docker使用起来给人的感觉是像虚拟机，但是docker和虚拟机是有本质的区别的
虚拟机在运行一个虚拟机操作系统的时候，宿主机操作系统之上，在一个分配好的完整磁盘空间，安装、
转载
2023-07-20 13:37:42
74阅读
在了解底层原理之前：说几个名词：解耦状态： 所有东西都没有重复，任何东西都没有公用的地方。半解耦状态：有部分共同的一起用，其他的独立完全解耦状态： 就是各自都是独立没有重复。 kvm：完全解耦docker：半解耦#下面通过一张图片，来解释解耦与半解耦的区别： 通过部署nginx来说明：完全解耦：比如kvm，VMware就属于完全解耦，流程：硬件层肯定使用宿主机，虚拟内核，虚拟系
转载
2023-06-06 18:44:12
700阅读
一、结构单位面积重力荷载 剪力墙结构12层：40m一下；13~14kN/m2，筏板厚600~700mm，标准层含钢量30~40，整体55左右。 18层：60m界限/风荷载100年一遇；14kN/m2，筏板厚800mm左右 26层：80m界限/抗震等级；14.5kN/m2， fak=450kPa左右，筏板厚1000mm 30层：14.5~15kN/m2， fak=500kPa左右，筏板厚1200~1
转载
2024-03-28 17:29:27
73阅读
实现原理docker优势：轻量级的虚拟化容器快速启停虚拟化核心需要解决的问题：资源隔离与资源限制虚拟机硬件虚拟化技术， 通过一个 hypervisor 层实现对资源的彻底隔离。容器则是操作系统级别的虚拟化，利用的是内核的Namespace和 Cgroup 特性，此功能完全通过软件实现。Namespace 资源隔离命名空间是全局资源的一种抽象，将资源放到不同的命名空间中，各个命名空间中的资源是相互隔
转载
2023-10-09 13:32:38
94阅读
1、容器引擎核心技术Namespace：实现Container的进程、网络、消息、文件系统和主机名的隔离；Cgroup：实现对资源的配额和度量；2、特性文件系统隔离：每个进程容器运行在一个完全独立的根文件系统里；资源隔离：系统资源根据需求分配到不同的容器中；网络隔离：么米格容器运行在自己的网络空间，虚拟接口和IP地址；日志记录：Docker会 手机并记录每个进程容器的标准流（stdout/stde
转载
2024-09-29 18:52:29
37阅读
## Docker容器隔离核心技术
在容器技术中，隔离是一个非常重要的概念。Docker利用Linux内核的一些特性，如命名空间（namespace）和控制组（cgroup）等，实现了容器之间的隔离。这种隔离技术使得容器能够在一个独立的环境中运行，互不影响，从而实现了轻量级的虚拟化。
### 命名空间（namespace）
命名空间是Linux内核提供的一种机制，用于隔离一组进程对某些系统资
原创
2024-03-09 05:30:08
64阅读
1、Docker事实1)容器技术的兴起源于Pass技术的普及2)Docker公司发布的Docker项目具有里程碑式的意义3)Docker项目通过容器镜像解决了应用打包这个根本性难题4)容器本身没有价值，有价值的是容器编排5)容器是一个单进程模型2、容器的隔离容器其实是一种沙盒技术，沙盒就是能够像集装箱一样，把应用装起来的技术，这样应用与应用之间就因为有了边界而不至于互相干扰，而被装进集装箱的应用也
转载
2024-03-22 12:18:21
23阅读
概念通过将某个特定的全局系统资源通过抽象方法使得namespace中的进程看起来拥有它们自己的隔离的全局系统资源实例、当Docker创建一个容器时，它会创建6种namespce的实例，然后把容器中的所有进程放到这些namespace中，使得Docker中的进程只能看到隔离的系统资源如下是Linux内核中的6种namespacenamespace被隔离的全局系统资源在容器语境下的隔离效果mount
转载
2023-11-24 10:51:23
9阅读
第一：为什么需要网络虚拟化？一.数据中心的现有网络不能满足云计算的物理需求；互联网行业数据中心的基本特征就是服务器的规模偏大。进入云计算时代后，其业务特征变得更加复杂，包括：虚拟化支持、多业务承载、资源灵活调度等（如下图所示）。与此同时，互联网云计算的规模不但没有缩减，反而更加庞大。这就给云计算的网络带来了巨大的压力。
转载
2024-04-18 11:11:26
0阅读
目录一、为什么选择容器而不是虚拟机1.1 虚拟机所耗费的资源1.2 容器所耗费的资源二、更精确的隔离方式2.1 容器共享宿主机的操作系统内核。2.2 时间不能被Namespace 化三、容器的“限制”3.1 Linux Cgroups3.2 如何使用四、总结一、为什么选择容器而不是虚拟机使用虚拟化技术作为应用沙盒，就必须要由 Hypervisor 来负责创建虚拟机，这个虚拟机是真实存在的
转载
2024-06-04 21:13:44
57阅读
Namespces命名空间功能：编程语言封装--->代码隔离操作系统系统资源的隔离进程、网络、问卷系统五种命名空间： PID(Process ID)进程隔离NET(Network)管理网络接口IPC(InterProcess Communicatio) 管理跨进程通信的访问MNT(Mount) 管理挂载点UTS(Unix Timesharing System)隔离内核和
转载
2024-04-16 22:33:51
57阅读
回顾：docker容器的本质是一种特殊的宿主机进程 其中NameSpace的作用隔离，只允许进程看到NameSpace内部的”世界” 其中Cgroups的作用是限制，给这个世界围上一圈看不见的“玻璃墙”问题：1、我们可以在docker容器中更改操作系统的内核参数吗？ 本博客已解答 关于容器的 “文件系统的隔离” 实现原理问题2、linux的监狱策略chroot 和容器的文件系统的隔离有什么关系？本
转载
2024-03-24 10:38:28
31阅读
Docker：住在青年旅店的旅行团，青旅是宿主机，为docker旅行观光团提供住宿，即提供基础内核。因为docker旅行团是否安全，很大程度上依赖于Linux系统自身。评估Docker的安全性时，主要考虑以下几个方面：Linux内核的命名空间机制提供的容器隔离安全 。 Linux控制组机制对容器资源的控制能力安全。 Linux内核的能力机制所带来的操作权限安全 Docker程序（特别是服务端）本身
转载
2024-04-19 20:21:18
71阅读
